По идее прод получит почти обычную цену

о, щас про сяомий скину

Про взломанные электросамокаты

Ребятушки, не первый и не второй раз мне присылают шокирующую новость про удалённое управление самокатами Xiaomi M365.

Шокирующая она только для широкой публики, однако эта информация была давно известна тем, кто интересуется углублённо. Например, нашим соотечественникам, которые делали кастомные прошивки для обоих самокатов, Xiaomi M365 и Ninebot ES1/2/4.

Я не вчитывалась, что там пишут, но имейте в виду, если Xiaomi отыгрывают удивление и обещают всё исправить — это чушь. Эти уязвимости — особенности протокола, в котором изначально не заложена хотя бы какая-то авторизация.

Да, самокаты можно запаролить, но знаете, как проверяется авторизация? Приложение шлёт запрос самокату "эй, вот этот пароль правильный?" и получает ответ "да, всё ок" или "нет, он неправильный". Если получает первый ответ, приложение рисует вам интерфейс управления самокатом, а если второй, выводит ошибку. Только вот никакая сессия не устанавливается, а все дальнейшие запросы выполняются без паролей и ключей. Это просто проверка на фронтенде. Вы можете вырезать её из приложения и делать с самокатом что угодно. Это я выяснила, когда интегрировала статус самоката в систему умного дома.

Поверьте, такие уязвимости не допускаются случайно, это просто изначальное нежелание нормально продумывать протокол. Подобная ситуация была, когда я реверсила протокол чайника Xiaomi. Я не помню, писала ли об этом публично, поэтому на всякий случай повторюсь. Процедура привязки, которую вы видите в приложении Mi Home, где нужно нажать кнопку на чайнике для завершения регистрации — такая же фикция, как и пароль на самокате. На самом деле приложение завершает регистрацию ещё до того, как просит вас нажать кнопку. А если вы её не нажмёте, регистрация просто сбрасывается. Если почитаете мой разбор протокола, вы поймёте, что можете управлять соседскими чайниками, даже не имея физического доступа в квартиру.

Чего уж говорить про весы Xiaomi Mi Smart Scale, про датчики для цветов Mi Flora и многие другие "лайтовые" устройства. Там и вовсе никакой обфускации нет, ничего реверсить не нужно. Подключаетесь и читаете последний измеренный вес своей подружки.

Пожалуйста, не надо ждать от дешёвых китайцев прорывных технологий вроде проверки сессии, чтобы потом не было неприятных удивлений. Боитесь за воду в чайнике, приватность своих килограммов, сохранность ваших косточек при поездках на самокате? Не используйте Bluetooth устройства от Xiaomi. Единственное из подопытных устройств, запросившее реальное подтверждение при регистрации — Mi Band.

Ах да, про чайник. Мало того, что там никакое подтверждение на самом деле не нужно, вы можете управлять соседским чайником из подъезда без его разрешения, так ещё и предыдущая регистрация сбросится. У соседа чайник пропадёт из приложения Mi Band. Если будете сидеть в подъезде и регистрироваться раз в 5 секунд в цикле, сосед даже не сможет вернуть контроль над устройством.

По поводу остальных умных устройств от Xiaomi. Устройства с Wi-Fi можете вполне спокойно использовать, если проследуете рекомендациям:
1) Не привязывать устройство в китайское облако, а использовать только локально. С помощью систем Home Assistant/Homebridge/Athom Homey или аналогичных.
2) Самим устройствам запретить выход в интернет с помощью файрволла роутера.

берегите чайники 😄

Кто с ДНР? Заебало наше ТВ. Вас действительно бомбят?

Можно как-то поменять адрес доставки после оплаты заказа на Али? Или нужно отменять заказ?

это ТВ бомбит же

Ну там вот показывали какого то военного с днр

Что это?

Весеннее обострение?

Понятно

Военный днр

По нашим РФ каналам куда приглашают всяких политологов с Украины, они обвиняют во всем РФ.
Не, ну я понимаю ещё Крым ... Но в ДНР то рашка при чем ???

не при чем, там шахтеры одни воюют, поверь и у нас шахтеры были и воевали, вот только по какой дороге они пришли хз

Всё верно, у рашки нет никаких интересов...

вечер политоты?

Короче взял на бангуде 8 лайт, рука дрогнула, посмотрим что приедит

На Али купоны ещё дают?