Разработчик под ником nyakokitsu представил открытый проект YAM (Y Application Manager). Это сторонний и неофициальный менеджер пакетов для «Яндекс Станций». Решение позволяет (после получения ADB-доступа) устанавливать на «Станции» собственные приложения, управлять аппаратными функциями устройства через браузер и запускать приложения на Linux. YAM может нарушить привычную работу устройства, поэтому лучще сначала сохранять резервную копию прошивки.
Документация проекта YAM:
-
Каталог документации
-
Командная строка
-
Упаковка
-
Реестр
-
Платформы
-
Быстрый старт
-
Сборка и публикация
Проект YAM не взламывает умную колонку. Для установки решения нужно получить ADB‑доступ к устройству (например, через eQuasar), который открывает командную оболочку станции.
По информации Securitylab.ru:
YAM работает уже поверх полученного ADB-доступа и берет на себя установку программ и управление колонкой.
установщик находит колонку через ADB, проверяет SHA-256 загруженных файлов и размещает сервис yamd в каталоге /data/quazar/yam. После установки пользователь получает веб-интерфейс и отдельную командную строку. Панель показывает температуру процессора, использование памяти, параметры Wi-Fi и время работы системы, позволяет менять громкость, работать с файлами, просматривать журналы и запускать приложения.
главным элементом системы стали пакеты .yap. Архив содержит описание приложения и код на Lua либо готовую программу, собранную под архитектуру колонки. Пакет можно запустить один раз, оставить работать в фоне или добавить в автоматический запуск. YAM умеет устанавливать программы как из локальных файлов, так и из отдельного реестра пакетов.
сторонним приложениям доступно гораздо больше возможностей, чем обычному навыку «Алисы». Через специальный интерфейс разработчик может управлять подсветкой, громкостью, воспроизведением звука, Bluetooth, дисплеем часов и датчиками. Программа способна получать события кнопок, реагировать на заранее заданные голосовые команды и взаимодействовать с внутренними сервисами Quasar.
доступ к функциям разделен разрешениями. Например, приложению можно отдельно разрешить управление светодиодами, звуком, Bluetooth или сетью. Для сетевых запросов разработчик пакета должен заранее указать допустимые хосты, а обращения к локальным и частным IP-адресам через стандартный программный интерфейс запрещены. Более чувствительные разрешения дают доступ к распознанной речи, внутреннему обмену Quasar и запуску исполняемых файлов.
архитектура открывает дорогу для функций, которых штатная прошивка не предлагает. Энтузиасты могут писать собственные голосовые команды, подключать альтернативные музыкальные сервисы, создавать локальные интеграции и использовать колонку как небольшое Linux-устройство.
главное ограничение связано с безопасностью самой панели управления. Веб-интерфейс YAM работает без авторизации, поэтому разработчики рекомендуют использовать сервис только внутри доверенной локальной сети. Открывать порт панели в интернет нельзя: пользователь с сетевым доступом потенциально сможет управлять колонкой и устанавливать приложения.
В «Яндексе» уточнили, что способ с ADB‑доступом позволял получить root‑доступ только к собственной «Станции». По словам представителей «Яндекса», владельцы и раньше могли экспериментировать с личными устройствами: разобрать колонку и установить на неё собственную прошивку. Отдельно в «Яндексе» отметили, что сценарий со сбросом колонки до заводских настроек связан с экспериментами над программным обеспечением собственной «Станции» и выходит за рамки её повседневного использования. Над этим сценарием компания тоже работает.
В «Яндексе» подтвердили, что в курсе уязвимости и устраняют эту проблему безопасности. «Наша техническая команда уже разобрала сценарии уязвимости и подготовила обновление безопасности для наших устройств. Часть пользователей уже получила его, остальные получат сегодня. Пользователям ничего делать не нужно — оно установится на „Станции“ автоматически», — сообщили в пресс‑службе «Яндекса».
С 21 по 23 октября в «Яндексе» выпустили обновление для всех активных умных колонок и большинства партнёрских телевизоров на YaOS. Оно установилось автоматически, пользователям не нужно ничего настраивать. Обновление защищает устройства от подмены серверов через скомпрометированные сертификаты eMudhra, которым доверяли крупнейшие IT‑компании по всему миру. Обычно такие сертификаты помогают устройству, выходящему в интернет, отличать настоящий сервер от поддельного.
Публикация от «Яндекса» на Хабре: «Инцидент с ключами eMudhra: удивительная история длиной в полтора года и обновление миллионов устройств за пару дней».
Источник: habr.com