Il est possible de pirater Siri, Alexa et Google Assistant avec des commandes inaudibles à l'oreille
Siri, Alexa ou encore l'Assistant de Google ont l'ouïe fine. Bien plus que la nôtre, et cela n'est pas sans poser des problèmes de sécurité : des chercheurs américains et chinois ont trouvé une astuce pour forcer ces assistants à agir à l'insu de leurs utilisateurs légitimes. Comment ? En susurrant dans ces oreilles numériques des commandes vocales qu'elles seules peuvent entendre : ouvre la porte, transfère des fonds, achète tel ou tel bidule… sans l'autorisation de l'utilisateur qui n'a de toute manière rien entendu.
Ces commandes sont insérées dans des enregistrements musicaux ou dans des podcasts. L'auditeur, si on peut dire, n'y entend que du feu, persuadé d'écouter sa liste de lecture ou son émission préférée. Alors qu'en fait, peut-être que cette voix inaudible est en train de commander des palettes de croquettes pour chats sur Amazon, ou pire encore.
Ces attaques audio s'appuient sur le fonctionnement inhérent à la reconnaissance vocale : chaque son est « traduit » en lettre, qui devient un mot puis une phrase et en bout de course, une commande vocale. En modifiant légèrement les fichiers audio, les chercheurs sont en mesure d'annuler le son que le système de reconnaissance vocale est censé entendre pour le remplacer par un son qui sera traduit différemment par la machine. Sans que ce soit détectable par l'oreille humaine…
Les attaques de ce genre peuvent même aller encore plus loin. Des chercheurs ont montré que ces assistants pouvaient être activés via des commandes passées à des fréquences inaudibles à l'oreille humaine. Mieux (ou pire encore), ces attaques baptisées DolphinAttack coupent d'abord le volume du smartphone, empêchant ainsi l'utilisateur d'écouter les réponses des assistants.
Il faut néanmoins que le brigand soit proche de la victime pour accomplir son forfait ; néanmoins l'attaque peut venir de plus loin en utilisant des systèmes ultrasoniques plus puissants, qui sont toutefois bloqués par les murs.
Il n'existe aucune preuve que ces techniques aient été utilisées par des malandrins, rassurent les chercheurs. Mais il ne s'agit peut-être que d'une question de temps avant qu'un petit malin exploite cette faiblesse. Les trois constructeurs assurent néanmoins faire le nécessaire pour empêcher ces attaques.
Amazon indique ainsi avoir pris des mesures pour sécuriser ses enceintes Echo ; Google a mis au point des fonctions qui permettent à son Assistant d'atténuer les commandes vocales indétectables. Ces deux entreprises précisent aussi qu'elles utilisent des technologies de reconnaissance vocale qui empêchent les appareils de répondre à des ordres sans qu'ils aient au préalable identifié la voix de l'utilisateur.
Apple explique de son côté que le HomePod a été conçu pour éviter que des commandes puissent ouvrir les portes. Par ailleurs, l'iPhone et l'iPad doivent être déverrouillés avant que Siri n'accède à des données sensibles ou n'ouvre une application ou un site web.
Ces sécurités peuvent toutefois être contournées très facilement. En avril dernier, une réclame pour Burger King lançait inopinément l'assistant de Google (le moteur de recherche a rapidement trouvé la parade).
Plus récemment, les fausses pubs « OK Moogle » diffusées durant les premiers épisodes de la nouvelle saison du Burger Quiz sont parvenues à activer les enceintes Home chez certains utilisateurs…
Stressant... Heureusement que le HomePod ne face rien de plus que m’allumer la lumière.
@alexis_fuchs
Et ce serait con que Siri, qui ne comprend rien, finisse par commander une palette de croquettes sur Amazon. ☠2️⃣?
@frankm
Déjà là le Siri du HomePod est vraiment décevant ?
@alexis_fuchs
«Stressant... Heureusement que le HomePod ne face rien de plus que m’allumer la lumière.»
On se rassure comme on peut.
Le probleme avec ces articles de vulgarisation ou meme les publications focalisées sur ce type de recherches, c'est qu'il n'est abordé qu'un type d'attaque directe sur une suface bien definie et restreinte.
Tout de suite on se dit, oups, Siri va ouvrir ma porte au vil voleur qui depuis la rue aura envoyé la commande inaudible a mon HomePod... Et la Apple rassure, non Siri peut pas faire ça...
Le HomePod peut pas ouvrir - encore - la porte de la maison. Ok.
