物聯(lián)網(wǎng)安全的噩夢(mèng)

Linux就該這么學(xué)
聯(lián)網(wǎng)設(shè)備快速增殖,物聯(lián)網(wǎng)(IoT)技術(shù)迅速超越了基本聯(lián)網(wǎng)裝置和可穿戴設(shè)備的范疇,語(yǔ)音處理等更復(fù)雜的互動(dòng)式功能開(kāi)始冒頭,智能音箱之類聲控設(shè)備迎來(lái)極大增長(zhǎng)。

聯(lián)網(wǎng)設(shè)備快速增殖,物聯(lián)網(wǎng)(IoT)技術(shù)迅速超越了基本聯(lián)網(wǎng)裝置和可穿戴設(shè)備的范疇,語(yǔ)音處理等更復(fù)雜的互動(dòng)式功能開(kāi)始冒頭,智能音箱之類聲控設(shè)備迎來(lái)極大增長(zhǎng)。

Adobe Analytics 的調(diào)查研究顯示:2018年,受訪消費(fèi)者中32%擁有智能音箱,上年同期的比例是28%。語(yǔ)音助手產(chǎn)品的采用率甚至超過(guò)了智能手機(jī)和平板電腦的——事實(shí)上,有人預(yù)測(cè):到2020年,全球?qū)⒂?.25億智能音箱走入消費(fèi)者家中。

智能音箱蓬勃發(fā)展

智能音箱市場(chǎng)膨脹的同時(shí),我們不得不考慮這些設(shè)備走入家庭的潛在安全影響。一個(gè)不太為人所知的威脅就是“Skill Squatting ”(譯為:技能偷占),該威脅很可能發(fā)展成現(xiàn)實(shí)網(wǎng)絡(luò)安全問(wèn)題。

語(yǔ)音助手驅(qū)動(dòng)的設(shè)備依賴“技能”,或者說(shuō)指示助手執(zhí)行任務(wù)的聲音指令組合。當(dāng)該用戶通過(guò)短語(yǔ)下達(dá)聲音指令時(shí),設(shè)備注冊(cè)該指令并確定用戶想要激活的技能。從開(kāi)啟客廳的燈盞,到往購(gòu)物清單上添加商品,甚至直接購(gòu)買(mǎi)這些商品——用戶下達(dá)的每一個(gè)指令都有相應(yīng)的技能與之關(guān)聯(lián)。

每個(gè)智能助手都有能力在軟件小程序的驅(qū)動(dòng)下變得更智能,可以自動(dòng)執(zhí)行處理進(jìn)程。這些小程序會(huì)查詢指令,然后通過(guò)執(zhí)行一系列相關(guān)技能來(lái)完成指令指示的任務(wù)。比如說(shuō),在廚房準(zhǔn)備晚餐時(shí)可以指示智能音箱“播放晚餐音樂(lè)”,音箱便會(huì)找到相應(yīng)歌單,激活距離最近的揚(yáng)聲器開(kāi)始播放。但要執(zhí)行該指令,智能音箱必須先準(zhǔn)確翻譯用戶的語(yǔ)音指示,再將該指令與用戶想要激活的特定技能相關(guān)聯(lián)。

去年9月,亞馬遜報(bào)告稱,開(kāi)發(fā)人員已對(duì)超3,500個(gè)品牌推出了5萬(wàn)多個(gè)Alexa技能。報(bào)告發(fā)布后的4個(gè)多月中肯定還有新的技能不斷添加到Alex技能庫(kù)中。

語(yǔ)音處理技術(shù)目前看起來(lái)似乎沒(méi)有局限性,這一點(diǎn)既令人振奮,又使人擔(dān)憂。語(yǔ)言處理領(lǐng)域有些像是狂野西部時(shí)代,創(chuàng)新空間無(wú)限,但防護(hù)也幾乎沒(méi)有,用戶對(duì)相關(guān)風(fēng)險(xiǎn)的認(rèn)知幾近為零。

同音異形字之殤

智能音箱錯(cuò)接技能會(huì)發(fā)生什么情況?通常也就是用戶萬(wàn)般無(wú)奈,只好一遍遍重復(fù)自己想要執(zhí)行的操作指令。然而,除了情緒上的沮喪和憤怒,智能音箱錯(cuò)誤理解用戶指令能造成的后果更為可怕。

