[ad_1]
⭐
Умные колонки Amazon и Google позволяют вам дополнять их расширения своего рода, так же, как вы устанавливаете сторонние надстройки, чтобы сделать ваш опыт просмотра веб-страниц даже лучше. Вот кикер: Ас надстроек браузера, вы полностью зависите от разработчика. И если они используют свои силы во зло, вы можете передать все, что вы говорите своему устройству, какому-то случайному человеку.
По крайней мере, такой сценарий представили немецкие исследовательские лаборатории безопасности (SRLabs), которые построили несколько фиктивных Навыки и умения (Амазон) и Действия (Google), которые прошли проверку обеих компаний и действительно были внесены в список для загрузки на ваши устройства Echo или Google Home. Улов? В виде Арс Техника описывает:
«Вредоносные приложения имели разные названия и несколько разные способы работы, но все они следовали схожим принципам. Пользователь может произнести такую фразу, как: «Эй, Алекса, попроси My Lucky Horoscope дать мне гороскоп для Тельца» или «О’кей, Google, попроси My Lucky Horoscope дать мне гороскоп для Тельца». Подслушивающие приложения ответили запрошенной информацией, а фишинговые приложения выдали поддельное сообщение об ошибке. Затем приложения создавали впечатление, что они больше не работают, хотя на самом деле они молча ждали следующей фазы атаки.
На самом деле исследователи безопасности разработали два типа приложений — одно для подслушивания, другое для фишинга — оба работали одинаково. В первом случае приложение просто делало бы то, что вы ему сказали, но оно не прекращало бы запись вашего голоса; в последнем случае приложение делало вид, что выполняет задачу, немного ждало, а затем выдавало поддельное сообщение о том, что ваше устройство было обновлено, и вам нужно было ввести свой пароль для завершения обновления. И любой пароль, который вы затем предоставили, был перетасован на серверы разработчика.
И Amazon, и Google с тех пор удалили оскорбительные навыки/действия — после того, как SRLabs уведомила об их существовании — и работают над дополнительными «механизмами» и «смягчениями», чтобы гарантировать, что такого рода эксплойты не проникнут в другие навыки и действия. Вот фрагменты заявлений, которые они предоставили Ars Technica:
Амазонка:
«Для нас важно доверие клиентов, и мы проводим проверки безопасности в рамках процесса сертификации навыков. Мы быстро заблокировали рассматриваемый навык и внедрили меры по предотвращению и обнаружению такого типа поведения навыков, а также отклонили или удалили их при обнаружении».
Google:
«Все действия в Google должны соответствовать нашим правилам для разработчиков, и мы запрещаем и удаляем любые действия, нарушающие эти правила. У нас есть процессы проверки, чтобы определить тип поведения, описанный в этом отчете, и мы удалили Действия, которые мы обнаружили у этих исследователей. Мы внедряем дополнительные механизмы, чтобы предотвратить возникновение подобных проблем в будущем».
Будьте осторожны при загрузке навыков
Вот в чем дело. Люди всегда будут пытаться найти новые способы украсть ваши данные. Amazon и Google умны, но не безошибочны. Забегая вперед, вы должны относиться к навыкам умных динамиков так же, как к расширениям браузера, если не больше. Это означает, что вы не должны устанавливать навыки или действия, которые звучат красиво, но получены от стороннего источника или независимого разработчика, о котором вы никогда не слышали. И если вы совершенно не можете жить без специальной надстройки для своего устройства, по крайней мере, приложите все усилия: кто-нибудь еще пользовался этой надстройкой? Отзывы кажутся подлинными и не являются спамом? Является дополнением совершенно необходимо для вашей повседневной деятельности, или просто какая-то забавная причудливая вещь, которую вы используете несколько раз и забываете?
И когда вы установили надстройки для интеллектуальных динамиков, убедитесь, что вы проверяете свое устройство, чтобы убедиться, что оно остается включенным, и записываете, как только надстройка завершит то, что вы попросили ее сделать. Если это так, остановите его и удалите надстройку, потому что это не очень хорошая практика. Точно так же будьте осторожны, когда ваши устройства просят вас сделать что-то неожиданно, особенно если это произошло вскоре после того, как вы использовали определенный навык. Я не Шерлок, но это ужасно странное совпадение, если ваш умный динамик вдруг захочет, чтобы вы подтвердили свой пароль, особенно если он никогда не просил вас сделать это раньше, сразу после того, как вы используете совершенно новое дополнение, которое вы только что скачали. Может… не делай этого. (И удалить надстройку.)
Или не скачивайтевысокий
Я понимаю, что это звучит немного параноидально, но я бы просто пошел дальше и не использовал какие-либо из этих дополнительных навыков, действий, надстроек или как бы вы их ни называли со своим умным динамиком. Эти постоянно включенные устройства — или, по крайней мере, устройства, способные записывать то, что вы говорите, — открывают совершенно новые методы использования вашей конфиденциальности, и я по-прежнему убежден, что никакие надстройки, даже какой-нибудь веселый шуточный навык или удивительное действие гороскопа, стоит риска. Ваши умные колонки достаточно умны. Если вы полностью не доверяете тому, что добавляете к ним, вам не нужны дополнительные хлопоты (или беспокойство).
[ad_2]
