Amazon och Google smarta högtalare stjäl lösenord för hackare HomePod-användare behöver inte oroa sig

För inte så länge sedan fanns det en skandal på Internet om avlyssning av användare. Smarta högtalare från Amazon och Google spelade en ledande roll. Nu visar det sig att många tredjepartsappar kan göra ännu mer.

Smarta högtalare från Amazon och Google skiljer sig från Apple HomePod en gång väsentlig funktion. De tillåter tredjepartsapplikationer att använda enhetens hårdvara. Båda företagens mjukvaruingenjörer för alltså en oändlig kamp med hackare, som alltid ligger steget före.

Säkerhetsexperter delade med ZDNet-servern om sina fynd. Hela attacken mot användaren består i att använda ett enkelt kryphål i driften av högtalarens operativsystem med en inbyggd mikrofon.

Detta beror på att tredjepartsapplikationer endast har möjlighet att komma åt högtalarens mikrofon under en begränsad tidsgräns. Det finns dock ett alternativ att förlänga denna tid i händelse av att det inte var möjligt att förstå användarens kommando. Och det är precis den vägen som hackare använder.

Ett anslutningsfel uppstod. Ange lösenordet till ditt Google-konto

Applikationens standardbeteende motsvarar ungefär följande situation:

Jag ber Alexa att lägga till varor i min appvarukorg från en butikskedje. Applikationen kontrollerar orderhistoriken för att jämföra varornas parametrar och ber mig sedan om bekräftelse. Samtidigt aktiverar den mikrofonen och väntar på ett ja eller nej svar. Om jag inte svarar stängs mikrofonen av efter några sekunder.

Det finns dock ett sätt att kringgå mikrofonens avstängning. Detta kan uppnås med en speciell textsträng "�. ” skrivet in i applikationskoden. Detta kan enkelt öka mikrofonaktiveringstiden från några sekunder till mycket längre. Applikationen kan alltså avlyssna användaren hela tiden.

Det andra alternativet är ännu mer lömskt. Strängen kan användas och ställas in även för bearbetning av en ljudinstruktion. Därefter kan applikationen tvingas be om ett lösenord till exempelvis ett Amazon- eller Google-konto. Videorna nedan visar tydligt hela proceduren.

Samtidigt tillåter inte Apple appar från tredje part att komma åt HomePods mikrofon direkt, och kommer förmodligen aldrig att göra det i samma utsträckning som Amazon och Google. Alla utvecklare måste använda ett speciellt API som hanterar röst. Dess användare är säkra för nu.