يك سال پس از انتشار اولين گزارش‌ها درباره‌ي حفره‌هاي امنيتي گوگل و سرويس مشابه ساخت گوگل، آمازون و گوگل هنوز موفق به برطرف كردن اين حفره‌ها نشده‌اند.
هكرها مي‌توانند الكسا و دستيار صوتي هوشمند گوگل را به ابزارهايي براي استراق سمع از كاربران تبديل كنند يا از طريق نفوذ به آن‌ها، بدون اينكه كاربر متوجه شود، اطلاعات مهم و شخصي او را از خودش دريافت كنند.
اين موضوع، مسئله‌اي تازه نيست. آوريل ۲۰۱۸ بررسي‌هاي موسسه‌ي تحقيقات امنيت شبكه‌ي چك‌ماركس حفره‌هاي امنيتي مشابهي را روي الكسا شناسايي كرد. اين موسسه ماه مه همان سال حفره‌اي مشابه روي دستيار صوتي گوگل و چند ماه بعد موردي تكراري روي الكسا شناسايي كرد. هرچند آمازون و گوگل ظاهرا اين حفره‌ها را برطرف كردند اما هربار، روش‌هايي جديدي براي عبور از لايه‌هاي امنيتي آن‌ها كشف شد.
آخرين مورد از اين روش‌هاي جديد، توسط لوييس فريش و فابين برونلين، دو محقق موسسه‌ي تحقيقات امنيت شبكه‌ي SRlabs كشف شده است. نتايج تحقيقات اين دو محقق كه در اختيار خبرگزاري ZDent قرار گرفته، نشان مي‌دهد بك‌اندهايي كه گوگل و آمازون براي شخصي‌سازي دستيار صوتي گوگل و الكسا در اختيار توسعه‌دهندگان قرار مي‌دهد، مسير اصلي براي انجام فيشينگ يا استراق سمع است.
اين بك‌اندها دسترسي توسعه‌دهندگان به توابع موردنيازشان براي شخصي‌سازي نحوه‌ي پاسخ دستيار صوتي به فرامين را فراهم مي‌كنند. محققان موسسه‌ي SRIabs كشف كرده‌اند كه با درج كاركتر «�. » (U+D801, dot, space) در بخش‌هاي مختلفي از بك‌اند يك اپليكيشن عادي الكسا يا دستيار صوتي گوگل مي‌توان در زمان فعال بودن اين دستيار صوتي، آن را وادار كرد مدت زمان زيادي، واكنشي نشان ندهد.
روش كار هكرها به اين صورت است كه ابتدا كاري مي‌كنند كاربر فكر كند يكي از اپليكيشن‌ها مشكلي دارد، بعد از آن «�. » را وارد بك‌اند كنند و باعث شوند دستيار صوتي درحالي كه كار مي‌كند، پاسخي به فرمان‌ها ندهد و بعد از چند دقيقه يك پيغام فيشينگ براي كاربر ارسال كنند. در اين شرايط كاربر تصور نمي‌كند كه پيغام فيشينگ ارتباطي با اپليكيشن قبلي داشته باشد.
تيم تحقيقاتي موسسه‌ي STLabs اعلام كرده، حدود يك سال پيش اين حفره‌هاي امنيتي را به شركت‌هاي سازنده‌ي اين دستيارها گزارش داده اما آن‌ها هنوز موفق نشده‌اند مشكل را برطرف كنند.
آمازون به درخواست ZDnet براي اظهار نظر در اين‌باره پاسخي نداده است.
يك سخنگوي گوگل درباره‌ي اين مسئله اعلام كرد:
تمام فعاليت‌هايي كه در گوگل انجام مي‌شوند، بايد از سياست‌هاي توسعه‌دهندگان ما پيروي كنند و ما تضمين مي‌كنيم مقابل هر فعاليتي كه اين سياست‌ها را نقض كنند خواهيم ايستاد. ما گزارش‌هاي دريافتي در اين‌باره را بررسي و موارد ناقض قوانين را حذف كرديم. گوگل مكانيزم‌هايي براي جلوگيري از تكرار اين اتفاق‌ها در آينده ايجاد كرده است.
گوگل همچنين اعلام كرده، دستيار صوتي گوگل هرگز از كاربران خود رمز عبوري درخواست نخواهد كرد و بخش امنيتي اين شركت در حال بررسي اپليكيشن‌هاي توليدشده توسط شركت‌هاي ديگر است.
- ۷ بازديد
- ۰ نظر
