“你独自在家吗？”“是的”——揭示 Alexa Skills 中的安全与隐私漏洞
密码学与安全
2020-10-22 v1
摘要
诸如亚马逊 Alexa 之类的家用语音助手因通过称为 skills 的特殊应用提供的许多有趣语音激活服务而日益普及。这些 skills 虽有用途，但也引入了新的安全与隐私挑战。先前工作已验证 Alexa 易受多种语音攻击，但使用 skills 的安全与隐私风险尚未被充分研究。本工作中，我们研究一种涵盖三类严重隐私相关漏洞的敌手模型，即过度特权资源访问、隐藏代码操纵与隐藏内容操纵。通过利用这些漏洞，恶意 skills 不仅能绕过审核流程中的安全测试，还可暗中更改其原始功能以试图窃取用户个人信息。更糟糕的是，攻击可从虚拟网络延伸至物理世界。我们系统性地研究了从攻击的可行性与实现到对策设计的安全问题。我们还对 Alexa Skills 商店中的 33,744 个 skills 进行了全面调查研究。
引用
@article{arxiv.2010.10788,
title = {"Are you home alone?" "Yes" Disclosing Security and Privacy Vulnerabilities in Alexa Skills},
author = {Dan Su and Jiqiang Liu and Sencun Zhu and Xiaoyang Wang and Wei Wang},
journal= {arXiv preprint arXiv:2010.10788},
year = {2020}
}