K objevu došlo během mezinárodní konference zaměřené na kyberbezpečnost, kde Sergej Volokitin demonstroval, jak lze využít dotykové body na obrazovce hodinek k odhalení přesných souřadnic zadávaného PIN kódu.
Sergei Volokitin, Security Researcher u Hexplot, se zaměřil právě na chytré hodinky Xiaomi S3, které sice nenabízejí rozsáhlou podporu aplikací třetích stran, ale i přesto zpracovávají citlivé údaje jako notifikace, data kalendáře, zdravotní informace či údaje platebních karet. Hodinky také umožňují spojení přes Bluetooth a podporují NFC pro bezkontaktní platby.
Při analýze se Volokitinovi podařilo zjistit, že dotykové body na obrazovce hodinek lze použít k získání souřadnic míst, kde uživatel zadává PIN pro odemknutí. Tento problém představuje vážné riziko pro ochranu dat uživatelů, protože útočníci by mohli snadno získat přístup k zabezpečeným informacím, pokud by hodinky ztratili nebo by jim je někdo ukradl. Jde samozřejmě o extrémní případ, ale podobné testy pomáhají vylepšovat bezpečnost celého ekosystému chytrých hodinek.
Během výzkumu došlo také k odhalení bezpečnostní chyba v systému venkovní kamery Xiaomi, kde bylo video ukládáno v nešifrované podobě. Volokitin (LinkedIn profil) také upozornil, že bezpečnostní tokeny pro komunikaci se serverem se ukádají přímo v souborovém systému zařízení, což představuje další významnou hrozbu.
Akce s názvem „Hard Pwn“ proběhla v listopadu 2024. Jde o každoroční setkání bezpečnostních expertů a výrobců elektroniky, kteří společně testují zabezpečení různých zařízení. Experti mají během této akce k dispozici profesionální vybavení pro detailní analýzu hardwaru a softwaru. Xiaomi byla na tyto zranitelnosti upozorněná a také potvrdila přijetí informací s cílem situaci řešit.
