Alexa, Google Assistant e Siri: basta un laser per ingannarli

Alexa, Google Assistant e Siri: basta un laser per ingannarli

Un gruppo di ricercatori è riuscito a impartire comandi ad un assistente vocale usando un fascio laser, aprendo la porta ad una tecnica tanto appariscente quanto efficace

di pubblicata il , alle 19:21 nel canale Sicurezza
Alexa
 

Gli assistenti vocali Alexa, Google Assistant e Siri possono essere vulnerabili ad attacchi che prevedono l'uso di laser per impartire comandi silenziosi e spesso anche invisibili per compiere azioni indesiderate, come ad esempio sbloccare porte, visitare siti web, localizzare e avviare veicoli e via discorrendo. Indirizzando un fascio di luce laser a bassa potenza verso i dispositivi equipaggiati con sistemi di assistenza vocale i ricercatori che hanno scoperto la falla sono stati capaci di impartire comandi fino ad una distanza di 110 metri.

I sistemi a controllo vocale non richiedono, di norma, che l'utente effettui un'autenticazione per impartire ciascun comando, e ciò permette all'attacco di essere portato a termine senza la necessità di conoscere una password o un PIN. Considerando quindi la distanza e il tipo di tecnica, si tratta di attacchi che possono essere condotti con successo anche tra edifici diversi o al di fuori dell'edificio della vittima, se il dispositivo a controllo vocale è collocato vicino ad una finestra.

Questo tipo di attacco sfrutta una vulnerabilità prsenti nei micorfoni che usano componenti MEMS (micro-electro-echanical systems): questi componenti possono rispondere alla radiazione elettromagnetica luminosa scambiandola per un'onda acustica. I ricercatori hanno effettuato le loro prove su Siri, Alexa, Google Assistant, Facebook Portal e su un numero limitato di smartphone e tablet, ma ci sono sufficienti elementi per credere che il problema possa ragionevolmente interessare tutti i dispositivi che usano microfoni MEMS.

L'attacco, denominato Light Command, ha comunque una serie di limitazioni. Anzitutto, come si sarà intuito, l'attaccante deve avere un "tiro pulito" verso il dispositivo bersaglio: questo dev'essere cioè in portata ottica. E in molti casi il fascio laser deve essere indirizzato in un punto preciso del microfono. E a meno di usare laser al di fuori dello spettro del visibile, la luce potrebbe essere facilmente individuabile da qualcuno che sia nelle vicinanze del dispositivo bersaglio. Infine non bisogna dimenticare che tutti questi sistemi di assistenza vocale rispondono sempre con un feedback acustico (che sia una frase o anche un semplice suono) quando hanno ricevuto un comando da eseguire.

Ma al di là di queste limitazioni, la tecnica individuata dai ricercatori è comunque significativa poiché, oltre a rappresentare un nuovo tipo di minaccia, è effettivamente replicabile in situazioni reali. Nonostante tutto i ricercatori ammettono di non aver pienamente compreso il motivo scientifico per cui questa tecnica si è dimostrata funzionante. Una miglior compresnione del fenomeno potrebbe quindi portare ad attacchi ancor più efficaci.

"I sistemi di controllo vocale spesso non dispongono di sistemi di autenticazione dell'utente o, quando presenti, non sono implementati in maniera corretta. Abbiamo mostrato come un attaccante potrebbe usare comandi impartiti tramite un fascio luminoso per effettuare azioni come sbloccare la porta d'ingresso, aprire la serranda del garage, effettuare acquisti online e localizzare e avviare veicoli se questi sono collegati all'account Google della vittima".

I ricercatori hanno descritto nella loro pubblicazione diversi modi di eseguire l'attacco, con vari tipi di strumentazione. Un primo setup prevede un semplice puntatore laser, un driver laser e un amplificatore audio, e opzionalmente un'ottica tele per concentrare il laser per gli attacchi su lungo raggio. Il driver laser è strumentazione di laboratorio, il che richiede comunque dimestichezza nell'uso e nella configurazione del dispositivo. Un altro genere di setup ha visto l'uso di un laser infrarosso, quindi non visibile all'occhio. Una terza configurazione ha coinvolto invece un laser al fosforo per eliminare la necessità di indirizzare il fascio luminoso su un punto preciso del microfono MEMS.

In uno dei vari tentativi i ricercatori sono riusciti a portare a compimento un attacco alla distanza di circa 70 metri e attraverso una finestra di vetro, mentre in un'altra prova è stata usata l'ottica tele per concentrare il laser e attaccare un dispositivo posto ad una distanza di circa 110 metri: si è trattato della massima distanza possibile nell'ambiente di test a disposizione dei ricercatori, il che lascia aperta la possibilità di condurre attacchi del genere a distanze ancor maggiori.

Resta aggiornato sulle ultime offerte

Ricevi comodamente via email le segnalazioni della redazione di Hardware Upgrade sui prodotti tecnologici in offerta più interessanti per te

Quando invii il modulo, controlla la tua inbox per confermare l'iscrizione.
Leggi la Privacy Policy per maggiori informazioni sulla gestione dei dati personali

5 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
S1©kßø¥05 Novembre 2019, 22:06 #1
Ma che attacco sarebbe mai?
Questo articolo è di un allarmismo allarmante.
Sarebbe stato un "attacco" se magari, utilizzando dei laser anziché la voce, si sarebbe potuto scavalcare il riconoscimento vocale del proprietario, aprendo quindi l'utilizzo a un estraneo.
Ma a meno che io non mi sia fatto sfuggire qualcosa, resta comunque il fatto che le Google home (o Alexa che siano ) riconoscono il timbro vocale del proprietario.
Alla luce di ciò si deve sempre mirare alla ricostruzione della fingerprint sonora, che lo si possa fare modulando il suono attraverso vibrazioni o attraverso onde pulsate mi pare che cambi poco.
Quindi? Il proprietario potra azionare la sua Google home da distanza?
Mi pare solo un giochino, come comporre un numero telefonico con le dita sul tasto di chiusura anziché con la rotella sui vecchi telefoni.
djfix1306 Novembre 2019, 09:38 #2
al momento io stesso non ho creato la fingerprint vocale e non conosco persone con vari smarthome che sappiano cosa sia...tuttavia collegare la mia porta di casa ad un "coso" connesso ad internet mi sembra pazzia a priori.
S1©kßø¥06 Novembre 2019, 09:46 #3
Si, é una pazzia farlo senza fingerprint e senza sicurezza.
Io ho un coso dietro la porta che dà e toglie le mandate alla chiave fisicamente, e collegandolo a Google home come "lock" bisogna usare un PIN per aprirlo e chiuderlo, si può sceglierlo di poterlo chiudere senza PIN (anche di armare un allarme senza PIN) ma non si può sbloccare o disarmare un allarme senza PIN.
nommene06 Novembre 2019, 09:51 #4
La vulnerabilità c'è e l'articolo vuole semplicemente segnalarla. Poi se basta poco risolverla dal lato utente, ben venga. Per me è utile saperlo.
pierpippo08 Novembre 2019, 07:51 #5
@S1©kßø¥ Mi puoi dire che tipo di apparecchio è quello che ti permette di dare e togliere mandate e dove lo hai acquistato?
Grazie mille

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^