語(yǔ)音處理技術(shù)并不能總是正確翻譯指令。同音異形字或發(fā)音不清晰的指令常能引起錯(cuò)誤解析。在亞馬遜Alexa平臺(tái)上測(cè)試過(guò)53.7萬(wàn)條單字語(yǔ)音樣本后,伊利諾伊大學(xué)厄巴納-香檳分校(UIUC)的研究人員發(fā)現(xiàn)了27個(gè)可預(yù)測(cè)的錯(cuò)誤。其中一些是同音異形字,比如“sale”和“sail”,但有些就帶有不同的語(yǔ)音結(jié)構(gòu)了,比如“coal”和“call”,或者“dime”和“time”。

所有這些潛在錯(cuò)誤將用戶暴露在了觸發(fā)意外指令的風(fēng)險(xiǎn)之中,也就給網(wǎng)絡(luò)罪犯開(kāi)辟了一條新的攻擊途徑。惡意黑客可以盯準(zhǔn)可預(yù)測(cè)錯(cuò)誤,寄希望于重定向指令到惡意技能,以便竊取口令信息、入侵家庭網(wǎng)絡(luò),甚或?qū)浺舭l(fā)送至第三方。這就是所謂的技能偷占( Skill Squatting )攻擊。

以“coal”和“call”為例:“call mom”(給媽媽打電話)是智能音箱常會(huì)收到的語(yǔ)音指令。黑客可以開(kāi)發(fā)一條能被“coal mom”語(yǔ)音激活的技能。“coal mom”與“call mom”從意思上講完全不同,且“coal mom”不太可能作為合法指令注冊(cè),但智能音箱很容易搞混二者,去執(zhí)行黑客的惡意指令,然后連接回正確的技能,在此期間用戶毫無(wú)所覺(jué)。

UIUC研究團(tuán)隊(duì)的測(cè)試中,27個(gè)可預(yù)測(cè)錯(cuò)誤中有25個(gè)都至少能被偷占成功一次——93%的成功率。

武器化

盡管尚未在實(shí)驗(yàn)環(huán)境外發(fā)現(xiàn)此類攻擊,但我們很容易想象該攻擊的現(xiàn)實(shí)世界應(yīng)用。過(guò)往經(jīng)驗(yàn)告訴我們,語(yǔ)音識(shí)別系統(tǒng)會(huì)犯錯(cuò),用戶家庭網(wǎng)絡(luò)訪問(wèn)權(quán)會(huì)被錯(cuò)誤地交給網(wǎng)絡(luò)罪犯。通過(guò)激活被偷占的技能,惡意黑客甚至無(wú)需執(zhí)行所請(qǐng)求的指令就能抽取用戶的賬戶、家庭網(wǎng)絡(luò)和口令信息。因?yàn)檫@些設(shè)備通常不帶屏幕且操作很快,被偷占的技能可能激活太快以致用戶注意不到。與其他攻擊類似,網(wǎng)絡(luò)罪犯能利用人類行為及可預(yù)測(cè)錯(cuò)誤劫持預(yù)定指令,將用戶導(dǎo)引向惡意技能。

雖然目前還沒(méi)出現(xiàn)WannaCry或熔斷/幽靈漏洞級(jí)別的大規(guī)模技能偷占攻擊,不足以拉響警報(bào),但與所有創(chuàng)新一樣,語(yǔ)音處理技術(shù)總會(huì)出現(xiàn)故障。網(wǎng)絡(luò)安全人員和消費(fèi)者需認(rèn)真對(duì)待IoT設(shè)備安全問(wèn)題。只要想想近半數(shù)美國(guó)家庭擁有智能音箱,難免會(huì)對(duì)這一數(shù)字背后的大量網(wǎng)絡(luò)犯罪潛在受害者數(shù)量暗暗心驚。

Adobe Analytics 研究:https://www.cmo.com/features/articles/2018/9/7/adobe-2018-consumer-voice-survey.html#gs.2T8M5VOn

亞馬遜報(bào)告:https://developer.amazon.com/blogs/alexa/post/85354e2f-2007-41c6-b946-5a73784bc5f3/ifa-2018-alexa-devices-continue-expansion-into-new-categories-and-use-cases

UIUC發(fā)現(xiàn):https://www.usenix.org/conference/usenixsecurity18/presentation/kumar

THEEND

最新評(píng)論(評(píng)論僅代表用戶觀點(diǎn))

更多
暫無(wú)評(píng)論