Key takeaways
- Forskere har formået at narre nogle Echo-smarthøjttalere til at afspille lydfiler fyldt med ondsindede instruktioner.
- Enhederne fortolker instruktionerne som kommandoer fra rigtige brugere, hvilket giver hackere mulighed for at tage kontrollen.
- Hackere kan derefter bruge de hackede højttalere til at overtage andre smarte enheder og endda aflytte brugerne.
I hastværket med at forsyne deres hjem med smartenheder ignorerer mange brugere de sikkerhedsrisici, som smarthøjttalere udgør, advarer sikkerhedseksperter.
Et eksempel er den nyligt korrigerede sårbarhed i nogle Amazon Echo-enheder, som forskere fra University of London og University of Catania, Italien, var i stand til at udnytte og bruge til at bevæbne disse smarte højttalere til at hacke sig selv.
"Vores angreb, Alexa versus Alexa (AvA), er det første til at udnytte sårbarheden ved selvudstedende vilkårlige kommandoer på Echo-enheder," bemærkede forskerne. "Vi har bekræftet, at angribere via AvA kan kontrollere smarte apparater i husstanden, købe uønskede genstande, manipulere med linkede kalendere og aflytte brugeren."
Friendly Fire
I deres papir demonstrerer forskerne processen med at kompromittere de smarte højttalere ved at få dem til at afspille lydfiler. Når først kompromitteret, kunne enhederne vække sig selv og begynde at udføre kommandoer udstedt af fjernangriberen. Forskerne demonstrerer, hvordan angribere kunne manipulere med applikationer downloadet på den hackede enhed, foretage telefonopkald, afgive ordrer på Amazon og meget mere.
Forskerne testede angrebsmekanismen med succes på både tredje- og fjerdegenerations Echo Dot-enheder.
Interessant nok afhænger dette hack ikke af useriøse højttalere, hvilket yderligere reducerer kompleksiteten af angrebet. Desuden bemærker forskerne, at udnyttelsesprocessen er ret enkel.
AvA starter, når Echo-enheden begynder at streame en lydfil, der indeholder stemmekommandoer, der narrer højttalerne til at acceptere dem som almindelige kommandoer udstedt af en bruger. Selv hvis enheden beder om en sekundær bekræftelse for at udføre en bestemt handling, foreslår forskerne en simpel "ja"-kommando cirka seks sekunder efter, at den ondsindede anmodning er nok til at håndhæve overholdelse.
Useless Skill
Forskerne demonstrerer to angrebsstrategier for at få smarthøjttalerne til at afspille den ondsindede optagelse.
I det ene ville angriberen have brug for en smartphone eller bærbar inden for højttalernes Bluetooth-parringsområde. Selvom denne angrebsvektor kræver nærhed til højttalerne i starten, kan angriberne, når de er parret, oprette forbindelse til højttalerne efter behag, hvilket giver dem frihed til at udføre det faktiske angreb når som helst efter den første parring.
I det andet, fuldstændig fjernangreb, kan angriberne bruge en internetradiostation til at få Echo til at afspille de ondsindede kommandoer. Forskerne bemærker, at denne metode involverer at narre den målrettede bruger til at downloade en ondsindet Alexa-færdighed til Echo.
Enhver kan oprette og udgive en ny Alexa-færdighed, som ikke kræver særlige privilegier for at køre på en Alexa-aktiveret enhed. Amazon siger dog, at alle indsendte færdigheder bliver undersøgt, før de går live i Alexa skills-butikken.
Todd Schell, Senior Product Manager hos Ivanti, fort alte Lifewire via e-mail, at AvA-angrebsstrategien minder ham om, hvordan hackere ville udnytte WiFi-sårbarheder, da disse enheder først blev introduceret, og kørte rundt i kvarterer med en WiFi-radio for at bryde ind i trådløst netværk. adgangspunkter (AP) ved hjælp af standardadgangskoder. Efter at have kompromitteret et AP ville angriberne enten gå på jagt efter flere detaljer eller bare udføre udadvendte angreb.
"Den største forskel, jeg ser med denne seneste [AvA]-angrebsstrategi, er, at efter at hackerne har fået adgang, kan de hurtigt udføre operationer ved hjælp af ejerens personlige oplysninger uden en masse arbejde," sagde Schell.
Schell påpeger, at den langsigtede virkning af AvA's nye angrebsstrategi vil afhænge af, hvor hurtigt opdateringer kan distribueres, hvor lang tid det tager folk at opdatere deres enheder, og hvornår de opdaterede produkter begynder at sendes fra fabrikken.
For at vurdere virkningen af AvA i større skala gennemførte forskerne en undersøgelse på en undersøgelsesgruppe på 18 brugere, som viste, at de fleste af begrænsningerne mod AvA, fremhævet af forskerne i deres papir, næsten ikke bliver brugt i praksis.
Schell er ikke overrasket. "Den daglige forbruger tænker ikke på alle sikkerhedsproblemerne på forhånd og er norm alt udelukkende fokuseret på funktionalitet."
