Amazon og Google-smarthøjttalere stjæler adgangskoder til hackere HomePod-brugere behøver ikke bekymre sig

For ikke så længe siden var der en skandale på internettet om aflytning af brugere. Smarthøjttalere fra Amazon og Google spillede en ledende rolle. Nu viser det sig, at mange tredjepartsapps kan endnu mere.

Smarthøjttalere fra Amazon og Google adskiller sig fra Apple HomePod én gang væsentlig funktion. De tillader tredjepartsapplikationer at bruge enhedens hardware. Begge virksomheders softwareingeniører fører således en endeløs kamp med hackere, som altid er et skridt foran.

Sikkerhedseksperter delte med ZDNet-serveren om deres resultater. Hele angrebet på brugeren består i at bruge et simpelt smuthul i betjeningen af ​​højttalerens styresystem med en indbygget mikrofon.

Dette skyldes, at tredjepartsapplikationer kun har mulighed for at få adgang til højttalerens mikrofon i en begrænset tidsgrænse. Der er dog mulighed for at forlænge denne tid i tilfælde af, at det ikke var muligt at forstå brugerens kommando. Og det er præcis den vej, hackere bruger.

Der opstod en forbindelsesfejl. Indtast venligst adgangskoden til din Google-konto

Applikationens standardadfærd svarer nogenlunde til følgende situation:

Jeg beder Alexa om at tilføje varer til min app-indkøbskurv fra en kædebutik. Applikationen tjekker ordrehistorikken for at sammenligne varernes parametre og beder mig derefter om bekræftelse. Samtidig aktiverer den mikrofonen og venter på et ja eller nej svar. Hvis jeg ikke svarer, slukker mikrofonen efter et par sekunder.

Der er dog en måde at omgå mikrofonens dæmpning. Dette kan opnås med en speciel tekststreng "�. ” skrevet ind i applikationskoden. Dette kan nemt øge mikrofonaktiveringstiden fra et par sekunder til meget længere. Applikationen kan således aflytte brugeren hele tiden.

Den anden mulighed er endnu mere lumsk. Strengen kan bruges og indstilles selv til behandling af en lydinstruktion. Efterfølgende kan applikationen blive tvunget til at bede om en adgangskode til eksempelvis en Amazon- eller Google-konto. Videoerne nedenfor viser tydeligt hele proceduren.

I mellemtiden tillader Apple ikke tredjeparts-apps at få direkte adgang til HomePods mikrofon, og vil sandsynligvis aldrig få det i samme omfang som Amazon og Google. Alle udviklere skal bruge en speciel API, der håndterer stemme. Dens brugere er sikre for nu.