Google Home akıllı hoparlörü, bilgisayar korsanlarının arka kapı kurmasına izin verebilecek bir kusur olduğunu bulan bir güvenlik analisti (Matt Kunze) tarafından yakın zamanda hacklendi.
Bu, tehdit aktörlerinin, konuşmacıyı uzaktan kontrol etmek için mikrofon akışına erişerek cihazda ve kullanıcıların konuşmalarında casusluk yapmasına olanak sağlayabilir.
Google Home’da bulunan güvenlik sorunlarını bildirme sorumluluğu nedeniyle Matt’e toplam 107.500 ABD doları ödül verildi. Araştırmacı, daha önceki bir yayında, kusurun nasıl istismar edilebileceğine dair teknik ayrıntılar sağladı ve kusurun uygulamasını göstermek için bir saldırı senaryosunun ana hatlarını çizdi.
Google Ana Sayfa Akıllı Hoparlör Kusur
Araştırmacı kendi Google Home mini hoparlörünü kullanarak bir deney yürütürken, komutları göndermek için bulut API’sini kullanan Google Home uygulamasını kullanarak konuşmacıya uzaktan komut gönderebildiğini fark etti. .
Araştırmacı, Google Home’un herhangi bir yerel HTTP API’sine sahip olup olmadığını öğrenmek için bağlantı noktasını bulmak için Nmap tarama aracını kullandı. Şifreli HTTPS trafiğini yakalamak için, kullanıcı yetkilendirme belirtecini trafikten çalma umuduyla bir proxy kurdu.
Araştırmacının keşfettiği hedef cihaza yeni bir kullanıcı eklemek için gereken iki aşamalı bir süreç var gibi görünüyor. Bunu gerçekleştirmek için yerel API’den ihtiyaç duyduğu birkaç öğe vardır ve burada aşağıda belirtilmiştir: –
- Cihaz adı
- sertifika
- Bulut Kimliği
Bu bilgiler kullanılarak Google sunucusuna bir bağlantı isteği gönderilebilir. Analist, bir Python komut dosyası kullanarak yerel cihaz verilerinin dışarı sızmasını otomatikleştirdi ve sahte kullanıcıyı hedef bir Google Home cihazına eklemek için bağlantı isteğini kopyaladı.
Araştırmacı, yukarıda listelenen eylemleri desteklemek için GitHub’da üç kavram kanıtı yayınladı. Bununla birlikte, Google Home’un en son üretici yazılımı sürümü bu cihazlarla uyumlu olmamalıdır.
Hedef cihazla hileli bir hesap ilişkilendirildiğinde, Google Home hoparlörü aracılığıyla aşağıdaki işlemleri gerçekleştirmek mümkündür:-
- Akıllı anahtarları kontrol etme
- Çevrimiçi satın alma yapma
- Uzaktan kilit açma kapıları
- Araçların uzaktan kilidini açma
- Akıllı kilitler için kullanıcının PIN’ini zorlama
Ayrıca araştırmacı, kötü amaçlı bir rutine bir kod parçası eklemenin “call [phone number]” saldırgan tarafından istismar edilmek üzere.
Saldırgan, bu yöntemi kullanarak, saldırganın numarasını arayabilir ve belirli bir zamanda mikrofon aracılığıyla canlı bir ses akışı alabilir.
Bir arama sırasında cihazda mavi bir LED görünür; bu, arama sırasında bazı etkinliklerin devam ettiğini gösteren tek göstergedir. Mağdur bunu fark ederse, cihazda aygıt yazılımının güncellendiğini varsayabilir.
Titreşen bir LED kullanan mikrofonun etkinleştirilmesi için standart bir gösterge vardır, ancak bu, arama devam ederken gerçekleşmez.
Google Home Akıllı Hoparlör için Yama
Ocak 2021’de Kunze sorunların farkına vardı ve Google aynı yılın Nisan ayına kadar hepsini düzeltti. Google Play Hizmetleri OAuth API’lerinin kullanımı nedeniyle Google Home uygulamasına yama uygulamak ve yeniden paketlemek mümkün değildir, bu nedenle gönderip aldığı trafiği engellemek için root erişimi gereklidir.
Bu yamada, hesapların bağlanmasıyla ilgilenecek yeni bir davet tabanlı sistem tanıtıldı. Google Home’un kimliğini doğrulamanın hala bir yolu var, ancak bunu yapmak isterseniz yeni bir Google hesabını bağlamak için kullanılamaz.
Bu nedenle, temel cihaz verilerinin sızdırılmasından sorumlu olan yerel API’ye erişmek de imkansızdır.
Güvenli Web Ağ Geçidi – Web Filtresi Kuralları, Etkinlik İzleme ve Kötü Amaçlı Yazılımdan Koruma – Ücretsiz E-Kitap İndirin