Mais ce type d'attaque simpliste ne vient a l'idée que d'un script kiddy pas malin (et deja un script kiddy c'est pas une lumiere a la base)
Le veritable hacking va reposer sur une strategie qui prend en compte une chaine de failles et incluant beaucoup d'aspect sociaux.
Le premier fondement du hacker c'est de ne pas se faire prendre et donc de ne pas laisser de traces. Il va donc exploiter des methodes de masquage et d'effacement de ses action. La premiere de toute c'est la falsification d'identité. Et le HomePod est une autoroute, vu qu'il a acces aux informations que detient Apple sur la victime.
Donc ici le danger n'est pas que le HomePod ouvre la porte de la maison mais permette a l'attaquant de se faire passer pour le proprietaire du HomePod.
Ensuite le HomePod peut acceder a l'Internet... il est tres simple avec la faille presentée de faire acceder le HomePod a un site malefique, de programmer une notification qui va toucher les autres appareils a un moment precis via le calendrier: tres simple d'installer une URL dans un rappel d'un agenda... vu qu'il vient de l'agenda, l'utilisateur ne se mefie par et ouvre le lien avec son iPhone par exemple...
Et puis on peut imaginer des choses bien plus tordues encore, comme des activations de tracking publicitaires via des messages inaudibles dans un morceau de musique...
"Plus récemment, les fausses pubs « OK Moogle » diffusées durant les premiers épisodes de la nouvelle saison du Burger Quiz sont parvenues à activer les enceintes Home chez certains utilisateurs…"
Pourquoi "certains" ?
Absolument tout ceux qui ont un Google Home ou Home mini dans la même pièce que la télévision.
Moi ça m'a fait sursauter quand il s'est mis à répondre.
@macinoe
Ah oui ? ?
@MickaëlBazoge
Mon Google Home mini m’a sorti texto « yo wesh, ça va ? » véridique !
@macinoe
Chez moi aussi Ok Moogle a fonctionné
Et puis bientôt on nous apprendra que parmi la foultitude de bidules connectés qu'on a chez nous, certains, d'une façon détournée, sont capables grace à un de leurs composants d'émettre une fréquence permettant le piratage des-dits assistants, le tout à n'importe quelle distance du coup puisque du coup ça passe par du réseau mal sécurisé.
@ Digital-Monkee
L'ecrasante majorité des bidules connectés qu'on nomme IoT, sont des nids de failles majeures. Quasi la totalité des cameras connectées peuvent etre facilement controlables depuis l'internet par un pirate..
Ces dernieres annees on a vu les revelations de failles majeures dans le routeurs faire l'actualité des media grand public et dans le domaine de la securité c'est une actualité quotidienne, avec des bases de données repertoriant les modeles, versions et les exploitations des failles ainsi que des outils de recherche aussi efficace que Google pour trouver un appareil avec une faille dans une zone definie...
Plus il y a d'appareils IoT dans une maison, plus il y a de "wearable", plus il y a de possibilités de surveillance, espionnage, attaques difficilement identifiable meme par un specialiste... alors pour kevin et son HomePod, faut pas se voiler les yeux et comprendre le risque majeur de ces gadget.
Un PC c'est piratable, c'est un fait, mais il y a une culture de securite qui existe meme si elle est tres partielle.
Un smartphone embarque toutes les informations personnelles et fonctionne en permanence.
Un IoT c'est un objet qui en sait beaucoup et qui ressemble a un truc bien connu et inoffensif comme un haut parleur, un thermostat, une camera pour surveiller le bébé, la nounou, ou la porte d’entrée...
on y prend pas garde, on s'en mefie pas comme on se mefie d'un PC... et pourtant ces gadgets futiles et dérisoire sont bien plus dangereux que les PC.
@C1rc3@0rc
"L'ecrasante majorité des bidules connectés qu'on nomme IoT, sont des nids de failles majeures. Quasi la totalité des cameras connectées peuvent etre facilement controlables depuis l'internet par un pirate..
Ces dernieres annees on a vu les revelations de failles majeures dans le routeurs faire l'actualité des media grand public et dans le domaine de la securité c'est une actualité quotidienne, avec des bases de données repertoriant les modeles, versions et les exploitations des failles ainsi que des outils de recherche aussi efficace que Google pour trouver un appareil avec une faille dans une zone definie...
Plus il y a d'appareils IoT dans une maison, plus il y a de "wearable", plus il y a de possibilités de surveillance, espionnage, attaques difficilement identifiable meme par un specialiste... alors pour kevin et son HomePod, faut pas se voiler les yeux et comprendre le risque majeur de ces gadget.
