亚马逊Echo秒变窃听器,官方:二手千万不要买

2017-08-10 13:41:31 来源:21IC电子网
分享到:
标签:

 

由于交互的需要,亚马逊Echo是总是在听人们说话,因此它也容易被偏执狂当成监听器。最近,一名安全研究人员的实验,告诉我们,可爱的音箱和邪恶的监听器两者之间,并没有一道清晰的安全防线。只消几分钟的操作,黑客就可以将Echo转换成窃听麦克风,而不会留下任何痕迹。wired的一篇报道介绍了这个实验,最后也给了大家最终的应对绝招。

英国安全研究员Mark Barnes在实验室的博客中详细介绍了在亚马逊Echo中安装恶意软件的技术。实践已经证明了他的代码能够秘密地将音频传到自己的服务器中。这技术首先需要在Echo的实物上先做手脚,而且只对2017年之前出售的Echo有作用。Barnes警告说,对于2017年前出售的那些产品,这个漏洞无法通过软件进行修复,而且被改造的Echo在外观上没有任何破绽。

 


虽然这项技术的出现还不至于让每个Echo用户提心吊胆,但它确实指出了Echo中存在的安全性问题,随着销量的增加,人们会携带Echo出门。越来越多的Echo被留在酒店房间或办公室中,用户没法时刻盯着它,也就给不怀好意之人留下机会。

改造Echo

 


“我们展示了一种root Echo的技术,然后将它变成‘窃听器’”Barnes说,他在英国贝辛斯托克的MWR实验室担任安全研究员。他的博客描述了他如何在Echo上安装自己的恶意软件,先创建一个“root shell”,让他可以通过互联网连接被黑的Echo,最后“远程监听”持续录音的Ehco。

这个方法利用了2017年前出售的Echo遗留的硬件安全漏洞。拆除Echo的橡胶底座,就能发现下方的一些金属焊盘,它们的作用是链接内部硬件,它们应该是在销售前用于测试和修复错误的。例如,其中的一个金属盘能从SD卡中读取数据。

Echo 的金属焊盘分布

 


于是Barnes通过焊接连接了两个小金属盘,一个连接到他的笔记本电脑,另一个连接到一个SD卡读卡器。然后,他使用亚马逊的自带的功能,从SD卡上加载了自己修改过的Echo“开机加载程序”。这种程序根植于一些硬件设备中,能够自己唤醒操作系统,也能将操作系统的身份验证措施关闭的调整,还能允许他在Echo上安装软件。

虽然焊接需要花费数小时的时间,而且会留下物理证据,连接延伸出的电线也会分布得到处都是,但Barnes表示,随着开发的深入,插上特制的器件就能够直接连接上这些焊盘,轻松地在几分钟内实现相同的效果。事实上,南卡罗来纳州城堡军事学院的一个研究团队的一篇早期论文也能佐证Barnes的说法,论文暗示了黑客可以使用3D打印的器件连接到焊盘上。

Barnes解释说:“只要这个小小的橡胶底部,就可以直接连接这些焊盘了。你可以制造一个可以插上去的器件,这样就不用焊了,而且不会有明显的操作痕迹。”

在自己编写的软件获得了连接上Echo的能力之后,Barnes又编写了一个简单的脚本,可以控制麦克风,并将音频传输到任何指定的远程计算机上。他指出,这样的软件可以轻易地执行其他邪恶的功能,例如利用它作为接入点来攻击网络中的其他部分,窃取用户的亚马逊账号,或者安装其他勒索软件。 Barnes说:“你可以借助它为所欲为,真的。”

简单的绝招
亚马逊已经在最新版本中修复了Barnes发现的Echo的这个安全漏洞。Barnes表示,亚马逊已经在硬件产品上杜绝了这种可能。当WIRED向亚马逊询问对此事的看法时,亚马逊在一份声明中写道:“为了确保产品安全,我们建议客户从亚马逊或可信的零售商处购买Amazon生产的设备,并保持软件更新。”

Barnes同意,他的实验主要还是给那些从亚马逊之外的渠道购买Echo的人的一个警告,例如一些二手的Echo可能就被改造过。但他也指出,软件的更新是没法拯救早期的Echo的,因为问题在于硬件的漏洞。

