Assistenti virtuali hackerati con gli ultrasuoni

Un gruppo di ricercatori della Zhejiang University ha scoperto una falla che accomuna tutti gli assistenti virtuali sul mercato (Siri, Google Now, Samsung S Voice, Huawei HiVoice, Cortana, Alexa). Questa “svista” nella loro progettazione permette intromissioni su altri dispositivi IoT. “Proponiamo un nuovo meccanismo per attaccare direttamente il microfono usato per captare i dati vocali con comandi non udibili. Mostriamo che è possibile sfruttare il microfono per impartire ultrasuoni non udibili con l’intento di far azionare il microfono come se stesse udendo normali comandi vocali, controllando così l’apparecchio della vittima a sua insaputa” – si legge nella presentazione della ricerca, liberamente consultabile (e che sarà presentata anche in occasione di ACM Conference on Computer and Communications Security a Dallas, Texas a fine ottobre). L’esperimento dimostra che è possibile attaccare dispositivi Android ed Amazon Echo anche a 2-3 metri di distanza.

Si tratta di una strada, quest’ultima, che andrebbe contro le scelte commerciali già affrontate da alcune aziende. Giusto per fare un esempio gli Amazon Dash comunicano con i dispositivi mobilw con una frequenza di 18kHz e allo stesso modo funziona anche Google Chromecast. Gli ultrasuoni rappresentano quindi la nova frontiera del linguaggio tra macchine , evidenziando però ancora una volta la scarsa sicurezza dei nuovi dispositivi smart. “Credo che la Silicon Valley stia chiudendo gli occhi di fronte a come un prodotto possa essere violato o usato in maniera difforme. Ciò non fa parte di una robusta pianificazione, come invece dovrebbe essere. I sistemi vocali sono chiaramente lontani dall’essere sicuri” – sostiene Ame Elliott di SimplySecure . Già in precedenza erano stato compiuti hack ai danni di Alexa, ma in questo caso non è necessario alcun contatto fisico con il dispositivo. L’hack è sulla falsa riga di quanto accade con i poco sicuri smart toys che spesso non proteggono le conversazioni.

Al momento l’unica soluzione per garantire che l’assistente non prenda in carico ordini non impartiti dal legittimo proprietario è drastica. Occorre disattivare dai dispositivi elettronici intelligenti l’ascolto continuo (sulle impostazioni è la funzionalità “always on”). Ma nonostante le critiche e i sempre più numerosi casi di allarme sicurezza, i giganti del tech proseguono per la loro strada, migliorando i loro prodotti e infarcendoli di nuove funzionalità spesso legati ad assistenti virtuali. Su questo filone, Amazon ha da poco lanciato le cosiddette raccomandazioni a terzi : Alexa dirotta a soluzioni e risultati sviluppati da terzi nel caso in cui non avesse la risposta pronta.

Mirko Zago

fonte immagine