Доверие к серверному сертификату становится критичным, когда облако может включить отладочный доступ.
Что показал исследователь
20 октября 2026 года исследователь bitracker опубликовал разбор «yandex mini 2 adventures». На своей «Станции Мини 2» он продемонстрировал получение сетевого ADB-доступа и выполнение команды whoami с результатом root — правами администратора устройства.
В опубликованной демонстрации колонка приняла конфигурацию от подменённого сервера. Настройки позволили включить отладочный сервис ADB, через который исследователь получил командную оболочку. Это результат на конкретном устройстве, а не подтверждение уязвимости всех колонок с Алисой.
При чём здесь сертификаты и перехват запросов
Автор связал эксперимент с публикацией закрытых ключей удостоверяющего центра eMudhra. Такие ключи позволяют выпускать поддельные сертификаты, которые устройство может принять, если продолжает доверять соответствующей цепочке. Речь о ключах CA, а не о доказанной утечке закрытого ключа серверного сертификата Яндекса.
При перенаправлении соединений на контролируемый сервер это даёт возможность посреднику выдавать себя за облачный сервис, принимать обращения колонки и подменять ответы. В данном исследовании ключевым результатом стала доставка изменённой конфигурации. Оно не доказывает перехват всех запросов пользователей Яндекса или прослушивание любых колонок через интернет.
Границы сценария и исправление
Опубликованный отдельно проект воспроизведения указывает проверенную модель Mini 2 и сборку от 13 октября 2026 года. Для его работы нужен контроль над сетевым перенаправлением устройства; другие модели и сборки автор проекта не проверял. Более новая проверенная сборка .50 уже отвергает использованную цепочку сертификатов.
22 октября Яндекс сообщил «Код.ру», что подготовил обновление безопасности с автоматической установкой на Станции. По заявлению компании, способ позволял получить root-доступ к собственной колонке, а доступ к чужому устройству до обновления был почти невозможен. Это позиция производителя; независимая проверка установки исправления на каждом устройстве в опубликованный эксперимент не входит.
Что сделать владельцу и администратору
Практические меры для домашних устройств и офисных переговорных:
- Проверить подключение колонки к интернету и сведения о версии прошивки в приложении; при вопросах об обновлении обратиться в поддержку производителя.
- Оставить автоматические обновления включёнными и не устанавливать неизвестные сертификаты или инструменты для получения root.
- Защитить настройки роутера и DNS, ограничить доступ к управлению домашней или офисной сетью.
- Размещать офисные IoT-устройства в отдельной сети с ограниченным доступом к рабочим системам.
Редакция EALP · Обновлено