Mantener la puerta cerrada en sus dispositivos de IoT: vulnerabilidades encontradas en Alexa de Amazon

-

 Un asistente virtual inteligente (IVA) o asistente personal inteligente (IPA) es un agente de software que puede realizar tareas o servicios para una persona en función de comandos o preguntas. Amazon Alexa, comúnmente conocida como "Alexa" es un asistente virtual basado en inteligencia artificial desarrollado por Amazon, capaz de interacción de voz, reproducción de música, configuración de alarmas y otras tareas, incluido el control de dispositivos inteligentes como parte de un sistema de automatización del hogar. Los usuarios pueden ampliar las capacidades de Alexa mediante la instalación de "habilidades", una funcionalidad adicional desarrollada por proveedores externos que pueden considerarse aplicaciones, como programas meteorológicos y funciones de audio.

Dado que los asistentes virtuales hoy en día sirven como puntos de entrada a los electrodomésticos y controladores de dispositivos de las personas, asegurar estos puntos se ha vuelto fundamental, siendo la máxima prioridad mantener la privacidad del usuario. Este fue nuestro "punto de entrada" y motivación central al realizar esta investigación.

Nuestros hallazgos muestran que ciertos subdominios de Amazon / Alexa eran vulnerables a la mala configuración de Cross-Origin Resource Sharing (CORS) y Cross Site Scripting. Con XSS pudimos obtener el token CSRF y realizar acciones en nombre de la víctima.

Estas vulnerabilidades habrían permitido a un atacante:

  • Instalar habilidades (aplicaciones) de forma silenciosa en la cuenta de Alexa de un usuario
  • Obtenga una lista de todas las habilidades instaladas en la cuenta de Alexa del usuario
  • Eliminar silenciosamente una habilidad instalada
  • Obtenga el historial de voz de la víctima con su Alexa
  • Obtener la información personal de la víctima

Editado por Aniceto Pérez y Madrid, Especialista en Ética de la Inteligencia Artificial y Editor de Actualidad Deep Learning (@forodeeplearn).

Los artículos publicados son incluidos por su estimada relevancia y no expresan necesariamente los puntos de vista del Editor este Blog.

Comentarios

Publicar un comentario

Popular

Es hora de que la IA se explique

-
https://www.hpe.com/us/en/insights/articles/it-s-time-for-ai-to-explain-itself-2108.html Los modelos de IA son cada vez más precisos, pero ni siquiera los científicos de datos que los crearon pueden explicar por qué, y eso es un problema. Los algoritmos basados en la IA forman parte de la vida cotidiana de casi todo el mundo. Todos nos hemos acostumbrado a que las máquinas nos sugieran una nueva serie para ver en Netflix, otra persona a la que seguir en Facebook o lo siguiente que tenemos que pedir en Amazon. También están impulsando decisiones mucho más importantes, como en qué acciones invertir, qué procedimientos médicos considerar o si se puede optar a una hipoteca. En algunos casos, un sistema de IA puede ofrecer mejores consejos que un asesor financiero, un médico o un banquero. Pero si acabas en el lado equivocado de un algoritmo, no hay ninguna persona a la que puedas abrochar para explicar por qué tu solicitud de préstamo fue rechazada o tu currículum descartado. Y con demasia...
Leer más

Ann Cavoukian explica por qué la vigilancia invasiva no debería ser la norma en los entornos urbanos modernos y sostenibles

-
https://www.codastory.com/authoritarian-tech/privacy-smart-cities/ De Ámsterdam a Dubai, las ciudades inteligentes prometen un futuro brillante y sostenible. Pensemos en los sistemas de GPS que ponen en verde las luces de las calles para las ambulancias que se acercan y en los sistemas de riego que controlan la calidad del suelo y el clima para conservar el agua. Sin embargo, la tecnología que hay detrás puede tener serias implicaciones para nuestra privacidad y derechos civiles. En 2016, San Diego desplegó farolas equipadas con cámaras de vigilancia para controlar el tráfico, pero la policía ha utilizado desde entonces sus imágenes durante las investigaciones. En la primavera de 2020, incluso se encendieron en las protestas de Black Lives Matter. El ayuntamiento está estudiando ahora una nueva normativa para regular su uso.  En 2017, la doctora Ann Cavoukian aceptó trabajar como asesora en un proyecto ahora abandonado, en el que la empresa hermana de Google, Sidewalk Labs, planeab...
Leer más

Gemelos digitales, cerebros virtuales y los peligros del lenguaje

-
https://ethicsblog.crb.uu.se/2022/01/18/digital-twins-virtual-brains-and-the-dangers-of-language/ Se ha empezado a introducir una nueva tecnología de simulación por ordenador, por ejemplo, en la industria manufacturera. La simulación por ordenador se llama gemelo digital, lo que me reta a dar vida al lector a lo que algo que suena tan imaginativo puede ser en realidad. La explicación más realista que puedo encontrar proviene del mundo de Harry Potter. ¿Recuerdan el mapa de Hogwarts, que no sólo muestra todas las habitaciones y pasillos, sino también los pasos en tiempo real de quienes se escabullen por la escuela? Un mapa similar puede crearse fácilmente en un entorno informático conectando el mapa en el ordenador con sensores en el suelo del edificio que representa el mapa. Inmediatamente se tiene un mapa digital interactivo del edificio que se actualiza automáticamente y muestra los movimientos de la gente en él. Imaginemos además que la simulación informática puede hacer cálculos qu...
Leer más