Un PC c'est piratable, c'est un fait, mais il y a une culture de securite qui existe meme si elle est tres partielle.
Un smartphone embarque toutes les informations personnelles et fonctionne en permanence.
Un IoT c'est un objet qui en sait beaucoup et qui ressemble a un truc bien connu et inoffensif comme un haut parleur, un thermostat, une camera pour surveiller le bébé, la nounou, ou la porte d’entrée...
on y prend pas garde, on s'en mefie pas comme on se mefie d'un PC... et pourtant ces gadgets futiles et dérisoire sont bien plus dangereux que les PC."
Oui c'est exactement ce que j'ai voulu dire par mes simples "foultitudes d'objets connectés" et du "réseau peu sécurisé".
On lit tous les mêmes actus.
@C1rc3@0rc
"Un IoT c'est un objet qui en sait beaucoup et qui ressemble a un truc bien connu et inoffensif comme un haut parleur, un thermostat, une camera pour surveiller le bébé, la nounou, ou la porte d’entrée...
on y prend pas garde, on s'en mefie pas comme on se mefie d'un PC... et pourtant ces gadgets futiles et dérisoire sont bien plus dangereux que les PC."
Oui, et la multiplication des objets connectés, souvent pour une raison futile ou dot la connection n'est même pas exploitée (je pense à certains systèmes de santé ou médicaux, aux jouets...) est à ce titre très inquiétant.
J'imagine qu'il faut attendre le drame pour qu'on commence à entendre les spécialistes de ces choses qui ne cessent ne nous alerter.
Quoique... Je vois tous les jours que les derniers ransomwares dont au moins un a été catastrophique n'ont pas changé en profondeur les habitudes.
Commander ? Acheter ? Et comment font-ils au moment de payer ou de virer l’argent ? C’est bidon.
@Malum
Tu fais un virement chaque fois que t'achètes un truc chez Amazon ?
Euh ou veut dire en français ou, un choix entre deux situations, dans l’article il est écrit que l’on pourrait commander ou faire un virement, or ces fonctions nécessitent une authentification qui ne se fait pas à la voix. C’est donc impossible.
@Malum
"C’est donc impossible."
Mais oui...
Tous ces objets connectés, Apple ou pas, mais même Apple (...) sont des sources de danger et de vulnérabilité.
Leur multiplication, et pire, leur collaboration et potentialise leur vulnérabilité, permet la création de scénarios complexes par les hackers, comme le décrit Circéee.
Rajoute un discours complètement banalisant comme le tien, qui nie le danger, je me demande quand arrivera la catastrophe (qu'elle survienne ne fat aucun doute).
L'année dernière, le système de soin anglais a été paralysé 48h00 (et le notre assez impacté) par un ramsoware et une vieille faille windows.
C'est quoi, la suite ?
Quel rapport avec le ransonware ? Pour ce qui est de commander à la voix par téléphone c’est parfaitement stupide d’utiliser un truc si complexe, on ne peut le faire que si on a les éléments (CB etc.). Je pensais à la voix remplaçant la frappe clavier. Je ne vois pas comment cocher la case qui valide les conditions de vente. Quant au en un clic, on peut passer la commande si on a le mot de passe du téléphone et qu’on l’utilise en direct.
Ceci dit je ne vois rien de banalisant c’est une négation ce qui est totalement différent. Mais il semble que je m’en sois trompé et qu’Alexa le permette (cf ci-dessous).
@Malum
«Commander ? Acheter ? Et comment font-ils au moment de payer ou de virer l’argent ? C’est bidon.»
Achat "one-click", CB enregistré dans les x sites de commerce, AppleStore, Google Play, abonnement,...
Tu veux commander un truc par telephone, juste en parlant a un operateur... suffit que tu donnes ton adresse et ton numero de CB... toutes des informations auxquelles le HomePod peut potentiellement fournir un acces...
Tu as vu passer la news de la mise en place d'un service pour eviter le vol de colis livrés? Aux USA le livreur Amazon te deposes le coli sur le pas de ta porte, frappe a la porte et se depeche de partir. Meme si tu es rapide le temps d'arriver a la porte et de l'ouvrir il est deja parti... tres facile de faire livrer un truc quand tu n'es pas chez toi et de venir recuperer le coli deposé...
@Malum
Quand j’ai amené une enceinte au bureau avec Alexa dedans, l’un de mes collègues lui a demandé d’acheter un truc sur Amazon.
