Siri, Alexa et Google Home peuvent être piratés avec un laser
Siri, Alexa et Google Assistant sont vulnérables aux attaques qui utilisent des lasers pour injecter des commandes inaudibles et parfois invisibles dans les appareils.
Les chercheurs ont trouvé un nouveau moyen de pirater des appareils connectés en utilisant des lasers. Bien que cela semble inimaginable, de nombreux périphériques possèdent des microphones MEMS (systèmes micro-électro-mécaniques) qui peuvent être utilisés pour envoyer des commandes à des centaines de mètres, à condition que la vue soit dégagée.
Ces dernières années, des géants de la technologie tels qu’Amazon, Google, Apple et bien d’autres s’emploient à construire des appareils intelligents pouvant être contrôlés par la voix. Naturellement, de nombreuses personnes se sont interrogées sur les implications en matière de sécurité et de respect de la vie privée, et plus encore après l’annonce de la nouvelle selon laquelle Amazon et Apple ont fait appel à des milliers de travailleurs pour écouter des conversations d’assistants numériques. Dans le cas d’Amazon, les transcriptions des conversations sur Alexa peuvent demeurer sur ses serveurs longtemps après qu’un utilisateur a demandé leur suppression.
Des chercheurs de l’Université du Michigan et de l’Université d’électro-communication de Tokyo ont récemment découvert un nouveau type d’attaque qui prouve une fois encore que les appareils intelligents comportent des risques importants en matière de vie privée. Ils ont découvert qu’en pointant un puissant laser sur un appareil mobile ou un haut-parleur intelligent et en modifiant rapidement son intensité, leurs microphones sensibles MEMS (systèmes micro-électro-mécaniques) le détectaient comme s’il s’agissait d’un son.
Cet effet photoacoustique a essentiellement permis aux chercheurs de transmettre des « commandes lumineuses » à du matériel à commande vocale à une distance pouvant atteindre 110 mètres. Et comme les haut-parleurs intelligents sont conçus pour la commodité, le plus souvent, aucune mesure de sécurité supplémentaire n’est en place avant de pouvoir recevoir ces commandes. Cela signifie qu’un attaquant peut utiliser des assistants numériques pour effectuer des achats en ligne, déverrouiller des serrures, des portes de garage ou localiser une voiture connectée telle qu’une Tesla.
Les dispositifs utilisés dans les expériences incluent Google Home, la gamme Echo d’Amazon, le portail Facebook, l’iPhone XR, l’iPad de 6e génération, Google Pixel 2 et le Galaxy S9 de Samsung.
Il convient de noter qu’il existe certaines limitations, telles que la nécessité de cibler avec précision le microphone d’un périphérique et avoir une ligne de mire dégagée. Toutefois, les chercheurs ont noté que bien qu’une telle attaque ne soit pas facile à maîtriser, les pièces nécessaires pour y parvenir ne coûtent pas très cher et sont facilement disponibles sur Amazon. Et à en juger par les vidéos de démonstration ci-dessus, cette méthode d’attaque fonctionne étonnamment bien même lorsque le faisceau laser doit passer à travers une fenêtre.
La bonne nouvelle est que certaines protections dans nos appareils peuvent empêcher le fonctionnement des commandes légères, telles que le déverrouillage de l’appareil pour les commandes avancées et les mots de réveil comportant la signature vocale de l’utilisateur. Et même si les entreprises mettent tout en œuvre pour rendre les assistants vocaux plus utiles, les taux d’adoption ne sont pas si élevés.
Les chercheurs pensent que les fabricants peuvent améliorer considérablement la sécurité en utilisant plusieurs microphones et en les protégeant de la lumière. Dans tous les cas, il sera intéressant de voir comment les géants de la technologie réagiront aux conclusions.
