Исследователи обнаружили пробелы в процессе проверки навыков для экосистемы голосового ассистента Amazon Alexa, которые могут позволить злоумышленнику опубликовать вредоносный навык под любым произвольным именем разработчика и даже внести изменения в бэкэнд-код после одобрения, чтобы обманом выудить конфиденциальные данные пользователей.
Результаты были представлены в среду на конференции Network and Distributed System Security Symposium (NDSS) группой ученых из Университета Рура в Бохуме и Университета штата Северная Каролина, которые проанализировали 90 194 навыка, доступных в семи странах, включая США, Великобританию, Австралию, Канаду, Германию, Японию и Францию.
Amazon Alexa позволяет сторонним разработчикам создавать дополнительные функциональные возможности для таких устройств, как интеллектуальные колонки Echo, настраивая навыки, которые работают на голосовом помощнике, что позволяет пользователям легко инициировать разговор с этим навыком и выполнить конкретную задачу.
Главным среди полученных результатов является беспокойство о том, что пользователь может активировать неправильный навык, что может иметь серьезные последствия, если вызванный навык разработан с вредоносными целями.
Ошибка заключается в том, что несколько навыков могут иметь одну и ту же фразу для вызова.
Действительно, эта практика настолько распространена, что в ходе расследования было выявлено 9 948 навыка, которые имеют одну и ту же фразу вызова, по крайней мере, с одним другим навыком в одном только американском магазине. Во всех семи магазинах навыков только 36 055 навыков имели уникальные фразы для их вызова.
Учитывая, что фактически используемые Amazon критерии для автоматического включения конкретного навыка среди нескольких с одними и теми же фразами вызова остаются неизвестными, исследователи предупредили, что можно активировать не тот навык, и что атакующие вполне могут подменить в магазине навыки известных брендов.
«Это происходит, прежде всего, потому, что Amazon в настоящее время не использует автоматизированный подход к выявлению нарушений при использовании товарных знаков третьих лиц и зависит от ручной проверки для выявления таких случаев, и в процессе проверки есть место человеческим ошибкам», - пояснили исследователи. «В результате пользователи могут подвергаться фишинговым атакам».
Еще хуже то, что злоумышленник может вносить изменения в код после одобрения навыка, чтобы уговорить пользователя раскрыть конфиденциальную информацию, такую как телефонные номера и адреса.
В некотором смысле это аналогично технике под названием «versioning», которая используется для обхода защиты от верификации. Под «versioning» понимается отправка легальной версии приложения в магазин приложений для Android или iOS для завоевания доверия пользователя, только для того, чтобы со временем заменить код приложения дополнительными вредоносными функциями посредством обновлений.
Чтобы проверить это, исследователи создали навык планировщика маршрута путешествия, который после первоначальной проверки был настроен на «запрос номера телефона пользователя, чтобы навык мог напрямую отправить текст маршрута путешествия по SMS», тем самым обманывая человека, чтобы он раскрыл свою личную информацию.
.jpg)
Более того, исследование показало, что используемая Amazon для защиты конфиденциальных данных Alexa модель доступа может быть обойдена. Это означает, что злоумышленник может напрямую запрашивать данные (например, телефонные номера, данные Amazon Pay и т.д.) у пользователя, хотя по изначальной задумке данные можно запрашивать только с помощью API доступа.
Идея заключается в том, что в то время как запрашивающие конфиденциальные данные навыки должны ссылаться на API доступа, ничто не останавливает разработчика от запроса этой информации у пользователя напрямую через интерфейс приложения.
Исследователи сообщили что выявили 358 навыков способных запрашивать информацию , которая должна быть защищена API доступа.
.jpg)
Наконец, при анализе политики конфиденциальности по различным категориям было установлено, что только 24,2% всех навыков обеспечивают ссылку на политику конфиденциальности, а около 23,3% таких навыков не полностью раскрывают типы данных, связанных с запрашиваемыми разрешениями.
Отметив, что Amazon не требует наличие политики конфиденциальности в отношении навыков, предназначенных для детей в возрасте до 13 лет, исследование вызвало озабоченность в связи с отсутствием широкодоступной политики конфиденциальности в категориях «дети» и «здоровье и физическая форма».
«Как сторонники конфиденциальности, мы считаем, что навыки, связанные с «детьми» и «здоровьем», должны соответствовать более высоким стандартам в отношении конфиденциальности данных», - заявили исследователи, призвав при этом Amazon проверять деятельность разработчиков и проводить регулярные проверки с целью снижения таких рисков.
«Несмотря на то, что такие приложения облегчают взаимодействие пользователей с интеллектуальными устройствами и поддерживают ряд дополнительных сервисов, они также поднимают вопросы безопасности и конфиденциальности в связи с личными настройками, с которыми они работают» - добавили они.
Перевод сделан со статьи: https://thehackernews.com
