Sicherheitskontrollen der smarten Lautsprecher konnten über einfache Apps überlistet werden.
Kurz nachdem eine
Mega-Lücke bei Amazsons Echo-Lautsprechern
aufgedeckt wurde, gibt es schon die nächste Hiobsbotschaft für Nutzer von smarten Lautsprechern: Berliner Sicherheitsforscher haben nach einem Medienbericht Sicherheitslücken in dem Freigabeprozess von Apps für smarte Lautsprecher von Amazon und Google aufgedeckt. Sie konnten über die offiziellen App-Stores für Amazon Echo und Google Home Apps verbreiten, mit denen sich Nutzer eines Amazon Echo oder Google Home (werden mittlerweile unter der S
mart-Home-Marke Nest
verkauft) unbemerkt abhören ließen.
Amazon Echo und Google Home geknackt
Wie der "Spiegel" berichtet, ist es den Forschern der Berliner Security Research Labs (SRLabs) es gelungen, die Sicherheitskontrollen von Amazon und Google zu überlisten, hieß es in dem Bericht. Sie hatten zunächst harmlose Varianten der Apps, die bei Amazon "Skills" heißen und bei Google "Actions" oder "Aktionen", bei den Unternehmen eingereicht und freischalten lassen.
Apps täuschten vor, inaktiv zu sein
Die Apps konnten Nutzeranfragen zum Beispiel nach einem Horoskop beantworten und täuschten anschließend ihre Inaktivität vor. Nach der ersten Sicherheitskontrolle wurden die Apps allerdings so verändert, dass sie nach einer "Goodbye"-Meldung weiterhin lauschten. Eine erneute Überprüfung der manipulierten App habe nicht stattgefunden.
Kein Schaden, aber gravierende Lücke
In der Praxis richteten die Apps quasi keinen Schaden an, weil sie zunächst einmal unter den Tausenden von Skills und Aktionen gefunden und installiert werden mussten. Außerdem zeigen die leuchtenden Farbsignale an den Geräten an, dass sie die Sprache aufzeichnen. Das Experiment der Forscher legte allerdings gravierende Schwachstellen bei der Freigabe von App-Aktualisierungen bei Amazon und Google offen.
Amazon und Google haben bereits nachgebessert
Die SRLabs-Forscher informierten die Unternehmen über ihre Versuche, die daraufhin reagierten. "Wir haben Schutzmaßnahmen ergriffen, um diese Art von Skill-Verhalten zu erkennen und zu verhindern. Skills werden abgelehnt oder entfernt, sobald ein solches Verhalten identifiziert wird", teilte Amazon dem "Spiegel" mit. Eine Google-Sprecherin schrieb auf Anfrage: "Wir untersagen und entfernen jede Action, die gegen unsere Richtlinien verstößt." Die von den Forschern entwickelten Actions habe Google gelöscht. "Wir setzen zusätzliche Mechanismen ein, um derartiges in Zukunft zu unterbinden."
>>>Nachlesen: So schützen sich Alexa-Nutzer gegen Mithören
