Para peneliti di perusahaan cyber security Checkmarx telah menemukan cara untuk mengubah Amazon Echo (Alexa-powered) menjadi alat penyadap.
Mereka tidak menggunakan kerentanan dalam perangkat Echo atau layanan Alexa, tetapi hanya menggunakan opsi yang tersedia di kit pengembangan perangkat lunak Alexa (SDK), biasanya tersedia untuk pengembang aplikasi Alexa.
Para peneliti menyalahgunakan fitur-fitur Alexa SDK seperti skills, intents, slots, reprompts, atau parameter end session. Semua ini adalah istilah teknis dan peneliti menjelaskan apa yang mereka maksud dan bagaimana mereka menggabungkannya dalam laporan dua halaman ini.
Aplikasi Alexa berbahaya tetap terbuka lebih dari yang dimaksudkan
Namun dalam penjelasan sederhana, tim Checkmarx mengatakan bahwa menggunakan Alexa SDK untuk membuat aplikasi kalkulator yang terus mendengarkan setelah memberikan jawaban kepada pengguna untuk pertanyaan awal.
Mereka menyalahgunakan parameter yang disebut “shouldEndSession,” yang mereka set ke false, yang berarti aplikasi kalkulator berbahaya akan mengharapkan pertanyaan kedua dari pengguna, tepat setelah membalas yang pertama, tetapi tanpa pengguna harus mengatakan “Alexa, buka kalkulator.”
Dengan desain, Alexa tetap terbuka dan merekam audio di sekitarnya, mengharapkan pertanyaan kedua. Ini berarti Alexa menyalin semua audio ke dalam kata-kata yang disimpan di dalam apa yang disebut slot, yang bisa dilihat oleh pengembang aplikasi di log aplikasi.
Pengembang juga menyalahgunakan parameter Alexa SDK yang disebut “reprompt,” yang biasanya digunakan oleh aplikasi untuk meminta pengguna mengulangi masukannya. Digabungkan dengan parameter “shouldEndSession” yang menyuruh Alexa untuk diam-diam mendengarkan pertanyaan kedua, ini memperpanjang interval perekaman dengan 8 detik lainnya menjadi total 16.
Video demo di bawah ini menunjukkan bagaimana peretasan akan dilakukan, dan seberapa sulit bagi pengguna untuk menemukannya.
Para peneliti mengatakan mereka mengungkapkan skenario eksploitasi ini kepada pengembang Amazon Alexa, yang akan memperbaiki masalah ini dan merilis langkah-langkah perlindungan.
Menurut peneliti, Amazon meluncurkan pembaruan Alexa yang mendeteksi reprompts kosong dan sesi yang lebih lama dari biasanya, dengan mengambil tindakan yang tepat.
Ini juga bukan celah keamanan pertama yang mempengaruhi perangkat Alexa. Kembali pada bulan September 2017, para peneliti mengungkapkan DolphinAttack, cara untuk mengambil alih speaker rumah pintar seperti Echo menggunakan ultrasound. Dan juga kerentanan BlueBorne yang mempengaruhi Alexa.
