digital-market



یک سال پس از انتشار اولین گزارش ها درباره ی حفره های امنیتی گوگل و سرویس مشابه ساخت گوگل، آمازون و گوگل هنوز موفق به برطرف کردن این حفره ها نشده اند.

هکرها می توانند الکسا و دستیار صوتی هوشمند گوگل را به ابزارهایی برای استراق سمع از کاربران تبدیل کنند یا از طریق نفوذ به آن ها، بدون اینکه کاربر متوجه شود، اطلاعات مهم و شخصی او را از خودش دریافت کنند.

این موضوع، مسئله ای تازه نیست. آوریل ۲۰۱۸ بررسی های موسسه ی تحقیقات امنیت شبکه ی چک مارکس حفره های امنیتی مشابهی را روی الکسا شناسایی کرد. این موسسه ماه مه همان سال حفره ای مشابه روی دستیار صوتی گوگل و چند ماه بعد موردی تکراری روی الکسا شناسایی کرد. هرچند آمازون و گوگل ظاهرا این حفره ها را برطرف کردند اما هربار، روش هایی جدیدی برای عبور از لایه های امنیتی آن ها کشف شد.

آخرین مورد از این روش های جدید، توسط لوییس فریش و فابین برونلین، دو محقق موسسه ی تحقیقات امنیت شبکه ی SRlabs کشف شده است. نتایج تحقیقات این دو محقق که در اختیار خبرگزاری ZDent قرار گرفته، نشان می دهد بک اندهایی که گوگل و آمازون برای شخصی سازی دستیار صوتی گوگل و الکسا در اختیار توسعه دهندگان قرار می دهد، مسیر اصلی برای انجام فیشینگ یا استراق سمع است.

این بک اندها دسترسی توسعه دهندگان به توابع موردنیازشان برای شخصی سازی نحوه ی پاسخ دستیار صوتی به فرامین را فراهم می کنند. محققان موسسه ی SRIabs کشف کرده اند که با درج کارکتر <<. >> (U+D801, dot, space) در بخش های مختلفی از بک اند یک اپلیکیشن عادی الکسا یا دستیار صوتی گوگل می توان در زمان فعال بودن این دستیار صوتی، آن را وادار کرد مدت زمان زیادی، واکنشی نشان ندهد.

روش کار هکرها به این صورت است که ابتدا کاری می کنند کاربر فکر کند یکی از اپلیکیشن ها مشکلی دارد، بعد از آن <<. >> را وارد بک اند کنند و باعث شوند دستیار صوتی درحالی که کار می کند، پاسخی به فرمان ها ندهد و بعد از چند دقیقه یک پیغام فیشینگ برای کاربر ارسال کنند. در این شرایط کاربر تصور نمی کند که پیغام فیشینگ ارتباطی با اپلیکیشن قبلی داشته باشد.

تیم تحقیقاتی موسسه ی STLabs اعلام کرده، حدود یک سال پیش این حفره های امنیتی را به شرکت های سازنده ی این دستیارها گزارش داده اما آن ها هنوز موفق نشده اند مشکل را برطرف کنند.

آمازون به درخواست ZDnet برای اظهار نظر در این باره پاسخی نداده است.

یک سخنگوی گوگل درباره ی این مسئله اعلام کرد:

تمام فعالیت هایی که در گوگل انجام می شوند، باید از ت های توسعه دهندگان ما پیروی کنند و ما تضمین می کنیم مقابل هر فعالیتی که این ت ها را نقض کنند خواهیم ایستاد. ما گزارش های دریافتی در این باره را بررسی و موارد ناقض قوانین را حذف کردیم. گوگل مکانیزم هایی برای جلوگیری از تکرار این اتفاق ها در آینده ایجاد کرده است.

گوگل همچنین اعلام کرده، دستیار صوتی گوگل هرگز از کاربران خود رمز عبوری درخواست نخواهد کرد و بخش امنیتی این شرکت در حال بررسی اپلیکیشن های تولیدشده توسط شرکت های دیگر است.

منبع :zdnetand


آخرین جستجو ها