Amazon og Google smarthøyttalere stjeler passord for hackere HomePod-brukere trenger ikke bekymre deg

For ikke så lenge siden var det en skandale på Internett om avlytting av brukere. Smarthøyttalere fra Amazon og Google spilte en ledende rolle. Nå viser det seg at mange tredjepartsapper kan gjøre enda mer.

Smarthøyttalere fra Amazon og Google er forskjellige fra Apple HomePod en gang essensiell funksjon. De tillater tredjepartsapplikasjoner å bruke enhetens maskinvare. Programvareingeniørene til begge selskapene fører dermed en endeløs kamp med hackere, som alltid ligger et skritt foran.

Sikkerhetseksperter delte med ZDNet-serveren om deres funn. Hele angrepet på brukeren består i å bruke et enkelt smutthull i driften av operativsystemet til høyttaleren med en innebygd mikrofon.

Dette er fordi tredjepartsapplikasjoner har muligheten til å få tilgang til høyttalerens mikrofon kun i en begrenset tidsbegrensning. Det er imidlertid en mulighet for å forlenge denne tiden i tilfelle det ikke var mulig å forstå brukerens kommando. Og dette er akkurat veien hackere bruker.

Det oppstod en tilkoblingsfeil. Skriv inn passordet for Google-kontoen din

Standardoppførselen til applikasjonen tilsvarer omtrent følgende situasjon:

Jeg ber Alexa legge til varer i app-handlekurven min fra en kjedebutikk. Applikasjonen sjekker ordrehistorikken for å sammenligne parametrene til varene og ber meg deretter om bekreftelse. Samtidig aktiverer den mikrofonen og venter på et ja eller nei svar. Hvis jeg ikke svarer, slår mikrofonen seg av etter noen sekunder.

Det er imidlertid en måte å omgå mikrofondempingen. Dette kan oppnås med en spesiell tekststreng "�. ” skrevet inn i applikasjonskoden. Dette kan enkelt øke mikrofonaktiveringstiden fra noen få sekunder til mye lenger. Applikasjonen kan dermed avlytte brukeren hele tiden.

Det andre alternativet er enda mer lumsk. Kjeden kan brukes og installeres selv for behandling av en lydinstruksjon. Deretter kan applikasjonen bli tvunget til å be om passord til for eksempel en Amazon- eller Google-konto. Videoene nedenfor viser tydelig hele prosedyren.

I mellomtiden tillater ikke Apple tredjepartsapper å få direkte tilgang til HomePods mikrofon, og vil sannsynligvis aldri gjøre det i samme grad som Amazon og Google. Alle utviklere må bruke en spesiell API som håndterer stemme. Brukerne er trygge for nå.