文章來源:iThome 文/李建興 | 2018-05-01發表

駭客能在使用者未發現的情況下,在使用者啟用Alexa後,偷偷記錄其收到的語音。資安公司Checkmarx在一款計算機App中加入了惡意程式碼,只要使用這款App就能完成竊聽的任務。

資安公司Checkmarx揭露,Amazon的語音助理Alexa存在隱私洩漏的漏洞,可讓駭客在用戶不知不覺的情況下監聽使用者的日常對話,不過所幸的是,Amazon已經與Checkmarx合作,Alexa應用程式認證程序現在已經可以偵測並阻擋惡意竊聽程式。

研究人員在Alexa上實現,監聽並記錄使用者的對話功能。Checkmarx提到,其實Alexa啟動並完成任務的流程,遵循了一套嚴謹的腳本,不只動作有限,連收音的時機以及預期收到回應的句子,都需要符合預先定義的結構,但是仍然有些空隙讓駭客有機可乘。

駭客能在使用者未發現的情況下,於使用者啟用Alexa後,偷偷記錄其收到的語音。而駭客要進入這個流程,需從Alexa被喚醒開始,Checkmarx在一款計算機App中加入了惡意程式碼,只要使用這款App就能完成竊聽的任務。

Alexa會在聽到使用者呼叫Alexa後啟動,但隨即會在完成使用者命令後關閉,但是當Alexa預期還會收到來自使用者的指令,則會繼續開啟麥克風。這個情況發生在類似使用者設定鬧鐘的時候,當使用者告知Alexa在9點的時候設定鬧鐘,Alexa則會繼續反問是早上還是下午,但是當使用者給予明確指令,在早上9點設定鬧鐘,Alexa則會在設置完成後關閉。

因此駭客可以讓惡意App於第一次回覆完預期回應後,繼續維持Alexa啟用,因為這屬於正常的程序中,假裝還要繼續接受使用者的指令,但是Alexa的提示功能會要求App開發者,提供一字串變數,告訴使用者還有命令需要完成,不過駭客只要給一個空字串,Alexa便不會發出聲音,而此時系統仍會處於啟動狀態。

而這個方法應用在Checkmarx的計算機App,當該App回答完使用者的數學計算答案後,便能靠著假裝等待使用者的回應,並讓Alexa的語音提示保持靜音,達成讓Alexa竊聽的目的。不過,駭客還需要解決一個問題,Alexa的應用程式所接受的命令都是預先定義好的,過長無法理解的句子無法作為應用程式的輸入。

在設定鬧鐘的例子,設定鬧鐘的插槽語句可能被配置成「{時間}設定鬧鐘」,{時間}便是能接受使用者輸入的插槽,但鬧鐘的應用程式就只能接受數字做為時間命令,當Alexa收到的句子不符合預先定義的結構,就不會被接受。而Checkmarx建立了一個插槽語句列表,其包含的格式能夠符合任何單詞以及任何長度句子。

駭客克服了以上這些困難後,便能讓Alexa開始竊聽使用者的對話,但是有一項功能是駭客無法控制的,那就是Amazon Echo裝置上的指示燈,當使用者查覺到指示燈一直亮著,便能知道有問題發生。Checkmarx提到,現在有不少裝置都有安裝Alexa,但卻不能保證都有明顯的提示燈。

Amazon則在Checkmarx通報此漏洞後,互相合作並修補了該問題,現在應用程式認證程序會適當的處理空提示以及非典型的長對話。

 

iThome 最新新聞
  • Google搜尋20周年,靠AI讓使用者更快找到想要的資訊
    Google慶祝其搜尋服務滿20周年,在探索新的搜尋方式後,Google推出三大基礎功能更新,不只透過搜尋歷程,幫助使用者延伸搜尋,也強化視覺沉浸式體驗,提供使用者更多元的內容,所有改進的重點,就是要使用者搜尋上癮,越搜越多。
  • NASA黑客松二度來台舉辦,以開放資料鼓勵解決地球、太空相關難題
    美國太空總署(NASA)舉辦的全球性黑客松活動「NASA 黑客松」,今年二度來台舉行,邀請各路好手組隊報名參加,運用NASA的開放資料開發有益於生活、環境瞭解的創新應用。 美國太空總署在2012年首次舉辦「NASA 黑客松」,透過開放使用NASA的數據,集思廣益解決太空、地球任務相關的挑戰,一開始以美國地區為主,後來擴大到全球各地,去年黑客松首次來到台灣舉行,今年聯合美國在台協會、台北市政府、中華電信、台灣師大學、美國創新中心等夥伴,二度在台舉辦NASA 黑客松。
  • 微軟、SAP與Adobe共組Open Data Initiative,企圖釋放孤島資料價值
    微軟於本周一(9/24)展開的Microsoft Ignite全球開發者大會上與Adobe、SAP攜手發表了「開放資料倡議」(Open Data Initiative),將推動開放資料框架,以讓不同業者之間的資料能夠互通及移轉,並鼓勵其它業者加入。
  • Azure Functions釋出2.0,Runtime現在可於本機Windows、macOS和Linux上託管
    微軟釋出跨平臺Azure Functions Runtime 2.0正式版,現在將允許Functions應用程式跨平臺執行。Azure Functions Runtime經過重寫並以.NET Core 2.1運作後,效能大幅提升,開發者還可以在本機端的Windows、macOS和Linux電腦上,撰寫和託管Functions Runtime。
  • 多事之秋! 登入Google服務就會自動登入Chrome再挨轟
    Google趁著Chrome瀏覽器邁入十歲之際,在今年9月初釋出了大改版的Chrome 69,除了預設封鎖Flash內容,以及把HTTPS標示為「安全」的機制改為將HTTP標示為「不安全」等重大改變外,該版本移除網址列上的www及m兩個子網域惹來爭議,另有開發人員發現,只要利用Chrome登入各種Google服務,就會自動登入Chrome瀏覽器,再遭控訴漠視用戶意願及隱私。 Chrome 69的用戶指出,倘若他們並未登入Chrome,但利用Chrome造訪並登入了諸如Gmail或YouTube等Google服務,那麼就會自動登入Chrome,而且Google沒有秀出任何警告,也沒有提供任何選項,只會在Chrome右上方顯示登入狀態,等於是強迫用戶登入。
  • 資安業者踢爆微軟JET Database Engine含有遠端程式攻擊的零時差漏洞
    趨勢科技旗下的Zero Day Initiative(ZDI)周一(9/24)踢爆了一個隱藏在微軟JET Database Engine中的越界寫入(out of bounds write)漏洞,成功的開採將允許駭客自遠端執行任意程式,雖然微軟已在今年5月得知該漏洞,但在ZDI所提供的120天修補限期內並未修補,使它成為一個零時差漏洞。
Copyright (C) 2005 - 2016 Cyberhunter.com.tw. All rights reserved.