IoT安全噩梦:Skill Squatting
作者:星期六, 二月 16, 20190

联网设备快速增殖,物联网(IoT)技术迅速超越了基本联网装置和可穿戴设备的范畴,语音处理等更复杂的互动式功能开始冒头,智能音箱之类声控设备迎来极大增长。

Adobe Analytics 的调查研究显示:2018年,受访消费者中32%拥有智能音箱,上年同期的比例是28%。语音助手产品的采用率甚至超过了智能手机和平板电脑的——?#29575;?#19978;,有人预测:到2020年,全球将有2.25亿智能音箱走入消费者家中。

智能音箱蓬勃发展

智能音箱市场膨胀的同时,我们不得不考虑这些设备走入家庭的潜在安全影响。一个不太为人所知的威胁就是“Skill Squatting ?#20445;?#35793;为:技能偷占),该威胁很可能发展?#19978;?#23454;网络安全问题。

语音助?#26234;?#21160;的设备依赖“技能?#20445;?#25110;者说指示助?#31181;?#34892;任务的声音指令组合。?#22791;糜没?#36890;过短语下达声音指令时,设备注册该指令并?#33539;ㄓ没?#24819;要激活的技能。从开启客厅的灯盏,到往购物清单上添?#30001;?#21697;,甚至直接购买这些商品——?#27809;?#19979;达的每一个指令都有相应的技能与之关联。

每个智能助手都有能力在软件小程序的驱动下变得更智能,可以?#36828;?#25191;行处理进程。这些小程序会查询指令,然后通过执行一系列相关技能来完成指令指示的任务。比如说,在厨房准备晚餐时可以指示智能音箱?#23433;?#25918;晚餐音乐?#20445;?#38899;箱便会?#19994;?#30456;应歌单,激活距离最近的扬声器开始播放。但要执行该指令,智能音箱必须先准确翻译?#27809;?#30340;语音指示,再将该指令与?#27809;?#24819;要激活的特定技能相关联。

去年9月,亚马逊报告称,开发人员已对超3,500个品牌推出了5万多个Alexa技能。报告发布后的4个多月中肯定还有新的技能不断添?#25317;紸lex技能库中。

语音处理技术目前看起来似乎没有局限性,这一点既令人振奋,又使人担忧。语言处理领域有些像是狂野西部时代,创新空间无限,但防护也几乎没有,?#27809;?#23545;相关风险的认知几近为零。

同音异形?#31181;?#27527;

智能音箱错接技能会发生什么情况?通常也就是?#27809;?#19975;般无奈,只好一遍遍重复自?#21512;?#35201;执行的操作指令。然而,除了情绪上的沮丧?#22836;?#24594;,智能音箱错误理解?#27809;?#25351;令能造成的后果更为可怕。

语音处理技术并不能总是正确翻译指令。同音异形字或发音不清晰的指令常能引起错误解析。在亚马逊Alexa平台上测试过53.7万条单字语音样本后,伊利诺伊大学厄巴纳-香槟分校(UIUC)的研究人员发现了27个可预测的错误。其中一些是同音异形字,比如“sale”和“sail?#20445;?#20294;有些就带有不同的语音结构了,比如“coal”和“call?#20445;?#25110;者“dime”和“time”。

所有这些潜在错误将?#27809;?#26292;?#23545;?#20102;触发意外指令的风险之中,也就给网络罪犯开辟了一条新的攻击途径。恶意黑客可?#36828;?#20934;可预测错误,寄希望于重定向指令到恶意技能,?#21592;?#31363;取口令信息、入侵家庭网络,甚或将录音发送至第三方。这就是所谓的技能偷占( Skill Squatting )攻击。

以“coal”和“call”为例:“call mom”(给妈妈打电话)是智能音箱常会收到的语音指令。黑客可以开发一条能被“coal mom”语音激活的技能。“coal mom”与“call mom”从意思上讲完全不同,且“coal mom”不太可能作为合法指令注册,但智能音箱很容易搞混二者,去执行黑客的恶意指令,然后连接回正确的技能,在此期间?#27809;?#27627;无所觉。

UIUC研究团队的测试中,27个可预测错误中有25个都至少能被偷占成功一次——93%的成功率。

武器化

尽管?#24418;?#22312;实验环境外发现此类攻击,但我们很容易想象该攻击的现实世界应用。过往经验告诉我们,语音识别系统会?#22797;恚没?#23478;庭网络?#26790;?#26435;会被错误地交给网络罪犯。通过激活被偷占的技能,恶意黑客甚至无需执行所请求的指令就能抽取?#27809;?#30340;账户、家庭网络和口令信息。因为这些设备通常不带屏幕?#20063;?#20316;很快,被偷占的技能可能激活太快以致?#27809;?#27880;意不到。与其他攻击类似,网络罪犯能利用人类行为及可预测错误劫持预定指令,将?#27809;У家?#21521;恶意技能。

虽然目前还没出现WannaCry或熔断/幽灵漏洞级别的大规模技能偷占攻击,不足以拉响警报,但与所有创新一样,语音处理技术总会出现?#25910;稀?strong>网络安全人员和消费者需?#38505;?#23545;待IoT设备安全问题。只要想想近半数美国家庭拥有智能音箱,难免会对这一数?#30452;?#21518;的大量网络犯罪潜在受害者数量暗暗心惊。

Adobe Analytics 研究:

https://developer.amazon.com/blogs/alexa/post/85354e2f-2007-41c6-b946-5a73784bc5f3/ifa-2018-alexa-devices-continue-expansion-into-new-categories-and-use-cases

UIUC发现:

https://www.usenix.org/conference/usenixsecurity18/presentation/kumar

相关阅读

增强IoT安全和可见性的7种工具

IoT安全风险:我们的日常生活就是攻击面

万亿市场的IoT市场 这是一场席卷全球的海啸

 

分享:
0

相关文章

写一条评论

 

 

0条评论