عدم أمان مساعدات الصوت الرقمية المنزلية - الثغرات والهجمات والتدابير المضادة

تزايدت شعبية مساعدات الصوت الرقمية المنزلية (HDVAs) في السنوات الأخيرة. يمكن للمستخدمين التحكم في الأجهزة الذكية والحصول على المساعدة اليومية من خلال تلك المساعدات (مثل: أمازون أليكسا، جوجل هوم) باستخدام الصوت. في هذا العمل، ندرس عدم أمان خدمات HDVA باستخدام أمازون أليكسا وجوجل هوم كدراستين حالة. نكشف عن ثلاث ثغرات أمنية تنجم عن التحكم غير الآمن في الوصول. ثم نستغل هذه الثغرات لتطوير هجمتين إثباتيتين، سرقة المنازل وطلب وهمي، حيث يمكن للخصم توجيه جهاز HDVA الخاص بالضحية عن بُعد لفتح الباب أو تقديم طلب من Amazon.com أو Google Express. يتمثل التحكم غير الآمن في الوصول في أن أجهزة HDVA لا تعتمد فقط على مصادقة ذات عامل واحد، بل أيضاً تقبل الأوامر الصوتية حتى في غياب الأشخاص من حولها. وبالتالي، نجادل بأنه يجب أن تكون لمساعدات الصوت الرقمية المنزلية عامل مصادقة آخر، وهو التحكم في الوصول القائم على وجود شخص؛ بمعنى آخر، يمكنها قبول الأوامر الصوتية فقط عند اكتشاف أي شخص قريب. ولهذا الغرض، نطور زر أمان افتراضي (VSButton)، الذي يستفيد من تقنية WiFi لاكتشاف حركات البشر داخل المنزل. بمجرد اكتشاف أي حركة داخلية، يتم تفعيل جهاز HDVA لقبول الأوامر الصوتية. تظهر نتائج تقييمنا أنه يمكنه بشكل فعال التمييز بين الحركات الداخلية وحالات عدم الحركة والحركات الخارجية في كل من البيئات المعملية والواقع الحقيقي.