स्मार्ट sleep mask उपयोगकर्ता के ब्रेनवेव्स को सार्वजनिक MQTT broker पर भेजता है

• Kickstarter से खरीदे गए स्मार्ट sleep mask के बारे में पता चला कि वह उपयोगकर्ता का ब्रेनवेव डेटा बाहर भेज रहा था
• यह mask EEG sensor, electrical stimulation (EMS), vibration, heating, audio features वाले मिश्रित हार्डवेयर से बना है
• ऐप विश्लेषण के दौरान सभी devices द्वारा साझा किए जाने वाले hardcoded MQTT broker credentials मिले, जिससे कोई तीसरा पक्ष सभी devices का real-time डेटा प्राप्त कर सकता था
• वास्तव में लगभग 25 devices real-time ब्रेनवेव, तापमान, आर्द्रता, CO₂, presence detection डेटा सार्वजनिक broker पर भेजते पाए गए
• उन्हीं credentials से electrical stimulation commands भी भेजे जा सकते थे, जिससे उपयोगकर्ता सुरक्षा और privacy पर गंभीर खतरा मौजूद था

---

स्मार्ट sleep mask की संरचना और फीचर्स

• Kickstarter के माध्यम से प्राप्त यह mask चीन की एक छोटी research company का बना उत्पाद था, जिसमें EEG-आधारित ब्रेनवेव मापन के साथ electrical muscle stimulation (EMS), vibration, heating, audio playback फीचर्स शामिल थे
• ऐप की quality कम थी और कनेक्शन बार-बार टूटता था, इसलिए Bluetooth protocol का reverse engineering करके एक web control panel सीधे बनाया गया
• BLE scan में दो data channels मिले (command transmission के लिए, data streaming के लिए), लेकिन standard protocol के बजाय proprietary format होने के कारण कोई response नहीं मिला

ऐप reverse engineering प्रक्रिया

• Android APK को jadx से decompile करने पर पता चला कि ऐप Flutter-based था
  • Flutter Dart code को ARM64 native code में compile करता है, इसलिए सामान्य Java app की तरह restore करना कठिन होता है
• binary में strings command चलाकर hardcoded broker credentials, cloud API endpoint, 15 command function names, packet structure information निकाली गई
• इसके बाद blutter tool से Dart snapshot का विश्लेषण कर पूरा command byte sequence पुनर्निर्मित किया गया

डिवाइस नियंत्रण में सफलता

• 6-byte query भेजने के बाद डिवाइस ने 153-byte response लौटाया
  • इसमें model name, firmware version, serial number, 8 sensor channel configuration (EEG 250Hz, respiration, 3-axis accelerometer, 3-axis gyroscope), battery 83% शामिल थे
• vibration, heating, EMS, music control सभी सामान्य रूप से काम करने लगे
• web dashboard में slider के जरिए हर feature को नियंत्रित करने की व्यवस्था बनाई गई

MQTT broker exposure

• ऐप में hardcoded credentials से MQTT broker से कनेक्ट करते ही सभी devices का डेटा प्राप्त होने लगा
  • लगभग 25 devices सक्रिय थे और नींद के दौरान EEG data, air quality (temperature·humidity·CO₂), presence detection information भेज रहे थे
• दो उपयोगकर्ता क्रमशः REM sleep state और slow-wave sleep state (4Hz से कम delta waves) में पाए गए
• चूँकि सभी devices एक ही credentials इस्तेमाल कर रहे थे, इसलिए किसी बाहरी व्यक्ति द्वारा electrical stimulation commands भेजने की संभावना मौजूद थी

सुरक्षा समस्या और प्रतिक्रिया

• product name और company name सार्वजनिक नहीं किए गए, और manufacturer को समस्या की सूचना दे दी गई
• इस घटना ने personal data protection और IoT security management की गंभीर खामियों को उजागर किया
• लेखक ने Karpathy की ‘Digital Hygiene’ पोस्ट को फिर से पढ़ने की सलाह दी और digital hygiene के महत्व पर ज़ोर दिया

अतिरिक्त जानकारी

• reverse engineering प्रक्रिया लगभग 30 मिनट तक Claude (Opus 4.6) model ने स्वायत्त रूप से की
• इसके बाद यह मामला Hacker News पर पहले स्थान तक पहुँचा और संबंधित conversation logs सार्वजनिक किए गए

[GN⁺]

