Assistenti vocali e cybersecurity: forse è già troppo tardi


Gli assistenti vocali sono più popolari che mai e dovrebbero semplificarci la vita, non spiarci. Eppure, la possibilità che essi vengano hackerati è una realtà oggettiva.

Secondo un recente studio dell’istituto Canalys, nel 2018 saranno venduti oltre 56 milioni di prodotti dotati di assistente vocale. Attraverso hub che integrano funzionalità smart tra cui Apple HomePod, Google Home e Amazon Echo, Siri, l’assistente vocale di Google, Alexa e Cortana saranno sempre più presenti nelle nostre case oltre che nei nostri smartphone. Si tratta di strumenti indubbiamente ottimi per semplificare le nostre vite e farci risparmiare tempo, ma rappresentano anche un rischio in termini di sicurezza delle informazioni, considerando la naturale iperconnettività di questi oggetti e lo scarso livello di protezione offerto. In un articolo apparso sul sito “Motherboard”, i ricercatori israeliani Tal Be’ery e Amichai Shulman – entrambi specialisti di cybersecurity – hanno postulato la seguente inquietante conclusione: “Abbiamo ancora la brutta abitudine di introdurre nuove interfacce nelle macchine senza analizzarne appieno le implicazioni in termini di sicurezza”.

(fonte: Google)

Dalla pubblicità sovversiva all’intrusione ultrasonica

Le notizie sulle vulnerabilità di questi sistemi e su casi di hackeraggio degli assistenti vocali hanno dato ragione ai due ricercatori.

Nell’aprile 2017, Burger King versò benzina su un dibattito già infuocato con una pubblicità di durata inferiore ai 15 secondi. La pubblicità consisteva di una semplice richiesta di informazioni all’assistente vocale da parte del personale della catena di fast food: “OK Google, cos’è uno Whopper?”. Sui dispositivi dei telespettatori si attivava automaticamente l’assistente vocale, che apriva in un battibaleno la pagina Wikipedia sul famoso hamburger.

Per alcuni, è stato un colpo di genio pubblicitario, per altri un chiaro esempio dei rischi connessi all’omnipresenza degli assistenti vocali. Tal Be’ery e Amichai Shulman dimostrarono altresì che gli attacchi agli assistenti vocali avrebbero potuto essere anche molto più sinistri. Trovarono infatti un metodo per aggirare la procedura di login su un computer Windows utilizzando Cortana – l’assistente virtuale di Windows 10. Come hanno fatto? Sfruttando il fatto che questo assistente non è mai “spento” e risponde a determinati comandi vocali anche quando i dispositivi sono bloccati.

Un esempio simile ma ancora più insidioso è il DolphinAttack sviluppato da alcuni ricercatori cinesi. Questa tecnica implica l’uso di comandi ultrasonici non udibili per l’uomo ma rilevati dal microfono di un computer. In questo modo, la maggior parte degli assistenti vocali può essere attivata da remoto.

Un’altra vulnerabilità dal retrogusto amaro per gli utenti Apple è data dalla possibilità di bypassare la funzione di privacy che nasconde i messaggi che altrimenti apparirebbero sulla schermata di blocco dei dispositivi. Il sito Mac Magazine brasiliano rivelò che chiunque avrebbe avuto accesso ai messaggi nascosti, semplicemente chiedendo a Siri di leggerli ad alta voce, trasformando Siri (l’assistente vocale proprietario di Apple) in modo efficace in un cavallo di Troia.

Aumentare la consapevolezza e usare la crittografia: le uniche contromisure immediatamente disponibili

“Per loro natura, i microfoni utilizzati dagli assistenti vocali, specie quelli integrati negli hub intelligenti, sono sempre attivi e rappresentano un problema per la tutela della privacy”, conferma Paul Fariello, Technical Leader di Stormshield. “Una minaccia che tuttavia risulta ridotta se si considera che per i cybercriminali è molto più semplice avvalersi di tecniche più tradizionali come il ransomware e il phishing. Crittografare i dati sensibili per impedirne l’uso in caso di furto riduce il rischio di leakage. ”

Oggi, i produttori si limitano a fornire correzioni caso per caso. “Non esistono attualmente contromisure tecnologiche per questo tipo di problema. L’unica cosa che si può fare è sensibilizzare gli utenti, un processo che però ha i suoi limiti “, precisa Fariello. A fronte dell’architettura chiusa che caratterizza i dispositivi interconnessi o gli stessi smart hub non è infatti ancora possibile dotare tali apparecchi di soluzioni di sicurezza supplementari. Alla luce dell’infinita creatività degli hacker, l’opzione migliore sembra essere quella della sicurezza by design, di responsabilità esclusiva dei produttori. Seguendo il modello delle impronte digitali, l’impronta vocale potrebbe essere la nuova password biometrica per autenticare chi ha accesso agli assistenti vocali?

