第三方Alexa智能设备用户的隐私风险

新德里:在另一个隐私的挫折,一组研究人员获得和分析90194”亚莉克莎技能”由外部供应商在7个国家发现重大缺陷的安全使用亚马逊Alexa-enabled第三方智能设备。

他们发现的安全漏洞之一Alexa技能可以由第三方供应商改变之后,将用户数据泄漏风险。

除了这些安全风险,该研究小组还发现了显著缺乏总体数据保护声明由第三方提供商Alexa的技能。

例如,只有24.2%的技能有一个所谓的隐私政策,和更少的特别敏感领域的“孩子”和“健康和健身”。

“此外,我们能够证明技能可以发表在一个假身份。著名的汽车公司,例如,提供语音指令的智能系统。用户下载这些相信公司本身提供了这些技能。但这并非总是如此,”马丁解释Degeling Ruhr-Universitat波鸿(摩擦)在德国。

亚马逊已确认的一些问题研究小组,说这是工作的对策。

尽管亚马逊检查所有技能提供了认证过程,这种所谓的技能蹲,采用现有的供应商名称和功能——通常是不明显的。

语音指令“Alexa技能”,用户可以负载大量额外的功能到他们的亚马逊语音助理。

然而,这些技能可以经常有安全漏洞和数据保护供应商。

在他们的研究中,研究人员从霍斯特Gortz摩擦IT安全研究所和美国北卡州立大学研究初次Alexa技能的生态系统。

这些声音命令开发不仅由科技巨头亚马逊本身也由外部提供者。

用户可以存储由亚马逊直接下载它们,在某些情况下,他们也由亚马逊自动激活。

研究人员获得和分析来自七个国家的商店平台90194技能。

“第一个问题是,亚马逊自2017年以来部分自动激活的技能。在此之前,用户必须同意每个技能的使用。现在他们几乎没有的概述答案Alexa给他们从哪里来,编程,首先,“Degeling说。

不幸的是,它通常是不清楚哪些技能被激活在什么时候。

“例如,如果你问Alexa恭维,你可以得到一个响应从31日不同的提供者,但它不清楚哪一个是自动选择的,”研究人员说。

数据技术实现所需的命令可以无意中转发给外部供应商,研究人员警告说。

“在一个实验中,我们能够发布技能在一个大公司的名字,”研究人员说。

根据克里斯托弗Lentzsch擦椅子的信息和技术管理,攻击者可能会让他们的声音命令一段时间后要求用户的信用卡数据。

“亚马逊的测试通常捕获这样的提示,不允许他们改变计划的技巧之后可以绕过这种控制。通过信任滥用提供者名称和亚马逊,许多用户可以被这个技巧,”他说。

团队展示了自己的作品在“网络和分布式系统安全座谈会(nds)“虚拟会议上周。