UTSA研究人员利用智能设备麦克风和语音助手的漏洞
UTSA 电气与计算机工程系副教授 Guenevere Chen 最近发表了一篇关于 USENIX Security 2023 的论文，展示了一种利用智能设备麦克风和语音漏洞的新型无声语音木马攻击助手——如 Siri、Google Assistant、Alexa 或亚马逊的 Echo 和 Microsoft Cortana——并为用户提供防御机制。
研究人员开发了 Near-Ultrasound Inaudible Trojan，即 NUIT(法语，“夜间”的意思)，以研究黑客如何通过互联网远程悄无声息地利用扬声器和攻击语音助手。
Chen 和她的博士生 Qi Xia以及 科罗拉多大学科罗拉多斯普林斯分校 (UCCS) 计算机科学教授 Shouhuai Xu 使用 NUIT 攻击从智能手机到智能家居设备的不同类型的智能设备。他们的演示结果表明，NUIT 可以有效地恶意控制流行科技产品的语音界面，而且这些科技产品尽管已上市，但仍存在漏洞。
“这个项目在技术上很有趣的一点是防御方案很简单;但是，为了得到解决方案，我们必须首先发现攻击是什么，”徐说。
Chen 解释说，黑客用来访问设备的最流行的方法是社会工程。攻击者引诱个人安装恶意应用程序、访问恶意网站或收听恶意音频。
例如，一旦个人的智能设备在笔记本电脑或移动设备上观看嵌入了 NUIT 音频或视频攻击的恶意 YouTube 视频，他们就会变得容易受到攻击。信号可以悄悄地攻击同一设备上的麦克风，或者通过笔记本电脑、车载音响系统和智能家居设备等其他设备的扬声器渗透到麦克风。
“如果你在智能电视上播放 YouTube，那台智能电视有扬声器，对吧?NUIT 恶意命令的声音将变得听不见，它也可以攻击您的手机并与您的 Google Assistant 或 Alexa 设备通信。它甚至可以在会议期间在 Zooms 中发生。如果有人取消静音，他们可以嵌入攻击信号来破解会议期间放在电脑旁边的手机，”Chen 解释道。
一旦他们未经授权访问了设备，黑客就可以发送听不见的操作命令来降低设备的音量并防止语音助手的响应被用户听到，然后再继续进行进一步的攻击。Chen 指出，扬声器必须高于一定的噪音水平才能成功进行攻击，而要成功攻击语音助手设备，恶意命令的长度必须低于 77 毫秒(或 0.77 秒)。
“这不仅仅是软件问题或恶意软件。这是一种使用互联网的硬件攻击。这个漏洞是麦克风设计的非线性，制造商需要解决这个问题，”Chen 说。“在我们测试的 17 款智能设备中，Apple Siri 设备需要窃取用户的声音，而其他语音助手设备可以通过使用任何语音或机器人语音来激活。”
由于 iPhone 的响应音量和媒体的音量是分开控制的，NUIT 可以使 Siri 的响应静音以实现不被察觉的攻击。发现这些漏洞后，Chen 和团队正在为消费者提供潜在的防线。UTSA 研究员说，意识是最好的防御。陈建议用户验证他们的语音助手，并在点击链接和授予麦克风权限时谨慎行事。
她还建议使用耳机代替扬声器。
“如果你不使用扬声器广播声音，你就不太可能受到 NUIT 的攻击。使用耳机会设置一个限制，即耳机发出的声音太低而无法传输到麦克风。如果麦克风无法接收到听不见的恶意指令，底层语音助手就无法被 NUIT 恶意激活，”Chen 解释道。
NUIT 开发的研究部分由能源部国家核安全管理局 (NNSA) 少数族裔服务机构合作计划 (MSIPP) 资助。这笔 500 万美元的赠款支持国家关键基础设施安全联盟 (CONCISE) 的研究，并允许创建与利用人工智能 (AI) 和区块链技术增强关键基础设施网络安全态势相关的认证。
UTSA 是全国公认的网络安全领导者。它是全国为数不多的学院或大学之一，也是唯一一所西班牙裔服务机构，拥有美国国土安全部和国家安全局授予的三个国家学术卓越中心称号。
此外，该大学还有五个网络安全研究中心和研究所——网络安全制造创新研究所、国家安全协作中心、网络安全研究所、基础设施保障和安全中心以及网络安全和分析中心。
UCCS 拥有独特的综合校园网络安全模型，被认为是科罗拉多大学系统的网络安全教育中心。该大学已准备好满足我们国家的网络安全需求，从教育和研究合作伙伴关系到培养未来的网络安全劳动力。
版权声明：本文由用户上传，如有侵权请联系删除！