Önemli Bilgiler
- Araştırmacılar, bazı Echo akıllı hoparlörleri kötü niyetli talimatlar içeren ses dosyalarını çalmaları için kandırmayı başardılar.
- Cihazlar, talimatları gerçek kullanıcılardan gelen komutlar olarak yorumlayarak bilgisayar korsanlarının kontrolü ele geçirmesini sağlar.
- Hacker'lar daha sonra diğer akıllı cihazları ele geçirmek ve hatta kullanıcıları gizlice dinlemek için saldırıya uğramış hoparlörleri kullanabilir.
Evlerini akıllı cihazlarla donatma telaşında birçok kullanıcı akıllı hoparlörlerin oluşturduğu güvenlik risklerini görmezden geliyor, güvenlik uzmanlarını uyarıyor.
Buna bir örnek, Londra Üniversitesi ve İtalya'daki Catania Üniversitesi'nden araştırmacıların, kendilerini hacklemek için bu akıllı hoparlörleri silahlandırmak için kullandıkları bazı Amazon Echo cihazlarında yakın zamanda yamalanan güvenlik açığıdır.
Araştırmacılar, "Saldırımız, Alexa'ya karşı Alexa (AvA), Echo cihazlarında kendi kendine verilen keyfi komutların güvenlik açığından yararlanan ilk saldırıdır" dedi. "AvA aracılığıyla saldırganların evdeki akıllı cihazları kontrol edebileceğini, istenmeyen öğeleri satın alabileceğini, bağlantılı takvimleri kurcalayabileceğini ve kullanıcıyı gizlice dinleyebileceğini doğruladık."
Dost Ateşi
Araştırmacılar, makalelerinde, ses dosyalarını çalmalarını sağlayarak akıllı hoparlörlerden ödün verme sürecini gösteriyor. Güvenliği ihlal edildiğinde, cihazlar kendilerini uyandırabilir ve uzaktaki saldırgan tarafından verilen komutları yürütmeye başlayabilir. Araştırmacılar, saldırganların saldırıya uğramış cihaza indirilen uygulamaları nasıl kurcalayabileceğini, telefon görüşmeleri yapabileceğini, Amazon'da sipariş verebileceğini ve daha fazlasını gösteriyor.
Araştırmacılar, saldırı mekanizmasını hem üçüncü hem de dördüncü nesil Echo Dot cihazlarında başarıyla test etti.
İlginç bir şekilde, bu hack saldırının karmaşıklığını daha da az altan sahte konuşmacılara bağlı değildir. Ayrıca araştırmacılar, sömürü sürecinin oldukça basit olduğuna dikkat çekiyor.
AvA, Echo cihazı, hoparlörleri bir kullanıcı tarafından verilen normal komutlar olarak kabul etmeleri için kandıran sesli komutlar içeren bir ses dosyasını yayınlamaya başladığında başlar. Cihaz, belirli bir eylemi gerçekleştirmek için ikincil bir onay istese bile, araştırmacılar, uyumluluğu zorlamak için kötü niyetli istek yeterli olduktan yaklaşık altı saniye sonra basit bir "evet" komutu önerir.
İşe yaramaz Beceri
Araştırmacılar, akıllı hoparlörlerin kötü amaçlı kaydı çalmasını sağlamak için iki saldırı stratejisi gösteriyor.
Birinde, saldırganın hoparlörlerin Bluetooth eşleştirme aralığında bir akıllı telefona veya dizüstü bilgisayara ihtiyacı olacaktır. Bu saldırı vektörü başlangıçta hoparlörlere yakın olmayı gerektirse de, bir kez eşleştirildikten sonra saldırganlar istedikleri zaman hoparlörlere bağlanabilir, bu da onlara ilk eşleştirmeden sonra herhangi bir zamanda gerçek saldırıyı gerçekleştirme özgürlüğü verir.
İkinci, tamamen uzaktan saldırıda, saldırganlar Echo'nun kötü amaçlı komutları çalmasını sağlamak için bir internet radyo istasyonunu kullanabilir. Araştırmacılar, bu yöntemin hedeflenen kullanıcıyı Echo'ya kötü niyetli bir Alexa becerisi indirmesi için kandırmayı içerdiğini belirtiyor.
Herkes, Alexa özellikli bir cihazda çalıştırmak için özel ayrıcalıklar gerektirmeyen yeni bir Alexa becerisi oluşturup yayınlayabilir. Ancak Amazon, gönderilen tüm becerilerin Alexa beceri mağazasında yayınlanmadan önce incelendiğini söylüyor.
Ivanti Kıdemli Ürün Müdürü Todd Schell, Lifewire'a e-posta yoluyla AvA saldırı stratejisinin, bilgisayar korsanlarının bu cihazlar ilk piyasaya sürüldüğünde, kablosuz ağlara girmek için bir WiFi radyoyla mahallelerde dolaşarak WiFi açıklarından nasıl yararlanacağını hatırlattığını söyledi. varsayılan parolaları kullanarak erişim noktaları (AP). Bir AP'yi tehlikeye attıktan sonra, saldırganlar ya daha fazla ayrıntı için etrafta dolaşır ya da sadece dışa dönük saldırılar gerçekleştirir.
"Bu son [AvA] saldırı stratejisinde gördüğüm en büyük fark, bilgisayar korsanları erişim sağladıktan sonra, çok fazla çalışma yapmadan, sahibinin kişisel bilgilerini kullanarak işlemleri hızlı bir şekilde gerçekleştirebilmeleri" dedi.
Schell, AvA'nın yeni saldırı stratejisinin uzun vadeli etkisinin, güncellemelerin ne kadar hızlı dağıtılabileceğine, insanların cihazlarını güncellemelerinin ne kadar sürdüğüne ve güncellenmiş ürünlerin fabrikadan ne zaman gönderilmeye başlanacağına bağlı olacağına dikkat çekiyor.
AvA'nın etkisini daha geniş bir ölçekte değerlendirmek için, araştırmacılar, makalelerinde araştırmacılar tarafından vurgulanan AvA'ya yönelik sınırlamaların çoğunun neredeyse hiç kullanılmadığını gösteren 18 kullanıcıdan oluşan bir çalışma grubu üzerinde bir anket yaptı. pratikte.
Schell şaşırmadı. "Gündelik tüketici, tüm güvenlik sorunlarını önceden düşünmez ve genellikle yalnızca işlevselliğe odaklanır."
