I giganti del Web cercano ogni giorno di rendere le nostre case più «intelligenti», o meglio, più dipendenti dalle loro piattaforme. Gli scaffali e i negozi online sono pieni di prodotti «Smart» che potrebbero causare una vera crisi di sicurezza se falliscono. È così che arriviamo a Destin del canale Smarter Every Day, che ha deciso di unire le forze con un ricercatore dell'Università del Michigan per introdurre comandi falsi nei principali assistenti digitali... usando un raggio laser.
Molto probabilmente hai già accesso a un assistente sul tuo dispositivo mobile. Un Amazon Echo Flex costa appena 20 euro, e se vuoi un Echo Dot, sono 10 euro in più. Con questo voglio dire che incorporare un sistema di assistenza digitale nelle nostre case non è così costoso. Naturalmente, il prezzo del sistema aumenta con le funzioni integrate, ma se il piano è ascoltare musica o rispondere a una chiamata... puoi già farlo.
Ora, che questi prodotti si presentino come opzioni «intelligenti» e abbassino i prezzi non significa che siano più sicuri. Anche se è vero che molte persone hanno migliorato notevolmente la loro qualità di vita grazie a loro, dobbiamo anche considerare qualsiasi vulnerabilità esistente. Questo è esattamente ciò che ha fatto Destin di Smarter Every Day. Ha cercato l'aiuto di Benjamin Cyr, uno dei ricercatori dietro al progetto Light Commands, e sono andati a comprare diversi dispositivi intelligenti con l'obiettivo di iniettare comandi falsi in essi, a tutto laser.
La vulnerabilità dei microfoni MEMS
Light Commands sfrutta una vulnerabilità nei microfoni MEMS (acronimo di Sistemi Micro-Elettro-Meccanici) che consente di inviare comandi completamente impercettibili e invisibili per l'utente ai principali assistenti digitali del mercato. L'accesso a questa vulnerabilità dipende da molteplici fattori, inclusi marca, modello e posizione del dispositivo, ma nei loro test iniziali sono riusciti ad attaccare dispositivi a una distanza di 70 metri.
Le prove di Destin e Benjamin
L'esperimento di Destin e Benjamin è stato condotto su scala molto più piccola, tuttavia ciò non lo rende meno interessante. Al contrario: il primo passo è stato «convincere» l'assistente di Google ad alzare il termostato di otto gradi, e poi abbassarlo di altri cinque. Nel secondo test hanno attaccato un Echo Dot (terza generazione) e gli hanno ordinato che la luce del corridoio diventasse verde, ma ha interpretato il comando falso come luce blu.
https://old.neoteo.com/el-laser-asesino-de-camaras/La serratura August
La terza fase li ha portati all'esterno. Destin ha installato una serratura intelligente della marca August, che presenta una seria vulnerabilità: non ha un limite di tentativi per il codice PIN. In altre parole, un attaccante potrebbe usare la forza bruta per aprire una porta. Richiederebbe molto tempo... ma funzionerebbe.
Sebbene sia facile difendersi da questo attacco (cerca di fare in modo che i microfoni non mantengano una linea visiva verso l'esterno), funge anche da avvertimento. Questi dispositivi «intelligenti» non sempre danno priorità alla sicurezza, e prima di sceglierne uno (cedendo parte del controllo delle nostre case) dobbiamo studiare molto bene questo aspetto. In caso contrario... «analogico e stupido» è sempre un'opzione.
(N.d.R.: Il produttore August ha confermato che un nuovo aggiornamento software ora limita il numero di tentativi a quattro.)
Sito ufficiale di Light Commands: Clicca qui
