Cách nhận biết khi loa thông minh của bạn đang nghe trộm

Không phải mọi thứ đều phải là nền tảng cho thứ khác, và điều đó đặc biệt đúng trong ngôi nhà thông minh của bạn. Mặc dù bạn có thể bổ sung cho loa thông minh của mình các kỹ năng, hành động và ứng dụng — chúng tôi chủ yếu nói về thiết bị Echo của Amazon và Google Home — bạn nên suy nghĩ kỹ về những gì bạn đang cài đặt. Các lỗ hổng chưa được sửa chữa bởi một trong hai công ty có thể khiến bạn bị lừa đảo hoặc nghe trộm bởi một nhà phát triển độc hại.

Mặc dù nó không có gì lạ mắt cuộc tấn công bằng tia laser lần này, các nhà nghiên cứu tại Phòng thí nghiệm Nghiên cứu Bảo mật đã xác nhận rằng lỗ hổng hàng tháng tuổi liên quan đến cách xử lý lệnh thoại của Amazon và loa của Google vẫn chưa được sửa. Do đó, các ứng dụng lừa đảo (mà cả hai công ty dường như đều gặp khó khăn khi bắt được) có thể lấy cắp thông tin bảo mật quan trọng từ những người dùng không nghi ngờ.

Đây là SRLabs ‘ sự mô tả về cách một ứng dụng tận dụng các lỗ hổng bảo mật:

1. Tạo một ứng dụng có vẻ vô tội, bao gồm một ý định được kích hoạt bởi “start” lấy các từ tiếp theo làm giá trị vị trí (đầu vào của người dùng có thể thay đổi được chuyển tiếp đến ứng dụng). Ý định này hoạt động giống như ý định dự phòng.

2. Amazon hoặc Google xem xét tính bảo mật của ứng dụng thoại trước khi nó được xuất bản. Chúng tôi thay đổi chức năng sau đánh giá này, điều này không thúc đẩy đánh giá vòng thứ hai. Đặc biệt, chúng tôi thay đổi thông báo chào mừng thành thông báo lỗi giả mạo, khiến người dùng nghĩ rằng ứng dụng chưa khởi động. (“Kỹ năng này hiện không khả dụng ở quốc gia của bạn.”) Bây giờ người dùng giả định rằng ứng dụng thoại không còn nghe nữa.

3. Thêm khoảng dừng âm thanh dài tùy ý sau thông báo lỗi bằng cách đặt ứng dụng thoại “nói” chuỗi ký tự “ . “(U + D801, dấu chấm, dấu cách). Vì trình tự này không thể phát âm được nên người nói sẽ giữ im lặng trong khi hoạt động. Việc làm cho ứng dụng “nói” các ký tự nhiều lần sẽ làm tăng độ dài của khoảng lặng này.

4. Cuối cùng, kết thúc im lặng sau một lúc và phát tin nhắn lừa đảo. (“Đã có bản cập nhật bảo mật quan trọng cho thiết bị của bạn. Vui lòng nói bắt đầu cập nhật, sau đó là mật khẩu của bạn.”). Bất cứ điều gì người dùng nói sau khi “bắt đầu” sẽ được gửi đến phần phụ trợ của tin tặc. Đó là bởi vì ý định, hoạt động giống như ý định dự phòng trước đây, giờ đây lưu dữ liệu nhập của người dùng cho mật khẩu dưới dạng giá trị vị trí ”.

Trong một vectơ tấn công khác, một nhà phát triển có thể tạo ra một quy trình nghe trộm bằng cách gửi các từ phổ biến làm trình kích hoạt, chẳng hạn như “địa chỉ;” kết hợp điều đó với một thông báo “dừng” sai, giống như người nói của bạn nói “tạm biệt” và kéo dài thời gian người nói vẫn hoạt động bằng cách sử dụng thủ thuật ký tự “ẩn” trước đó. Nếu một người nói một từ kích hoạt vào một thời điểm nào đó trong thời gian kéo dài này, người nói sẽ ghi lại và gửi bất kỳ điều gì đã được nói đến nhà phát triển.

Nếu điều đó khó theo dõi, đây là video về việc khai thác đang hoạt động:

Cách thức tấn công tương tự có một chút khác biệt trên các thiết bị của Google, nhưng cũng mạnh mẽ hơn, vì không cần các từ kích hoạt (và khoảng thời gian “nghe trộm” có thể tồn tại mãi mãi):

Cần làm gì về các kỹ năng bổ sung cho loa thông minh của bạn

Mặc dù Amazon và Google được cho là đang đẩy mạnh các quy trình đánh giá của họ để nắm bắt các kỹ năng, hành động và các tích hợp khác cố gắng khai thác thiết bị của bạn, nhưng điều này đã không diễn ra tốt đẹp. Như ThreatPost viết, các ứng dụng bị loại bỏ tận dụng các khai thác này có thể được gửi lại (và thậm chí được chấp thuận). Điều đó, và toàn bộ khía cạnh mồi và chuyển đổi — nơi một kỹ năng hợp pháp được chấp thuận, chỉ để được hoán đổi bằng mã với mục đích xấu hơn — tự bản thân nó đã có vấn đề.

Lời khuyên của chúng tôi? Bám sát các kỹ năng và hành động từ các nhà phát triển đã biết đã được những người khác đánh giá và hiệu đính. Ví dụ: lấy điểm số thể thao của bạn từ một kỹ năng ESPN với nhiều đánh giá thay vì một số “kỹ năng thể thao” của người dùng ngẫu nhiên mà họ đã tạo vào tuần trước. Bạn luôn có thể đánh dấu trang đó và quay lại kiểm tra nó sau, để xem những người dùng khác có thấy nó hợp pháp hay không.

Quan trọng nhất, thỉnh thoảng nhìn vào loa thông minh của bạn. Đừng chỉ cho rằng sự kết thúc của một phản hồi — bằng âm thanh “dinging” hoặc một số thông báo khác — có nghĩa là người nói của bạn đã xử lý xong các lệnh. Biết thiết bị của bạn là gì vật lý tín hiệu và nhìn vào nó, thay vì la mắng nó, khi bạn đang kích hoạt các kỹ năng của bên thứ ba. Nếu thiết bị của bạn vẫn hoạt động theo một cách kỳ lạ nào đó, đó là một manh mối tuyệt vời cho thấy kỹ năng hoặc hành động bạn đang sử dụng có thể cần được điều tra bổ sung.

Cuối cùng, cắt tỉa kỹ năng và hành động. Nếu bạn không thể nhớ lần cuối cùng bạn sử dụng ứng dụng hoặc dịch vụ của bên thứ ba với loa thông minh của mình, hãy loại bỏ khả năng truy cập vào thiết bị của bạn (hoặc tài khoản được liên kết). Đừng để các tích hợp không dùng đến chồng chất, bởi vì tất cả những gì cần làm là chuyển đổi trọng tâm của nó để gây ra một số khó chịu trong cuộc sống kỹ thuật số của bạn.