Petr Škuta Mitte nii kaua aega tagasi oli Internetis skandaal kasutajate pealtkuulamise kohta. Juhtrolli mängisid Amazoni ja Google'i nutikõlarid. Nüüd selgub, et paljud kolmanda osapoole rakendused suudavad veelgi enamat.
Amazoni ja Google'i nutikõlarid erinevad Apple'ist HomePod üks kord oluline funktsioon. Need võimaldavad kolmanda osapoole rakendustel kasutada seadme riistvara. Mõlema ettevõtte tarkvarainsenerid peavad seega lõputut võitlust häkkeritega, kes on alati sammu võrra ees.
Turvaeksperdid jagasid ZDNeti serveriga nende leidude kohta. Kogu rünnak kasutaja vastu seisneb lihtsa lünka kasutamises sisseehitatud mikrofoniga kõlari operatsioonisüsteemi töös.
Seda seetõttu, et kolmandate osapoolte rakendustel on juurdepääs kõneleja mikrofonile ainult piiratud aja jooksul. Siiski on võimalus seda aega pikendada juhul, kui kasutaja käsust ei olnud võimalik aru saada. Ja just seda teed häkkerid kasutavad.
Ilmnes ühenduse viga. Sisestage oma Google'i konto parool
Rakenduse standardkäitumine vastab ligikaudu järgmisele olukorrale:
Ma palun Alexal lisada üksused minu rakenduse ostukorvi poest. Rakendus kontrollib tellimuste ajalugu, et võrrelda kauba parameetreid ja seejärel küsib minult kinnitust. Samal ajal aktiveerib see mikrofoni ja ootab vastust jah või ei. Kui ma ei vasta, lülitub mikrofon mõne sekundi pärast välja.
Siiski on võimalus mikrofoni vaigistamisest mööda minna. Seda saab saavutada spetsiaalse tekstistringiga "�. ” kirjutatud rakenduse koodi. See võib hõlpsasti pikendada mikrofoni aktiveerimisaega mõnelt sekundilt palju pikemaks. Seega saab rakendus kasutajat kogu aeg pealt kuulata.
Teine variant on veelgi salakavalam. Stringi saab kasutada ja seadistada isegi helijuhise töötlemiseks. Seejärel saab rakendust sundida küsima parooli näiteks Amazoni või Google'i kontole. Allolevad videod näitavad selgelt kogu protsessi.
See võib olla sind huvitab
David Hanak Samal ajal ei luba Apple kolmandate osapoolte rakendustel HomePodi mikrofonile otse juurde pääseda ja tõenäoliselt ei tee seda ka kunagi samal määral kui Amazon ja Google. Kõik arendajad peavad kasutama spetsiaalset API-d, mis käsitleb häält. Selle kasutajad on praegu ohutud.
