Siri 漏洞:Apple 個人助理會洩漏個人資料

 

iOS上的Siri讓日常工作變得更加容易;無論是詢問到最近加油站的路線或是保持與不斷成長社交媒體網路的聯繫。iOS使用者只要講出聯絡人姓名,手機就會將電話號碼和電子郵件地址帶出來。然而,便利是有代價的:個人資料。

iphone MOBILE 手機

如果我告訴你,只要30秒,就可以讓任何人從朋友開啟Siri功能的iOS設備上拿到你的姓名、電子郵件地址、電話號碼甚至是你的照片,不管手機有沒有上鎖呢?會擔心嗎?

iOS行動設備上的Siri可能被濫用的情境是會讓任何人使用語音辨識來取得設備上的資料,即便有設定密碼。在理想狀態下,密碼鎖定應該會防止任何對行動設備上所儲存資料的未經授權存取,就跟電腦上的密碼一樣。鎖定的設備不該洩漏所有者的身份和聯絡方式,以及所有者的朋友、家人和聯絡人。Siri可以繞過這些而在鎖定的行動設備上提供詳細資料及其他功能。

自從Siri出現之後,就已經有多個相關討論串出現在Apple支援論壇上。然而,我們想要強調安全性和隱私方面的風險,並讓我們的讀者能夠注意到。

 

Siri可以做什麼?

一旦任何人可以實際上拿到你的行動設備,就可以用語音辨識呼叫多種命令,包括可以存取名字、電話號碼、行事曆及其他更多功能。這裡是鎖定而有啟用Siri的iOS行動設備上可以使用的命令列表:

 

  • 「我的名字」 – 顯示並唸出手機上Siri所設定「我的資料」內的名字。
  • 「傳簡訊給某某某/號碼<訊息內容>」 – 用指定內容傳簡訊給指定的聯絡人或電話號碼
  • 「打電話給某某某/號碼」 – 打電話給指定的聯絡人或電話號碼
  • 「更新臉書狀態<訊息內容>」 – 更新手機上所設定Facebook帳號的動態訊息
  • 「我的位置在哪裡」 – 顯示地圖和唸出目前位置
  • 「<某姓>」 – 顯示所有該姓聯絡人的聯絡方式
  • 「顯示我的電子郵件地址」 – 顯示和唸出手機上Siri所設定「我的資料」內的電子郵件地址
  • 「在明天早上3點叫醒我」 – 設定指定時間的鬧鐘
  • 「取消早上3點的鬧鐘」 – 關閉指定時間的鬧鐘
  • 「建立<日期/時間>的事件/提醒/約會/預約」 – 建立行事曆
  • 「顯示<日期/時間>的行事曆」 – 顯示指定日期或時間內的行事曆
  • 「刪除<日期/時間>的事件/提醒/約會/預約」 – 刪除指定日期和時間的行事曆

 

下圖示範使用者如何利用Siri命令來取得資料和執行其他操作:

 

 

圖1-4、各種Siri命令

繼續閱讀

不要騙我,SIRI

作者:趨勢科技Ben April (資深威脅研究員)

Applidium的研究人員最近發表了一個有趣的報告,是關於Siri使用的通訊協定。每一次使用者對Siri發出指令,iPhone 4都會將這指令的語音壓縮後送回Apple的伺服器來轉換成文字。然後,對應成iPhone可以理解的命令再送回手機。

這個通訊協定以HTTPS為基礎,想要攔截或是欺騙它需要有一個有效的SSL憑證給 guzzoni.apple.com或是想辦法讓設備認為你的憑證是有效的。然後還必須劫持DNS,讓手機認為那個你所控制的IP位址就是guzzoni.apple.com。這篇Applidium的文章解釋的非常清楚,所以就讓我們來談談可以做些什麼。

我先從正面、有創造性的事情開始。理論上,如果你有一個有效的iPhone 4S ID,那應該可以很容易的將Siri移植到任何設備。只要這個設備可以錄音,而且又裝了可和網路連線的應用程式就行了。這包括了筆記型電腦、平板電腦、智慧型手機、甚至冰箱和洗衣機。

你甚至可以建立自己的Siri伺服器來和已啟動Siri的設備交談。就可以應用在日常生活上,像是執行「開燈」、「關車庫門」等指令。這也可以跟工作整合:想像一下,將這系統和你的例行工作結合,可以讓你的工作流程照你的語音命令來執行。任何可以寫成腳本的事情都可以用Siri來執行。

不幸的是,也有可能拿來做一些不那麼善良的事情。比方說,我們假設攻擊者已經成功地在設備內加入了自己的憑證,而且也用某種方法控制了DNS的回應,而這二者都是要攔截Siri通訊的必要條件。

最可能出現的就是中間人攻擊(man-in-the-middle),可以截獲所有Siri接收的指令和回應。單單這麼做可能沒有用,但是你發給Siri的指令可能會得到違背你原意的動作。很快的,我們就可以很輕易的變更該有的回應,像是改變股市行情,或是想要打給某個聯絡簿上的同事,卻被置換了指令。所以可以將通話先接到不同的號碼,再轉發給原本你想聯絡的對象,然後記錄談話內容。這需要先能了解受害人的地址簿,但是對一個真正想要攻擊的人來說還是能做到的。

Apple有許多方法可以解決這個問題。最完整的作法就是使用一個盤問與回應(Challenge-Response)認證系統。要求伺服器的 SSL金鑰要能對應給定的金鑰ID,或是比較可行的,使用帶有編號的金鑰。無論是哪種方式,如果真的出問題的時候,只有Apple有能力去解決它。

@原文出處:Siri, Don’t Lie To Me

 

◎ 歡迎加入趨勢科技社群網站