Wer seinen Arbeitsplatz oder sein Smartphone verlässt, tut gut daran, das Gerät zu sperren, sonst können unautorisierte Personen unter fremden Namen Botschaften verschicken, Waren bestellen oder wichtige Dateien löschen. Was aber, wenn dazu einfach ein Stimmbefehl ausreicht?
Meist geschieht das „Sperren“ von PCs und Smartphones heute automatisch. Wer längere Zeit nicht aktiv ist, der muss sich mit seinem Passwort neu anmelden. Sprachassistenten wie Siri, Cortana, Bixby und Alexa können diesen Schutz allerdings aushebeln. Denn die Sprachassistenten sind stets wach und warten auf Befehle, die sie dann zwecks Analyse in die Cloud senden.
Der Sprachassistent arbeitet per Default auch bei gesperrtem Bildschirm, sollte aber eigentlich nur harmlose Befehle entgegennehmen. Fragen wie „Cortana, wie spät ist es“, oder „welche Termine muss ich noch abarbeiten“. Das ist beabsichtigt. Wer mehr will, muss das System entsprerren. Aber die zugelassenen Features enthalten auch Fehler. Eine davon ist die „photo reminder“ Funktion. Eigentlich ist es ein Service, bei dem ein Foto geladen wird, um an den abgebildeten Gegenstand oder die abgebildete Person zu erinnern. Ein Bug ermöglicht es allerdings, nicht nur Fotos zu laden, sondern beliebige Dateien. Letztendlich kann ein fremder Nutzer so den kompletten Rechner übernehmen. Dies ergaben die Analysen von Prof. Eli Biham vom Technion Cyber Security Research Center in Israel. Seine Mitarbeiter Amichai Shulman und Yuval Ron trugen die Ergebnisse während der Konferenz „IT Defense 2020“ der Cyrosec AG vor. Microsoft informierten die Experten schon 2018 über die Sicherheitslücke, und erhielten inzwischen 50 000 Dollar aus dem Bug Bounty Programm von Microsoft.
„Cortana ist ein komplexer, fetter Client“, so Amichai Shulman, „mit zahlreichen Unterdiensten“. Eventuell übersahen die Microsoft Techniker aus diesem Grund einige Fehler. Weitere Sicherheitslücken fanden die Forscher im sprachgesteuerten Webbrowser. Er führt potenziell gefährliche nicht-SSL-Links ohne Warnung aus. So konnten die Forscher gefährliche Webseiten aufrufen und Schadcode installieren. Beide Schwachstellen fanden sich auch beim Konkurrenzprodukt Siri.
Als besonders problematisch werten es die Bug-Hunter, dass sich von einem Sprachassistent ein weiterer aufrufen lässt. So addieren sich die Schwachstellen. Shulman und Yuval Ron konnten über Cortana Alexa von Amazon starten, und vom übernommenen Endgerät eine fingierte Spende auf ein falsches Amazon-Charity Konto überweisen.
Shulman und Ron waren bereits 2018 daran beteiligt, eine zentrale Verwundbarkeit von Cortana aufzudecken. Damals war es möglich, den gesperrten Bildschirm zu umgehen und Befehle über die Tastatur einzugeben. Dazu war es lediglich nötig, Cortana aufzuwecken und die Leerzeichen-Taste gedrückt wurde. Die Schwachstelle fand Eingang in die NIST Liste der Cyber-Verwundbarkeiten (CVE-2018-8140) und wurde auch von McAfee gefunden. Mittlerweile ist sie behoben.
Inzwischen haben die Forscher 22 Schwachstellen bei Cortana, Siri, Alexa und Bixby gefunden. Die meisten sind nur provisorisch oder noch gar nicht behoben. Sehr oft schalteten die Hersteller die betroffenen Dienste nur auf den Cloud-Servern ab. Es gibt aber keine Garantie, dass wirklich stets alle Server auf demselben Stand sind. Die Verbreitung dauerte oft Wochen. Alternativ besteht die Möglichkeit, kritische Features der Sprachassistenten im Menü des eigenen Gerätes zu blockieren. Etliche der Teilnehmer der Bonner Konferenz wollten das noch vor Ort tun. Dies erwies sich allerdings als schwierig und zeitaufwändig, da zwischen den diversen Sprachassitenten, Geräten und Betriebssystemvarianten erhebliche Unterschiede bestehen.
Autor: Bernd Schöne
(c)2020
Vogel Communications Group
Bitte beachten Sie
Die Beiträge in der Rubrik "Trends und Innovationen" sind Inhalte unseres Medienpartners Vogel Communications Group GmbH & Co. KG. Sie spiegeln nicht unbedingt die Meinung von DATEV wider.
Vogel Communications Group