Hacker News की राय

• Kickstarter पर बहुत से ऐसे प्रोजेक्ट होते हैं जो बाज़ार में जल्दी पहुँचने के लिए हर तरह के shortcut अपनाते हैं
  मुझे भी कुछ प्रोजेक्ट्स में सफलता मिली है, लेकिन backing करते समय मैं बहुत सावधान रहा हूँ
  पहले industrial designers engineering को सिर्फ़ आसानी से outsource की जा सकने वाली resource की तरह देखते थे, फिर पैसे जुटाकर उसे सबसे कम बोली लगाने वाले को सौंपना चाहते थे
  लेकिन ज़्यादातर या तो fail हुए या नुकसान उठाया। अब LLM की वजह से software या firmware ‘मुफ़्त’ जैसा दिखने लगा है, इसलिए वे ideas जो पहले मुश्किल लगते थे और छोड़ दिए जाते थे, फिर से उभर रहे हैं
  • इस समय मुझे लगता है कि LLM सबसे सस्ती engineering firm की तुलना में ज़्यादा सुरक्षित नतीजा दे सकता है
  • जो लोग सोचते हैं कि LLM firmware मुफ़्त में बना देगा, शायद उन्होंने इसे वास्तव में इस्तेमाल नहीं किया है
• मुझे लगता है कि असली समस्या यह है कि brainwave डेटा server पर भेजा जा रहा है
  मैं neuroscientist हूँ, इसलिए मैं EEG डेटा को ‘mind reading’ की तरह नहीं देखता, लेकिन brain data की non-privacy एक बहुत बुरी मिसाल है
  • “यह व्यक्ति अभी सो रहा है” जैसी जानकारी भी privacy violation हो सकती है
    ऐसे data leak का सामाजिक रूप से नकारात्मक असर पड़ सकता है
  • लोग शायद सिर्फ़ email थोड़ा आसान भेजने के लिए भी अपना brainwave data देने के लिए लाइन में लग जाएँगे
  • EEG से arousal level पढ़ा जा सकता है, और यह चोरों के लिए उपयोगी जानकारी बन सकता है। slow brainwave state वाले device ideal target हो सकते हैं
  • मुझे जिज्ञासा है कि ऐसा device research के लिए कितना उपयोगी होगा। मैं neuroscientist नहीं हूँ, इसलिए पक्का नहीं कह सकता
  • मेरा मानना है कि health data की privacy को लेकर कानूनी मिसालें पहले से मौजूद हैं
• बेशक यह अनैतिक है, लेकिन लगता है कि इस तकनीक से लोगों की brainwaves पढ़कर दूसरे लोगों के mask को signal भेजने वाला shared dream device बनाया जा सकता है
  ऐसा कि दुनिया भर के लोग एक ही समय में सपने के समान बदलाव अनुभव करें — science fiction के लिए यह एकदम परफ़ेक्ट material है
  • अगर आप कोई ऐसा काम कर रहे हैं जिसमें Hans Zimmer soundtrack चाहिए, तो संभव है कि आप villain हों
  • वही तो फ़िल्म Paprika की कहानी है
  • Dreamscape (1984) में भी ऐसा ही setup है
  • Inception याद आ गई
• यह साफ़ तौर पर security disaster है, लेकिन अगर server connection के बिना भी काम करने वाला hackable EEG sleep mask हो, तो वह काफ़ी cool होगा
  और अगर हर बार electrode gel न लगाना पड़े, तो और भी अच्छा
• IoT में S का मतलब Security होता है
  मैंने गैर-व्यक्तिगत data के साथ तेज़ prototyping के लिए open MQTT इस्तेमाल किया था, लेकिन cloud provider ने DDoS relay risk की वजह से इसे बंद करने को कहा था
  ऐसे अनुभव के कारण, sleep mask company authentication या authorization करे भी, तो उस पर भरोसा करना मुश्किल है
  • यह वही मज़ाक है कि IoT में S होता ही नहीं
  • और एक और joke कि IoT में P का मतलब Privacy, Q का Quality, और K का Ka-ching! है
• मैं Affectable Sleep का founder हूँ
  यह मामला wellness device regulation की खामी को साफ़ दिखाता है
  हाल में app और data से जुड़े regulations का हल्का होना सकारात्मक है, लेकिन data security requirements ज़रूरी हैं
  हमारी company सभी algorithms और processing device के अंदर ही करती है, और server पर भेजा जाने वाला data भी पूरी तरह encrypted होता है
  जो company यह बुनियादी काम भी नहीं करती, उस पर भरोसा कैसे किया जाए, समझ नहीं आता
• मुझे इस प्रोजेक्ट की prompt history जानने की जिज्ञासा है
  लिखे हुए से लगता है कि Claude ने खुद APK निकालकर decompile किया, लेकिन मैं जानना चाहता हूँ कि वास्तव में इंसानी दखल कितना था
  • दखल लगभग नहीं था। अगर संभव हुआ तो रिकॉर्ड ढूँढकर साझा करूँगा
  • ऐसी AI की real-time demo बहुत कम हैं। अगर यह सच में autonomous तरीके से काम करता है, तो किसी ने इसकी streaming की होती
• ज़्यादातर लोग समस्याओं पर ध्यान दे रहे हैं, लेकिन मुझे Claude का reverse engineering अच्छी तरह करना ज़्यादा दिलचस्प लगता है
  अगर इस स्तर का analysis आसान हो गया, तो AI से जुड़ी नई implications सामने आ सकती हैं
  • मैं सहमत नहीं हूँ। सिर्फ़ strings चलाना और decompiler का इस्तेमाल करना बुनियादी प्रक्रिया है
    random trial बार-बार दोहराना बस compute resources की बर्बादी है
• “अब अजनबियों की brainwaves पढ़ना और उन्हें electrical stimulation भेजना संभव हो गया है” — यह लगभग Philip K. Dick के उपन्यास का दृश्य लगता है
• अगर आपने internet-connected sleep mask खरीदा है, तो data collection और खराब security तो लगभग तय ही है
  असल में हैरानी की बात यह है कि इस company ने efficiency के लिए MQTT इस्तेमाल करने के बारे में सोचा
  security भले ही बहुत खराब हो, लेकिन bandwidth बचाने की कोशिश दिलचस्प है
  • लेकिन आखिर में वे सबका data stream कर रहे हैं, इसलिए वह फ़ायदा भी ख़त्म हो जाता है