Categories: Sicherheit

Deutsche Forscher entdecken Sicherheitslücken in Alexa- und Google-Home-Geräten

Der deutsche Sicherheitsanbieter Security Research Labs (SRLabs) warnt vor Schwachstellen in den digitalen Assistenten Amazon Alexa und Google Home. Sie erlauben es unter Umständen, Nutzer ohne deren Wissen abzuhören. Ein Missbrauch für Phishing-Angriffe ist ebenfalls möglich.

Es ist nicht das erste Mal, dass ähnliche Anfälligkeiten in den Sprachassistenten aufgedeckt wurden. Alexa traf es bereits im April, Mai und August 2018, Google Home im Mai 2018. Jedes Mal führten die Hersteller neue Sicherheitsvorkehrungen ein, die immer wieder umgangen wurden.

Die jüngste Enthüllung stammt von den Sicherheitsforschern Luise Frerichs und Fabian Bräunlein. Angreifbar ist demnach das Backend der Assistenten, das Entwicklern die Möglichkeit gibt, Sprachbefehle sowie die Antworten der Assistenten anzupassen.

Auslöser ist eine bestimmte Zeichenfolge (�. ), die sich an verschiedenen Stellen im Backend einer Alex- oder Google-Home-App einfügen lässt. Diese Zeichenfolge bringt die Assistenten dazu, über längere Zeiträume still zu sein und gleichzeitig aktiv zu bleiben.

Dieser Umstand würde es beispielsweise einer Horoskop-App erlauben, eine gefälschte Fehlermeldung auszugeben und trotzdem aktiv zu bleiben. Nach einer bestimmten Zeit könnte sie dann wiederum für ein angeblich verfügbares Update von Amazon beziehungsweise Google das Passwort des zugehörigen Kontos abfragen. Allerdings ist in dem Fall, zumindest bei Echo-Geräten, anhand der blauen Status-LED zu erkennen, dass die schädliche App durchgehend aktiv ist – falls ein Nutzer darauf achtet.

Zum Abhören eines Nutzers lässt sich die Zeichenfolge ebenfalls verwenden. Allerdings wird sie erst eingesetzt, nachdem eine schädliche App auf eine Spracheingabe des Opfers reagiert hat. Auch dann bleibt die App aktiv und zeichnet alle weiteren Gespräche auf, um sie an den Server des Angreifers zu übermitteln.

Die Angriffe, die Forscher auch in ihrem Youtube-Channel zeigen, wurden mit Apps ausgeführt, die die Forscher zuvor in den Marktplätzen von Amazon und Google veröffentlicht hatten. Sie machten sich dabei den Umstand zunutze, dass beide Anbieter zwar neu eingereichte Apps kontrollieren, nicht aber die später eingereichten Updates.

Gegenüber ZDNet USA erklärten die Forscher, sie hätten Amazon und Google schon vor Monaten über die Schwachstellen informiert – beide Firmen hätten sie jedoch bisher nicht beseitigt. Während Amazon nicht für eine Stellungnahme zur Verfügung stand, erklärte ein Google-Sprecher, die Anfälligkeiten seien beseitigt worden. Google prüfe und lösche zudem alle Aktionen von Apps, die gegen die Richtlinien verstießen. Zudem wies das Unternehmen darauf hin, dass der Home-Assistent niemals nach einem Konto-Passwort frage.

WEBINAR

Webinar-Aufzeichnung: HPE Server mit AMD EPYC 2 stellen 37 Rekorde auf

Das Webinar informiert Sie über die neuen auf AMD EPYC 2 basierenden HPE Server. Erfahren Sie mehr über die erheblichen Leistungs- und Kostenvorteile, die die neue Architektur in der Praxis bietet. Jetzt registrieren und Webinar-Aufzeichnung ansehen.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

OSB Alliance kritisiert Ausschreibung des Kultusministerium des Landes Baden-Württemberg

Die Open Source Business Alliance sieht in der Bestimmung "Die Grundverwaltung von Identitäten und Gruppen erfolgt über ein Azure Active…

15 Stunden ago

OnePlus 7T mit 128 GByte Speicher für 434 Euro

Gearbest verkauft das OnePlus 7T mit 128 GByte Speicher etwa 165 Euro günstiger als hierzulande. Auch beim Spitzenmodell OnePlus 7T…

16 Stunden ago

Xiaomi stellt Redmi K30 und Redmi K30 5G vor

Beide Smartphones sind jeweils mit einem 6,67 Zoll großen Display mit einer Wiederholfrequenz von 120 Hertz ausgestattet. Die beiden Selfiekameras…

17 Stunden ago

Miles & More: Kunden berichten über Datenleck [UPDATE]

Kunden berichten, dass sie nach der Anmeldung beim Vielfliegerprogramm der Lufthansa fremde Profile angezeigt bekommen. Manche beklagen außerdem den Verlust…

22 Stunden ago

HR-Trends 2020: So wappnen sich Unternehmen für remote arbeitende Teams

Wie Menschen künftig zusammenarbeiten, und welche Anforderungen das an Unternehmen und ihre IT stellt, erläutert Mark Strassmann, Senior Vice President…

1 Tag ago

Bericht: Chinas Behörden sollen auf ausländische Hard- und Software verzichten

Chinesischen Regierungsbehörden sollen einem Bericht der Financial Times zufolge, ausländische Hard- und Software innerhalb der nächsten drei Jahre mit heimischen…

2 Tagen ago