C’était sa voix et pas la mienne et le truc est fait pour ne pas nécessiter 50 étapes, sinon autant prendre son téléphone.
Résultat, commande passée en deux coups de cuillère à pot… que je suis allé annuler aussitôt. Et dans l’app Alexa j’ai désactivé l’option pour passer des commandes à la voix…
Donc on peut commander chez Amazon à la voix, sans validation du paiement, je parle de validation authentifiée et physique ?
Je l’ignorais totalement. Je n’ai jamais acheté sur quelque site que ce soit sans une validation finale. Et donc comment cela se passe pour cocher la case qui dit qu’on accepte les conditions de vente ?
Et Siri peut le faire aussi ou cela est interdit par Apple ou plutôt non possible ?
Il faut que dans ton compte AMAZON le 1-click soit activé et une carte de paiement définie. Après l’enceinte de demander juste si tu veux acheter le truc qu’elle te dit avoir trouvé. Dans les réglages de l’app Alexa tu peux désactiver ce type d’action. Je viens aussi de voir que tu peux affecter un code oral de confirmation avant l’achat mais la première fois je ne l’avais pas renseigné. Du coup Christophe a validé la commande à ma place.
C’est très intéressant surtout que je croyais que Siri Reconnaissez la voix de son maître. Par contre c’est très intéressant comment est-ce que cela peut agir sur l’humain comme par exemple donner des ordres à des terroristes à distance…
@IRONMAN65
Moais, il y a beaucoup de choses que l'on croit et le marketing d'Apple renforce cette ignorance et confusion.
«Par contre c’est très intéressant comment est-ce que cela peut agir sur l’humain comme par exemple donner des ordres à des terroristes à distance…»
Ah pour cela pas besoin de techniques compliquées de piratage infrasonore de Siri... une simple évocation d'un anniversaire ou d'une date coranique sur Twitter ou Facebook permet de déclencher une attaque...
Les techniques d'information et pilotage des agents dormant ont été sous-développé pendant la guerre froide, alors qu'il n'y avait quasi pas d'acces aux de moyens telecom...
Et on peut remonter encore plus dans l'histoire et etudier l'epoque (contemporains de la Revolution )ou les pseudo mouvement anarchistes commettaient des attentats menés par des groupuscules et individus n'etant jamais en contacts avec les commanditaires... Aujourd'hui en Europe les pseudo-anarchistes ont ete remplacé par les terroristes islamiste et aux USA par les ultranationalistes d'extreme droite, mais leurs methodes sont les memes que celles des pseudo anarchiste du 18eme siecle... et tout aussi efficace.
Ça sent la fake news façon new york time
@spece92
Non... Malheureusement.. Et les recherches sur ce sujet datent de qques mois... Par ex
https://motherboard.vice.com/fr/article/ev5jze/une-attaque-spectaculaire-contre-les-systemes-de-reconnaissance-automatique-de-la-parole
@dorninem
Ok ?
@spece92
La demonstration de ce risque n'est pas nouvelle et les techniques demontrées ici sont developpées a partir de techniques plus anciennes publiées depuis plusieurs annees...
La communication de données utilisant des systemes inaudibles est une large surface de recherche.
Faudrait que je retrouve l'article dont d'ailleurs MacG avait fait un news, mais des chercheurs avait reussi a demontrer l'usage des hauts parleur du PC portable pour faire sortir des donnees confidencielle d'un PC qui n'etait pas connecté a l'Internet.
Certes la distance pour acceder a ces données etait restreinte et l'installation du malware demandait un acces initial physique a la machine, mais rien de dissuasif pour des missions d'espionnage industriel...
Toute ces menaces sont bien reelles et touchent n'importe quel utilisateur, qu'il soit la cible ou un maillon dans une chaine d'attaque...
@spece92
Bin voyons!
Je confirme que mon home mini s’est activé pendant les fausses pubs burger quizz .
Ça fait drôle ?
Sans jugement à l'encontre des utilisateurs d'assistants vocaux et enceintes connectées, j'ai beaucoup de mal à comprendre à quel besoin cela répond. Lorsqu'on ajoute à cela les risques présentés ici... je suis pas près de craquer.
C'est donc prendre beaucoup de risques pour ce qu'offre un assistant en échange...
Donc il est urgent d'attendre. Et un smartphone est bien suffisant pour commander le son dans une maison...
Just for fun. Quand Google converse comme Jul :
https://youtu.be/Ve-noQe5hKE