Petr Szkuta Nie tak dawno temu w Internecie wybuchła afera dotycząca podsłuchiwania użytkowników. Wiodącą rolę odegrały inteligentne głośniki Amazona i Google’a. Teraz okazuje się, że wiele aplikacji innych firm potrafi jeszcze więcej.
Inteligentne głośniki Amazon i Google różnią się od Apple HomePod raz istotna funkcja. Umożliwiają aplikacjom innych firm korzystanie ze sprzętu urządzenia. Inżynierowie oprogramowania obu firm toczą zatem niekończącą się walkę z hakerami, którzy są zawsze o krok do przodu.
Eksperci ds. bezpieczeństwa udostępnili informację z serwerem ZDNet o swoich ustaleniach. Cały atak na użytkownika polega na wykorzystaniu prostej luki w działaniu systemu operacyjnego głośnika z wbudowanym mikrofonem.
Dzieje się tak, ponieważ aplikacje innych firm mają dostęp do mikrofonu głośnika tylko przez ograniczony czas. Istnieje jednak możliwość wydłużenia tego czasu w przypadku, gdyby zrozumienie polecenia użytkownika nie było możliwe. I właśnie z tej ścieżki korzystają hakerzy.
Wystąpił błąd połączenia. Wprowadź hasło do konta Google
Standardowe zachowanie aplikacji odpowiada z grubsza następującej sytuacji:
Proszę Alexę o dodanie elementów do koszyka aplikacji ze sklepu sieciowego. Aplikacja sprawdza historię zamówień w celu porównania parametrów towaru, a następnie prosi mnie o potwierdzenie. Jednocześnie uruchamia mikrofon i czeka na odpowiedź tak lub nie. Jeżeli nie odbieram, mikrofon wyłącza się po kilku sekundach.
Istnieje jednak sposób na ominięcie wyciszenia mikrofonu. Można to osiągnąć za pomocą specjalnego ciągu tekstowego „�. ” zapisane w kodzie aplikacji. Może to z łatwością wydłużyć czas aktywacji mikrofonu z kilku sekund do znacznie dłuższego. Aplikacja może dzięki temu cały czas podsłuchiwać użytkownika.
Druga opcja jest jeszcze bardziej podstępna. Ciąg można wykorzystać i ustawić nawet do przetwarzania instrukcji audio. Następnie aplikacja może zostać wymuszona zapytaniem o hasło np. do konta Amazon czy Google. Poniższe filmy wyraźnie pokazują całą procedurę.
Mogłoby być interesują Cię
Dawid Hanak Tymczasem Apple nie pozwala aplikacjom innych firm na bezpośredni dostęp do mikrofonu HomePoda i prawdopodobnie nigdy nie pozwoli na to w takim stopniu, jak Amazon i Google. Wszyscy programiści muszą używać specjalnego API obsługującego głos. Jego użytkownicy są na razie bezpieczni.
