CSS2018騰訊安全探索論壇技術(shù)獎議題巡禮：揭秘亞馬遜Echo的破解之道

近期有消息稱，美國圣路易大學(xué)宣布將在學(xué)生宿舍放置2300個Echo Dot智能音箱，其內(nèi)置的語音助理Alexa，能隨時隨地解答同學(xué)有關(guān)校園生活的問題，此消息一經(jīng)報道便有評論發(fā)出了“智能音箱可能會獲取個人隱私”的擔(dān)憂之聲。

為何公眾對智能音箱總是心懷戒備?因?yàn)樗陂_機(jī)聯(lián)網(wǎng)狀態(tài)下麥克風(fēng)時刻工作，如果被黑，用戶的隱私將會被竊聽的一清二楚。不過值得欣慰的是，智能音箱的安全性問題已經(jīng)引起了許多信息安全專家的重視。

在近日舉辦的第四屆互聯(lián)網(wǎng)安全領(lǐng)袖峰會(CSS2018)騰訊安全探索論壇(TSec)上，來自Tencent Blade Team的高級安全研究員伍惠宇就智能音箱安全問題展示了團(tuán)隊最新的研究成果，引發(fā)場內(nèi)外熱議。同時，其研究成果通過了TSec百人大師品鑒團(tuán)的評審，獲得了技術(shù)獎。

求教華強(qiáng)北“老司機(jī)”焊接經(jīng)驗(yàn) 完成攻擊環(huán)境搭建

在TSec論壇現(xiàn)場，Tencent Blade Team的高級安全研究員伍惠宇在簡要回顧了智能音箱發(fā)展及安全性問題之后，詳細(xì)展示了其團(tuán)隊如何從攻擊者角度完成對亞馬遜智能音箱Echo的漏洞挖掘和遠(yuǎn)程攻擊。

擺在Tencent Blade Team前面的核心問題是構(gòu)造攻擊環(huán)境，但是亞馬遜官方并沒有在任何渠道公開固件信息，這意味著常用的方式不再奏效。

幾番思索之下，伍惠宇選擇從硬件入手，購買市售的Echo，進(jìn)行拆解。但當(dāng)存儲固件的 EMCP芯片從主板上取下來后，讀取它又成了一道難題。為了穩(wěn)定高效的讀寫，團(tuán)隊需要重新給芯片植錫，僅植錫這個步驟就因操作人員經(jīng)驗(yàn)不足而報廢了數(shù)臺設(shè)備，之前所有的操作必須得重頭再來，后續(xù)的芯片封裝同樣遇到了難題。在多次試錯之后，團(tuán)隊最終成功導(dǎo)出數(shù)據(jù)，改寫了固件。而這僅僅是“萬里長征第一步”。

(拆解下來的WMCP芯片)

在提取固件之后，Tencent Blade Team團(tuán)隊成員開始搭建ROOT的測試環(huán)境。伍惠宇通過修改系統(tǒng)分區(qū)下的腳本實(shí)現(xiàn)ROOT。而這也迎來了此次破解對團(tuán)隊成員最大的考驗(yàn)——需要將芯片重新焊接回電路板。

同拆卸相比，將芯片重新安裝回去的難度更大。在13毫米×8毫米大小的芯片上，有多達(dá)221個焊接點(diǎn)，重新焊接必須保證所有的焊接點(diǎn)對齊，還要保證沒有虛焊，更不能有短路，否則功虧一簣，一切又得重來。在數(shù)次嘗試均告失敗之后，伍惠宇特地請教了深圳華強(qiáng)北手機(jī)維修城的“老司機(jī)”，在學(xué)習(xí)了他們的焊接經(jīng)驗(yàn)后，順利將芯片重新焊接回主板。

從固件的獲取過程來看，破解亞馬遜智能音箱，不僅需要高質(zhì)量的代碼，還要求掌握精湛的手工技能。在此之后，Tencent Blade Team發(fā)現(xiàn)在軟件層面亞馬遜智能音箱的安防已經(jīng)達(dá)到了相當(dāng)高強(qiáng)度，想利用漏洞完成攻擊還有很長路要走。

從何處攻擊？ WHAD數(shù)據(jù)同步程序成跳板

Tencent Blade Team安全研究人員在完成固件改寫后，以這一臺音箱為基礎(chǔ)進(jìn)行漏洞挖掘，他們發(fā)現(xiàn) WHAD程序存在漏洞，該程序可以在多臺音箱之間同步數(shù)據(jù)，使不同設(shè)備播放同一首歌，或者響應(yīng)同一個語音指令。

以此漏洞為跳板，Tencent Blade Team通過在局域網(wǎng)內(nèi)搭建相同IP的服務(wù)器，給用戶發(fā)送一個亞馬遜登錄鏈接，拿到用戶cookie，遠(yuǎn)程啟動含有漏洞的WHAD程序，將那臺已經(jīng)ROOT了的音響綁定到了特定用戶的賬戶之下。這個時候，音箱會從云端拉取局域網(wǎng)內(nèi)用戶綁定的所有其他Echo音箱的證書和私鑰信息，將證書和私鑰發(fā)送給攻擊者。

伍惠宇進(jìn)一步解釋到，攻擊者拿到這些數(shù)據(jù)之后會對局域網(wǎng)內(nèi)的所有音箱發(fā)動攻擊。攻擊代碼執(zhí)行完畢以后所有音箱會自動與攻擊者控制的遠(yuǎn)程服務(wù)器進(jìn)行通信，接收攻擊者的遠(yuǎn)程控制指令，并把竊聽到的錄音文件發(fā)送到遠(yuǎn)程服務(wù)器，成為攻擊者的遠(yuǎn)程竊聽器。至此，一次針對智能音箱的攻擊便已完成，曾經(jīng)“聰明伶俐”的智能音箱已經(jīng)變身為竊聽神器。

(受到攻擊的音箱被遠(yuǎn)程控制，靜默錄音)

伍惠宇表示，這種看似大費(fèi)周章的漏洞挖掘和攻擊形式暴露出來的隱患雖然對普通用戶來說威脅不大，但是對局域網(wǎng)內(nèi)連接了多臺設(shè)備的用戶來說卻十分危險，以文章開頭的圣路易大學(xué)為例，如果某一臺設(shè)備遭到攻擊，整個網(wǎng)絡(luò)內(nèi)的用戶信息都有泄露的危險。

雖然這僅僅是針對亞馬遜Echo的攻擊方式，但對于其他廠商來說十分具有警示意味。保障智能設(shè)備和用戶信息的安全不僅需要設(shè)備商加強(qiáng)投入，也需要與安全團(tuán)隊加強(qiáng)合作，及時發(fā)現(xiàn)并修復(fù)漏洞，消除安全隱患。同時，用戶在使用智能音箱時一定要及時升級系統(tǒng)。

據(jù)了解，伍惠宇所在團(tuán)隊Tencent Blade Team，由騰訊安全平臺部在2017年底成立，專注于AI、IoT設(shè)備、移動終端的安全研究。雖然組建不久，但已經(jīng)在國際舞臺上嶄露頭角。其團(tuán)隊不僅協(xié)助亞馬遜、Google及蘋果等國際廠商修復(fù)了70多個漏洞，還在今年8月初登上了DEFCON大會的演講臺。

生成海報

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請進(jìn)一步核實(shí)，并對任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個人認(rèn)為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實(shí)內(nèi)容時，應(yīng)及時向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。