Заголовок: Security Week 15: колонки-шпионы и взлом гостиничных ключей

Окей, Гугл, раз-раз, как меня слышно, прием? 12 апреля видеоблоггер Mitchollow устраивает ^[1] в прямом эфире Ютьюба эксперимент, чтобы ответить на простой вопрос: если у вас на компьютере установлено какое-то ПО от Google (например, браузер Chrome), означает ли это, что Гугл, как родина ^[2], всегда слушает вас через микрофон? Автор видео сначала показывает табличку с названием товара (игрушки для собак), о котором позже он говорит вслух в течение пары минут. После этого, открыв пару популярных сайтов, моментально натыкается на рекламу зоомагазинов в больших количествах.

Из этого прекрасного эксперимента можно сделать массу далеко идущих выводов. Например, что мы сейчас, с точки зрения разнузданности слежки за пользователями в сети, живем в некотором мире дикого Запада, где нас профилируют по всем параметрам — от высказываний до селфи и паттернов встроенного в телефон датчика ускорения. Возможно, так и есть, но 24 апреля тот же видеоблоггер выкладывает не то чтобы опровержение ^[3], а скорее попытку показать, что не все так однозначно. Как обычно бывает в интернетах, первое видео с набросом на вентилятор смотрят больше двух миллионов раз, второе видео набирает всего 160 тысяч просмотров.

Действительно, эксперимент получился не самый научный. Во-первых, автор видео, увидев первую релевантную ссылку, сразу же кликнул на нее. Всю остальную рекламу на тему собачьих игрушек можно было уже не показывать: очевидно, что после клика таргетинг будет показывать тебе похожие рекламные объявления до победного конца. Во-вторых, возможно, ошибкой стал сам факт живой трансляции: если человек говорит в микрофон, осознанно передавая звук на серверы Google, понятно, что на той стороне будут слушать. Им же разрешили!

Чуть более научное исследование провели специалисты компании Checkmarx (новость ^[4], полное исследование ^[5] доступно после регистрации у них на сайте). Они нашли уязвимость в системе голосового управления Alexa, которая используется, в частности, в беспроводных колонках Amazon Echo. Echo позволяет устанавливать сторонние приложения — точнее, в новой терминологии дивного микрофонного мира они называются то ли скиллами, то ли навыками. Приложение исследователям удалось написать в меру вредоносным, оно эксплуатирует типовой сценарий: пользователь обращается к колонке, колонка распознает (в умном облаке с умным интеллектом) запрос и предоставляет ответ. Но была найдена возможность слушать пользователя просто так. Недолго, так как время «прослушивания запроса» ограничено: стандартное API реализует сценарий «я ничего не понял» и переспрашивает владельца — что он таки имел в виду?

Это ограничение также удалось обойти, подменив «переспрашивание» тишиной. То есть получается примерно такой сценарий: владелец колонки просит включить тостер, колонка тупит, владелец плюет и включает тостер руками, колонка продолжает слушать. И с помощью стандартных методов распознавания голоса передает расшифровку всего сказанного злоумышленнику. Не вышло только выключить подсветку колонки, которая активируется только во время прослушивания: некоторое палево в процессе шпионажа все же присутствует.

Налицо ошибка в логике системы, которой исследователи смогли воспользоваться. Дыра, по словам Amazon, была закрыта, и впредь планируется детектировать и искоренять «пустые» запросы к пользователю, а также определять подозрительно длинные сеансы прослушивания. Иными словами, в Alexa и Amazon Echo все же имеются дефолтные механизмы, позволяющие иногда микрофон выключать.

В этой истории, как и в ненаучном эксперименте ютьюбера, можно увидеть угрозу, отличную от ожидаемого «плохого» сценария: когда большой вендор подслушивает и подсматривает именно за вами. Большинству людей стоит исходить из того, что большому вендору лично до них нет никакого дела. Каждый из нас — всего лишь один из миллиардов идентификаторов пользователя, пара мегабайт на серверной стойке. Здесь потенциальная проблема в другом: инфраструктура большого вендора может быть уязвима к действиям третьих лиц, которые используют стандартные инструменты, чтобы поток приватной информации переключить на себя. В огромной инфраструктуре Гугла или Амазона даже отловить такую активность будет непросто. А дальше нас ждет распространение машинно-обучаемых систем, которые вообще непонятно как работают, — там безопасность будет на уровне трех правил робототехники, что ли? Я же говорю, дивный новый мир.

Специалисты F-Secure научились клонировать гостиничные электронные ключи
Новость ^[6].

Все началось с того, что у исследователей компании F-Secure украли из гостиничного номера ноутбук. На двери не было никаких следов взлома, поэтому отель после расследования отказался что-либо компенсировать — вдруг сами потеряли? Исследователям стало обидно, и, потратив пару-тройку (или десяток) лет на изучение типовых ключей от отеля, они нашли способ проникновения в любой гостиничный номер, не оставляя следов.

С технической точки зрения отчет ^[7] F-Secure о проведенной работе предельно неконкретен. Называется разработчик софта для управления замками — Vision VingCard, и производитель самих замков — Assa Abloy. Проблема предположительно была обнаружена (и закрыта) на уровне софта, замки менять не пришлось, но количество тумана в исходном блог-посте намекает на возможность альтернативных сценариев. Если так, то понятно, почему технические детали исследования раскрыты чуть менее чем никак.

Вообще не познавательное видео, в котором внезапно присутствует какой-то российский отель.

Тем не менее, сценарий атаки достаточно простой (при условии, что в наличии есть допиленный до ума RFID-ридер и знания о том, как все работает). Нужна любая карта-ключ от конкретного отеля, подойдет даже просроченная и утерянная, хоть пятилетней давности. Информация с карты считывается, происходит магия, и на карту записывается обратно мастер-код, способный открыть чуть ли не любую дверь в той же гостинице. Полезная история для того, чтобы напомнить простую истину: не надо в гостиничном номере оставлять ценные вещи. Даже если это пафосные пять звезд.

Одной строкой
Microsoft выпустила ^[8] новый патч для борьбы с уязвимостью Spectre второго типа. Напомню, старый ^[9] приводил к падению системы, да и новый вроде как предлагается устанавливать только вручную.

В обновлении браузера Firefox введен ^[10] атрибут same-site, направленный на борьбу с CSRF-атаками.

Обнаружена и закрыта ^[11] уязвимость zero day в роутерах Microtik.

Disclaimer: Мнения, изложенные в этом дайджесте, могут не всегда совпадать с официальной позицией «Лаборатории Касперского». Дорогая редакция вообще рекомендует относиться к любым мнениям со здоровым скептицизмом.

Автор: Kaspersky_Lab

Источник ^[12]