Un gruppo di ricercatori della Zhejiang University ha scoperto una falla che accomuna tutti gli assistenti virtuali sul mercato (Siri, Google Now, Samsung S Voice, Huawei HiVoice, Cortana, Alexa). Questa “svista” nella loro progettazione permette intromissioni su altri dispositivi IoT. “Proponiamo un nuovo meccanismo per attaccare direttamente il microfono usato per captare i dati vocali con comandi non udibili. Mostriamo che è possibile sfruttare il microfono per impartire ultrasuoni non udibili con l’intento di far azionare il microfono come se stesse udendo normali comandi vocali, controllando così l’apparecchio della vittima a sua insaputa” – si legge nella presentazione della ricerca, liberamente consultabile (e che sarà presentata anche in occasione di ACM Conference on Computer and Communications Security a Dallas, Texas a fine ottobre). L’esperimento dimostra che è possibile attaccare dispositivi Android ed Amazon Echo anche a 2-3 metri di distanza.
L’attacco noto come DolphinAttack , si basa sulla traduzione di comandi vocali in ultrasuoni, (ovvero in frequenze che vanno oltre la soglia limite dei 20kHz udibile dall’orecchio umano ) impartiti poi ai dispositivi in ascolto attraverso un amplificatore. I ricercatori si sono divertiti a chiedere a Siri di comporre un numero di telefono, ad un MacBook di aprire un sito Internet potenzialmente dannoso, ad Amazon Echo di aprire un porta, e al sistema di navigazione di un’Audi Q3 di reimpostare la destinazione.
Per rendere impraticabile questo tipo di attacco andrebbero probabilmente rivisti i microfoni di cui gli apparecchi elettronici sono dotati, e nella maggior parte dei casi per la loro progettazione questa modifica sarebbe impossibile, secondo alcuni esperti . “La maggior parte dei microfoni di oggi trasformano aria turbolenta o onde sonore in onde elettriche. Bloccare queste super capacità di ascolto potrebbe essere impossibile” – sostiene Gadi Amit, fondatore di NewDealDesign. Una soluzione più praticabile potrebbe essere rappresentata da modifiche software, istruendo gli assistenti affinché ignorino comandi provenienti da sonorità che non rientrino nel range di frequenze percepibili dall’uomo .
Si tratta di una strada, quest’ultima, che andrebbe contro le scelte commerciali già affrontate da alcune aziende. Giusto per fare un esempio gli Amazon Dash comunicano con i dispositivi mobilw con una frequenza di 18kHz e allo stesso modo funziona anche Google Chromecast. Gli ultrasuoni rappresentano quindi la nova frontiera del linguaggio tra macchine , evidenziando però ancora una volta la scarsa sicurezza dei nuovi dispositivi smart. “Credo che la Silicon Valley stia chiudendo gli occhi di fronte a come un prodotto possa essere violato o usato in maniera difforme. Ciò non fa parte di una robusta pianificazione, come invece dovrebbe essere. I sistemi vocali sono chiaramente lontani dall’essere sicuri” – sostiene Ame Elliott di SimplySecure . Già in precedenza erano stato compiuti hack ai danni di Alexa, ma in questo caso non è necessario alcun contatto fisico con il dispositivo. L’hack è sulla falsa riga di quanto accade con i poco sicuri smart toys che spesso non proteggono le conversazioni.
Al momento l’unica soluzione per garantire che l’assistente non prenda in carico ordini non impartiti dal legittimo proprietario è drastica. Occorre disattivare dai dispositivi elettronici intelligenti l’ascolto continuo (sulle impostazioni è la funzionalità “always on”). Ma nonostante le critiche e i sempre più numerosi casi di allarme sicurezza, i giganti del tech proseguono per la loro strada, migliorando i loro prodotti e infarcendoli di nuove funzionalità spesso legati ad assistenti virtuali. Su questo filone, Amazon ha da poco lanciato le cosiddette raccomandazioni a terzi : Alexa dirotta a soluzioni e risultati sviluppati da terzi nel caso in cui non avesse la risposta pronta.
Mirko Zago
Ti potrebbe interessare
7 set 2017