Mitigation of cyber attacks in wearable devices

Abstract

The consumer wearable market has been growing relentlessly since 2013, reaching unprecedented sales numbers during the first two years of the COVID-19 pandemic. At present, hundreds of millions (potentially billions) of users worldwide use such devices to monitor their private lives twenty-four hours a day and seven days a week. However, the lightning spread of wearable device and commercial fitness trackers, in particular, has not been complemented by the adequate security and privacy protection of their ever-growing userbase. In this dissertation, we investigate if average consumers of commercial wearable devices are at risk. More specifically, whether conventional usage of fitness trackers by regular people may lead to a significant loss of privacy. In particular, we explore 2 aspects of consumer wearables: the devices with the associated ecosystem, and the data they produce. We demonstrate that private information on users of prominent consumer fitness trackers may be inferred, when the devices transmit the collected data to the permanent storage of their manufacturer. An adversary may obtain insights on how often users exercise and measure their heart rate, whether they have trouble sleeping, or if they are overweight. We proceed to study the third-party companies that are contacted by wearable devices as part of their functioning. We show that significant and sometimes deeply personal data may be transferred to these “unwanted” third parties without explicit consent from users. We further establish that sharing data generated by wearable “as is” may lead to significant privacy exposure and even full re-identification of users. By possessing very limited amounts of wearable data, a competent adversary may learn insights on person’s gender, weight, height, and even reconstruct a “wearable fingerprint” – a unique pattern of daily routine. To combat the above threats, we suggest a methodology for blocking unwanted connections of wearables, severely limiting the possibilities for privacy leaks. We further present comprehensive guidelines for privacy-preserving release of wearable data by both regular users and data controllers, who aggregate such information into datasets. We emphasize that all proposed defense mechanisms can be easily employed by regular users with limited technical expertise and do not require any additional equipment.

Η αγορά των έξυπνων ρολογιών, και των έξυπνων συσκευών γενικότερα, αυξάνεται αδιάκοπα, έχοντας φτάσει σε ανεπανάληπτους αριθμούς πωλήσεων κατά τα δύο πρώτα χρόνια της πανδημίας του COVID-19. Αυτή τη στιγμή, εκατομμύρια ή ακόμη και δισεκατομμύρια χρήστες παγκοσμίως χρησιμοποιούν τέτοιες συσκευές για να παρακολουθούν τις προσωπικές τους δραστηριότητες (π.χ. άθληση, ύπνο, περπάτημα, κλπ.) είκοσι τέσσερις ώρες το εικοσιτετράωρο και επτά μέρες την εβδομάδα. Ωστόσο, η γρήγορη διάδοση αυτών των συσκευών δεν συνοδεύεται απαραίτητα από επαρκή προστασία ασφαλείας και προστασία της ιδιωτικότητας της ραγδαία αυξανόμενης βάσης χρηστών τους. Σε αυτή τη διατριβή, ερευνούμε εάν η χρήση αυτών των συσκευών μπορεί να οδηγήσει σε σημαντική απώλεια της ιδιωτικότητας. Ειδικότερα, εξετάζουμε δύο πτυχές αυτών των συσκευών: (1) τις συσκευές μέσα στο σχετικό οικοσύστημά τους σε συνδυασμό με το λογισμικό που χρησιμοποιούν, και (2) τα δεδομένα που παράγουν. Δείχνουμε ότι ιδιωτικές πληροφορίες των χρηστών μπορούν να εξαχθούν, όταν οι συσκευές μεταδίδουν τα συλλεγόμενα δεδομένα στη μόνιμη αποθήκευση του κατασκευαστή τους. Τέτοιες πληροφορίες περιλαμβάνουν (1) πόσο συχνά ασκούνται οι χρήστες (2) ποιος είναι ο παλμός τηςκαρδιάς τους, (3) εάν αντιμετωπίζουν προβλήματα ύπνου, (4) αν είναι υπέρβαροι, κλπ. Παράλληλα δείχνουμε ότι αυτές οι συσκευές επικοινωνούν με ιστοσελίδες που ανήκουν σε τρίτες οντότητες (όχι στον κατασκευαστή της συσκευής) και στέλνουν δεδομένα σε αυτές τις ιστοσελίδες. Επιπλέον, δείχνουμε ότι η κοινοποίηση δεδομένων που δημιουργούνται από αυτές τις συσκευές, μπορεί να οδηγήσει σε σημαντική αποκάλυψη προσωπικών δεδομένων και ακόμη και πλήρη επαναταυτοποίηση των χρηστών. Κατέχοντας πολύ περιορισμένες ποσότητες δεδομένων από αυτές τις συσκευές, μια επιδέξια εχθρική πλευρά μπορεί να αποκτήσει πληροφορίες σχετικά με το φύλο, το βάρος και το ύψος του χρήστη και ακόμη και να ανακατασκευάσει ένα ‘αποτύπωμα της συσκευής’ – ένα μοναδικό μοτίβο καθημερινής ρουτίνας. Για να αντιμετωπιστούν οι απειλές που αναφέρθηκαν, προτείνουμε μια μεθοδολογία για τον αποκλεισμό ανεπιθύμητων συνδέσεων αυτών των συσκευών, περιορίζοντας σοβαρά τις δυνατότητες διαρροής προσωπικών πληροφοριών. Παρουσιάζουμε επίσης οδηγίες για την διατήρηση της ιδιωτικότητας κατά τη δημοσίευση δεδομένων αυτών των συσκευών, τόσο από τους κανονικούς χρήστες όσο και από τους ελεγκτές δεδομένων, οι οποίοι συγκεντρώνουν αυτές τις πληροφορίες σε σύνολα δεδομένων. Επισημαίνουμε ότι όλοι οι προτεινόμενοι μηχανισμοί άμυνας μπορούν εύκολα να χρησιμοποιηθούν από κανονικούς χρήστες με περιορισμένες τεχνικές γνώσεις και δεν απαιτούν επιπλέον εξοπλισμό.