Google, un bug svela la posizione di Home e Chromecast

Google Home e Google Chromecast potrebbero rivelare con estrema facilità la propria posizione ad un malintenzionato che, da remoto, potrebbe carpire questo dettaglio attraverso un banale link. Insomma: per Google un sicuro passo falso, peraltro su prodotti particolarmente sensibili come Google Home (prodotto che dialoga con l’utente e che necessita pertanto di una fiducia particolare).

Il bug è stato svelato da Craig Young, ricercatore Tripwire, il quale ha ricostruito le fasi dell’attacco enunciandole come estremamente semplici da portare a compimento. Anzitutto occorre semplicemente proporre alla vittima un link, chiedendone il click e cercando di mantenere il collegamento attivo per un minuto circa (proponendo ad esempio nel frattempo altri contenuti che richiedano la permanenza sulla pagina): la vittima deve essere sulla medesima rete usata da Home o Chromecasts, situazione del tutto comune in ambiente casalingo. Dopo il click, un codice è in grado di chiedere a Google Home e Chromecast di verificare la presenza di reti wireless nei paraggi, inviandone l’elenco ad un server remoto: qui una rapida verifica è in grado di incrociare i dati e, tramite semplice triangolazione, è possibile individuare il device sul territorio con somma precisione .

Quest’ultimo dettaglio svela il lato più preoccupante del problema di sicurezza emerso. Conoscere l’esatta posizione del device, infatti, potrebbe consentire ad un malintenzionato di portare avanti ad esempio un attacco di phishing ad hoc, mirato, personalizzato e pertanto estremamente più invasivo ed efficace. Google Home e Google Chromecast diventerebbero insomma spie involontarie che, tramite la comune analisi delle reti Wifi disponibili, potrebbero consentire di trafugare informazioni preziose per attacchi di grave entità.

Google avrebbe confermato il problema promettendo un update risolutivo a livello software entro il mese di luglio. L’analisi di Craig Young e gli approfondimenti di KrebsOnSecurity (che hanno imposto a Google una risposta nel merito) portano così alla sollecita risoluzione di un problema che poteva altrimenti rivelarsi come una silente backdoor dalla quale carpire informazioni. Il che dovrebbe una volta di più servire come monito ed elemento pedagogico per quanti sottovalutano le questioni relative alla sicurezza informatica, anche e soprattutto quando si tratta di device personali e di uso “leggero” nell’intrattenimento domestico.