他说,人们应该考虑在公共场所或半公共场合使用Echo的安全隐患,例如拉斯维加斯永利酒店,就计划在每间客房里放置Echo。Barnes说:“在这种情况下,您根本无法知道谁已经连接上Echo了。“可能酒店以前的客人就在里面安装了一些东西,或者清洁工,谁都有嫌疑。”将室内智能服务设备变成间谍工具的想法不仅仅是偏执狂才有的:维基解密发布的文档表明,中情局已经研究出了类似的物理接入技术,旨在将三星智能电视变成窃听设备。

对于那些担心Echo已经遭到改造的人而言,Barnes指出,亚马逊还是留了一手,Echo有一个静音按钮,也是Echo的开关,是恶意软件无法绕过的。他推荐这个办法: “要是这个按钮被关上了,软件是没有办法重启的。”他说。

所以这是他的绝招:“一关则灵。”

 

 
关注与非网微信 ( ee-focus )
限量版产业观察、行业动态、技术大餐每日推荐
享受快时代的精品慢阅读
 

 

继续阅读
瀑布现天价讲解员,专家教授也要“下岗”
瀑布现天价讲解员,专家教授也要“下岗”

游玩景区,很多人都喜欢找解说员。有了他们的讲解看风景确实不那么枯燥,跟着他们的思路看总感觉不虚此行。不过,如果一个讲解员每人次收费1800元,那么,你可能就没有看风景的心情了。

亚马逊Alexa升级,将会带来哪些改变?
亚马逊Alexa升级,将会带来哪些改变?

据外媒报道,亚马逊正在改良其数字语音助手Alexa,给Alexa带来了新的的更新,用户如今能够运用Alexa和Echo来控制Amazon Fire TV,可以完全免提。

浅析谷歌Alexa未来发展趋势,最后一个目标这么大?
浅析谷歌Alexa未来发展趋势,最后一个目标这么大?

人工智能语音设备不仅仅是一台可以表达观点的自动唱机,它们很可能成为人机互动的主要方式之一。

亚马逊Echo存漏洞很可怕?要这么做才能黑进去
亚马逊Echo存漏洞很可怕?要这么做才能黑进去

最近,国内智能音箱市场逐渐热闹起来,而国外的亚马逊Echo快成家家户户必备。但是联网的设备总会有一定的安全隐患,智能音箱还充当着智能家居管家的角色,一旦被黑后果蛮严重的。

浅析亚马逊的移动无人机战略
浅析亚马逊的移动无人机战略

目前在无人机送货领域,就使用的持续性而言,存在的问题还是在电池的续航能力和维修方面,一旦电池耗尽而再次充电,或者出现故障需要维修,其就只能暂停送货或者由其他无人机代替。

更多资讯
沃尔玛新专利颠覆传统电商,无人机当“快递员”你怎么看

近日,美国零售巨头沃尔玛申请了一项“漂浮仓库”的专利,这对电商领域来说将会是极具颠覆性的专利。整个“漂浮仓库”看上去将会像一个飞艇,它能够在海拔300米以上的空中漂浮,并且自主运行,当然也可以让飞行员通过遥控操作。

iPhone销量持续下跌,在中国区遇到啥困境了?
iPhone销量持续下跌,在中国区遇到啥困境了?

去年访问中国时,苹果首席执行官蒂姆·库克(Tim Cook)顺道走进一家星巴克,想喝杯咖啡。

智能音箱风口下的故事,创业公司只能沦为炮灰?

本轮智能家居入口争夺战的焦点已转向智能音箱。行业巨头与创业公司仍在面向风口快速跑马圈地,但技术短板、市场尴尬、标准缺失、各平台互联互通之难等却被有意无意忽略。它们或将成为入局者折戟沉沙的致命伤。

苹果智能手表AppleWatch升级后出现BUG,只能重启?
苹果智能手表AppleWatch升级后出现BUG,只能重启?