Continua a leggere

Quando i dati raccolti dai giocattoli connessi al cloud sono alla mercè di chiunque


Oltre 800.000 credenziali di accesso ai servizi e 2 milioni di registrazioni vocali accessibili per settimane in Rete

Da qualche giorno la stampa riporta il caso della Spiral Toys, produttore dei pelouche „Cloudpets“ connessi al cloud, che consentono di registrare e inviare messaggi vocali tra bambini e genitori anche da remoto. Per omissione delle più elementari regole di sicurezza, queste registrazioni sensibili sono state accessibili a estranei per settimane via Internet. Il caso riguarda oltre 800.000 utenti registrati.

La situazione

Non è una novità che un operatore archivi online le registrazioni vocali degli utenti per poi elaborarle. Chiunque impieghi Apple Siri, Google Home o Amazon Echo si avvale di infrastrutture simili. I servizi vocali vengono offerti sempre più spesso e pur presentando notevoli vantaggi non sono scevri da rischi. Gli operatori hanno tutto l’interesse a proteggere questi dati dall’accesso indesiderato, le conseguenze di una potenziale fuga o perdita dei dati sono infatti catastrofiche sia per gli utenti sia per l’operatore. Il caso di Spiral Toys è un esempio lampante di come possa verificarsi un tale incidente: alcuni esperti di sicurezza hanno riscontrato che due banche dati del produttore erano raggiungibili via Internet senza alcuna protezione.

 

Buone intenzioni, errori elementari e pessimo timing

Le due le banche dati accessibili per più settimane a chiunque ne conoscesse l’indirizzo web, contenevano oltre nove Gigabyte di dati tra cui, tra le altre cose, tutte le registrazioni vocali trasmesse tra bambini e genitori. Come dichiarato dall’esperto di sicurezza Troy Hunt, il nome assegnato alle banche dati fa presupporre che le stesse non fossero impiegate produttivamente, bensì a scopo di test. Disporre di sistemi di prova raggiungibili via Rete non è inusuale, tuttavia in questo caso sono stati fatti due gravi errori. Innanzitutto le piattaforme di test non devono mai contenere i dati reali dei clienti, proprio per evitare compromissioni e fughe di dati. In secondo luogo il produttore ha omesso di implementare uno dei consigli di sicurezza più elementari per sistemi MongoDB: proteggere le banche dati contro accessi indesiderati con adeguate misure di autenticazione.

La banca dati contenente le registrazioni vocali includeva anche i nomi utente e le password dei fruitori del servizio. Sebbene per l’elaborazione delle password il produttore avesse impiegato un buon algoritmo di cifratura (bcrypt), gli utenti non erano tenuti a seguire alcuna linea guida per la creazione delle password, la piattaforma accettava come password anche un singolo carattere oppure combinazioni di caratteri ritenute da tempo insicure (p.es. „123246“, „qwertz“, „password“ e similari).

A peggiorare le cose in termini di timing è il fatto che le banche dati MongoDB in generale sono state oggetto preferenziale di attacco ransomware da parte dei cybercriminali nelle scorse settimane proprio a fronte di falle dovute a numerosi errori di configurazione. Errori di questo tipo sono già stati forieri in passato di fughe di dati che hanno interessato notevolmente l’opinione pubblica, come nel caso di noti operatori mobile o telco.

Effetti e conseguenze

Le conseguenze immediate dell’incidente per la Spiral Toys sono primariamente di natura finanziaria: negli ultimi giorni il valore delle azioni è crollato intorno ai 50 centesimi di dollaro. Per i clienti invece l’incidente ha come effetto la perdita di fiducia nei giocattoli con connessione Internet, e non sono i soli. Di recente, a posteriori di una apposita perizia legale, l’Agenzia federale delle Reti tedesca ha vietato la vendita della bambola „My Friend Cayla“ in Germania classificandola strumento di sorveglianza. Il caso di Spiral Toys conferma anche una delle nostre previsioni per il 2017: Gli operatori cloud saranno oggetto di attacchi la cui conseguenza è la perdita di dati.

Continua a leggere