Petr Skuta Nog niet zo lang geleden was er op internet een schandaal over het afluisteren van gebruikers. Slimme speakers van Amazon en Google speelden een hoofdrol. Nu blijkt dat veel apps van derden nog meer kunnen.
Slimme speakers van Amazon en Google zijn anders dan Apple HomePod een keer essentiële functie. Ze zorgen ervoor dat applicaties van derden de hardware van het apparaat kunnen gebruiken. De software-ingenieurs van beide bedrijven voeren dus een eindeloze strijd met hackers, die altijd een stap voor zijn.
Beveiligingsexperts deelden met de ZDNet-server over hun bevindingen. De hele aanval op de gebruiker bestaat uit het gebruik van een simpele maas in de bediening van het besturingssysteem van de luidspreker met een ingebouwde microfoon.
Dit komt omdat applicaties van derden slechts gedurende een beperkte tijd toegang hebben tot de microfoon van de spreker. Er is echter een optie om deze tijd te verlengen in het geval dat het niet mogelijk was om de opdracht van de gebruiker te begrijpen. En dit is precies het pad dat hackers gebruiken.
Er is een verbindingsfout opgetreden. Voer het wachtwoord van uw Google-account in
Het standaardgedrag van de applicatie komt grofweg overeen met de volgende situatie:
Ik vraag Alexa om items van een winkelketen aan mijn app-winkelwagentje toe te voegen. De applicatie controleert de bestelgeschiedenis om de parameters van de goederen te vergelijken en vraagt mij vervolgens om bevestiging. Tegelijkertijd activeert hij de microfoon en wacht hij op een ja of nee antwoord. Als ik niet opneem, wordt de microfoon na enkele seconden uitgeschakeld.
Er is echter een manier om de microfoondemping te omzeilen. Dit kan worden bereikt met een speciale tekststring "�. ' geschreven in de applicatiecode. Hierdoor kan de activeringstijd van de microfoon gemakkelijk worden verlengd van enkele seconden tot veel langer. De applicatie kan de gebruiker dus voortdurend afluisteren.
De tweede optie is zelfs nog verraderlijker. De string kan zelfs voor de verwerking van een audio-instructie worden gebruikt en ingesteld. Vervolgens kan de applicatie gedwongen worden om een wachtwoord te vragen voor bijvoorbeeld een Amazon- of Google-account. Onderstaande video’s laten duidelijk de gehele procedure zien.
Het zou kunnen interesseer je
David Hanak Ondertussen staat Apple niet toe dat apps van derden rechtstreeks toegang krijgen tot de microfoon van de HomePod, en dat zal waarschijnlijk nooit in dezelfde mate gebeuren als Amazon en Google. Alle ontwikkelaars moeten een speciale API gebruiken die spraak verwerkt. De gebruikers zijn voorlopig veilig.