AppleWatch部分用户对苹果智能手表进行首次升级之后,发现心率监测功能出现了问题。

巨头间的专利持久战,高通:苹果一分钱不想付

近日,高通执行副总裁暨首席法律顾问 Donald Rosenberg 在公开场合表示,苹果拒付手机专利授权费的行为,就像是消费者走进 Apple Store 后,不付钱就直接拿走手机。此外,Donald Rosenberg 表示,高通的专利不是有形的产品,所以要通过法律解决,且有信心高通一定会赢!

Moore8直播课堂
STM32电机控制培训直播

STM32电机控制培训直播

2017-08-22 09:30:00
课程介绍 随着直流无刷电机(BLDC)和永磁同步电机(PMSM)在诸多领域有着广泛应用,并且用量也在逐步增长,电机的驱动和控制技术做为核心部分直接影响到产品性能,控制技术之一的FOC控制技术(磁
【独家直播】TOP10项目终极竞演,谁将问鼎冠军?

【独家直播】TOP10项目终极竞演,谁将问鼎冠军?

2017-08-22 08:00:00
第十二届中国研究生电子设计竞赛自2017年3月正式启动,覆盖八大赛区,经过初赛决赛两个阶段重重选拨,终于迎来强者之间最后的角逐,期待学子们的精彩表现! 直播时间:2017/8/22 8:00-1
【智能车全国总决赛】赛前演练:试车争分夺秒

【智能车全国总决赛】赛前演练:试车争分夺秒

2017-08-24 07:00:00
“这比赛确实将我从大学里整天傻玩混日子的状态,引入电路和程序的奇妙世界,从此不能自拔。也因为这比赛,认识了志同道合的一帮朋友,画图刷板采购焊接拼赛道调程序调程序调程序……调到天昏地暗没有出路,就在
【智能车全国总决赛】预赛直播间1:主拍竞速组

【智能车全国总决赛】预赛直播间1:主拍竞速组

2017-08-25 08:00:00
第十二届全国大学生“恩智浦”杯智能汽车竞赛全国总决赛将于8月23日至8月26日在常熟理工学院举行,来自全国各地的169个高校的参赛队将汇聚一堂。 哪些队伍将从预赛中脱颖而出?传统强队
【智能车全国总决赛】预赛直播间2:主拍双车对抗组

【智能车全国总决赛】预赛直播间2:主拍双车对抗组

2017-08-25 08:00:00
第十二届全国大学生“恩智浦”杯智能汽车竞赛全国总决赛将于8月23日至8月26日在常熟理工学院举行,来自全国各地的169个高校的参赛队将汇聚一堂。 哪些队伍将从预赛中脱颖而出?传统强队是否能在决赛
微话题

年初定的哪些“小目标”没有阵亡?

有偿征稿 | 2017年能耗过半,年初定的哪些“小目标”没有阵亡? ……
克孜勒苏柯尔克孜自治州邮政管理局 连云港市政务服务中心 阿里伯乐 喀什地区邮政管理局 色谱网 铁友网 郑州大学工程硕士 西安交通大学数据与信息中心 绿色软件联盟 上海宣传片制作公司 长沙市人民政府国有资产监督管理委员会 中国领先的品质家装生态运营商 今朝装饰 连云港市住房保障和房产管理局 生活服务类团购网站大全! 连云港社科网 长沙市民族宗教事务局 21保健品招商网 珠宝柜代工定制生产厂家 阿勒泰地区邮政管理局 西安交通大学 福州最新招聘信息 郑州大学远程教育学院 小脚印亲子网 培训学院 连云港民防网 人才培养处 吐鲁番市邮政管理局 U盘装机大师官网 东华理工大学MPAcc教育中心 西安交通大学教育基金会 YYMP3音乐网 西安交通大学医学部 复兴新闻网 郑州大学新闻网2013版 昌吉回族自治州邮政管理局 杂志铺 连云港工商行政管理局 长沙市政府首页 连云港市农业科学院 高端制造装备协同创新中心 太平洋安防网 高铁网 食品招商网 锡林郭勒盟质量技术监督局门户网站 卡宝宝网 长沙悦亭装饰公司 化工机械行业网 交大综合信息 塔城地区邮政管理局