亞馬遜修復了一個允許黑客監(jiān)控Alexa設備的漏洞
亞馬遜Echo智能音箱最方便的一點是，Alexa隨時準備好聆聽你的命令。然而，來自安全測試公司Checkmarx的一個團隊想看看這個一直存在的功能是否能把這個小工具變成黑客設備——答案是肯定的。
Checkmarx可以創(chuàng)造一種技能，讓黑客能夠監(jiān)聽Echo設備和用戶之間的對話。本月早些時候，亞馬遜解決了這個問題，但隨著我們的家庭變得更加緊密，語音助理揚聲器變得更加普遍，這一事件已經(jīng)成為一個警示。
Checkmarx是這樣做的：通常情況下，Alexa在執(zhí)行一個命令后會停止監(jiān)聽，直到你說出“Alexa”喚醒詞，它才會再次啟動。然而，研究人員發(fā)現(xiàn)，黑客可以利用Alexa的“重啟”功能。如果Alexa第一次聽不懂你說的話，她會讓你知道這一點，并繼續(xù)聽，直到你重復自己。
checkmarx的研究人員發(fā)現(xiàn)，黑客可以開發(fā)一種Alexa技能，讓虛擬助手繼續(xù)監(jiān)聽，即使他們最初知道一個命令。當Alexa要求用戶重復一個提示時，他們也能夠?qū)⒑罄m(xù)的聲音靜音，從而使說話者保持沉默但繼續(xù)聽。Checkmarx黑客的下一部分涉及為Alexa安排一種方法，不僅可以在人們沒有意識到的情況下繼續(xù)收聽，還可以轉(zhuǎn)錄她聽到的內(nèi)容。當人們與Alexa交談時，亞馬遜的服務器會存儲音頻內(nèi)容。
通常，制作技能的開發(fā)人員會得到這些對話的抄本，只要口語是在技能的背景下進行的。在這種情況下，Checkmarx的團隊在Alexa的內(nèi)置字典中記錄了任何單詞。
說到云存儲數(shù)據(jù)，用戶有很多安全考慮需要擔心?？紤]到這一點，Checkmarx的研究人員希望確保他們的發(fā)現(xiàn)在現(xiàn)實生活中是真實的。他們創(chuàng)造了一種看似無辜的計算器技能，這讓Alexa持續(xù)聽了一分多鐘，直到有人告訴它停止使用Checkmarx。房間里的人在說話，因為技能總是在運行。他們發(fā)現(xiàn)，事實上，這段對話是逐字記錄的，這有效地賦予了一個人通過閱讀文本“偷聽”的能力。
本月早些時候，Checkmarx聯(lián)系亞馬遜，告知公司設備的缺陷，亞馬遜在4月10日解決了問題。
Checkmarx產(chǎn)品營銷總監(jiān)AmitAshbel表示，亞馬遜縮短了Alexa繼續(xù)收聽的時間，消除了Alexa重復對話保持沉默的能力。這些調(diào)整使得再造黑客成為不可能。亞馬遜沒有對黑客事件發(fā)表評論。
如果你擔心Alexa在聽你說話，你可以隨時進入應用程序，刪除你的歷史記錄。
標簽：