Natürlich ist auch Amazon Alexa im Visier von Sicherheitsexperten, die nach offenen Schwachstellen suchen. So haben Forscher kürzlich wieder eine neue Lücke veröffentlicht, die die Fernsteuerung von Alexa ermöglicht, genannt wird die Schwachstelle „Alexa versus Alexa„. Betroffen sind mindestens Echo-Geräte der dritten und vierten Generation.
Alexa vs Alexa – Schwachstelle via Bluetooth oder gefakten Radio Skill
Der Hack „Alexa versus Alexa“ (AvA) basiert darauf, dass sich das Gerät im Endeffekt den Befehl selbst erteilt. Dazu hat das Forscherteam einfach ein Smartphone per Bluetooth via Sprachbefehl mit einem Echo-Lautsprecher verbunden. Normalerweise erfolgt nach dem Wake Word „Alexa (Echo, Amazon, Computer) eine Stummschaltung des Echo-Gerätes, die es verhindert, dass Alexa sich Anweisungen gibt – mit der „Full Volume Vulnerability“ gibt es allerdings eine Sicherheitslücke, das dies aushebelt.
Innerhalb der Funkreichweite kann so ein Angreifer über Text-to-speech mögliche Sprachbefehle über den Lautsprecher des Echo-Geräts ausgeben. Amazon Alexa hört sich dabei selbst zu und folgt dann ihrem eigenen Befehl. Während der Tests der Forscher konnten so Befehle für Einkäufe, Anrufe von Telefonnummern oder smarte Geräte gesteuert werden. Bei bisherigen Schwachstellen war meist noch ein zweites Gerät notwendig, welches die Befehle gegeben hat.
Sie sehen gerade einen Platzhalterinhalt von Youtube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Bei manchen Befehlen wird zusätzlich nochmal eine Bestätigung seitens des Nutzers erforderlich, auch das stellt kein großes Problem dar, denn die Forscher haben einfach rund sechs Sekunden nach dem Befehl ein „Ja“ hinterher geschickt.
Weitere Möglichkeit durch böswilligen Alexa Skill
Eine weitere Möglichkeit zeigten die Forscher mit einem „stillen“ Skill auf. Dieser kann durch eine Pause („<break> -Tag“) bis zu eine Stunde aktiv sein und die Fragen des Anwenders beantworten. Fragst du also nach der Uhrzeit, antwortet nicht Amazon Alexa sondern die Logik des Skills. Mit jeder Frage beginnt eine neue Stunde und auch hier könnte dann der Skill mit einem eigenen Befehl zur ruhigen Stunde loslegen.
An der Studie zur Schwachstelle wurde bereits im März 2020 begonnen zu arbeiten. Wenn du an weiteren Infos interessiert bist, findest du hier alle Einzelheiten: ava-attack.org
Update (09.03.22) – Amazon bat darum, das folgende Statement aufzunehmen:
Bei Amazon bilden Datenschutz und Datensicherheit die Grundlage für jedes Gerät, jede Funktion und jedes Erlebnis, das wir entwickeln und bereitstellen. Wir schätzen die Arbeit unabhängiger Forscher:innen im Bereich Sicherheit, die uns auf potenzielle Probleme aufmerksam machen, und arbeiten mit ihnen zusammen, um unsere Geräte zu schützen. Wir haben das von den Forscher:innen aufgezeigte Problem der Selbstaktivierung von Alexa Skills aus der Ferne behoben, das durch eine längere Stille aufgrund von „Break Tags“ (<br>) verursacht wurde, wie die Forscher:innen gezeigt haben. Außerdem haben wir Systeme im Einsatz, um Live-Skills kontinuierlich auf potenziell böswilliges Verhalten zu überwachen, einschließlich stiller Interaktionen. Alle Skills, die wir als anstößig identifizieren, werden während der Zertifizierung blockiert oder schnell deaktiviert, und wir verbessern diese Mechanismen ständig, um unsere Kund:innen weiterhin zu schützen.
Wenn du dich zum Thema austauschen willst, dann schau doch mal in unserer „Smart Speaker Gruppe“ auf Facebook vorbei. Dort findest du eine riesige Community, mit der du dich zu sämtlichen Smart Speaker Themen austauschen kannst!
Hinterlasse uns einen Kommentar
Mit der Nutzung dieses Formulars, erklärst du dich mit der Speicherung und Verarbeitung deiner Daten durch diese Website einverstanden. Weitere Informationen kannst du der Datenschutzerklärung entnehmen.