大多數情況下，類似GoogleHome，亞馬遜的Echo和蘋果的HomePod等這樣擁有AI技術加持的智能音箱相對來說并沒有帶來什么危害。相反，人們通過這些智能音箱可以播放音樂和互聯網廣播，提醒日程安排或注意事項，購買外賣，查詢最新等天氣預報等等。但正如最近Alexa分享私人對話錄音那樣，智能音箱并不完美，以至于它們很容易受到各種外部攻擊。
隨著智能語音助手的廣泛應用，我們需要注意的是，語音助手跟其它所有等軟件一樣，都有可能被利用來做非法的事情。今天，小編來為大家分享過去一年來安全研究人員發現的一些攻擊方式。
值得一提的是，所有這些攻擊方式都無法進行遠程操作。對目標智能音箱的物理登錄至少是其中一項攻擊方式的先決條件，而多種攻擊方式要取決于本地WIFI或藍牙連接。語音攻擊通過惡意應用程序來實現，我們假定這些惡意應用程序已經通過了谷歌和亞馬遜的審核。（與手機惡意應用軟件一樣，惡意語音APP屬于應用商店的管理范疇）
語音攻擊
在5月初發表的一篇論文中，來自印第安納大學，中國科學院和弗吉尼亞大學的研究人員確定了兩種可用于操縱并分享用戶私人數據的APP。其中一種稱之為“voicesquatting”，另一種則是聲音偽裝。
首先，第一張攻擊方法稱之為“voicesquatting”。“Voicesquatting主要依賴觸發特定動作的語音命令之間的相似性。例如，攻擊者可以注冊一個觸發“獲得CapitalOne”這個詞的應用程序，該應用程序在語音上類似于“打開CapitalOne”，這是一個為語音助理開設CapitalOne家庭銀行應用程序的命令。這種類型的攻擊不會每次觸發，但比較適用于有口音的非母語英語人士，或適用于命令可能被誤解的嘈雜環境。同樣，攻擊者也可能注冊一個惡意應用程序，觸發“請打開CapitalOne”，或攻擊者向觸發器添加單詞的其他變體，即常用語言表達式中使用的單詞。”
其次，第二種技巧是“聲音偽裝”。“聲音偽裝攻擊的核心思想是在用戶不知情的情況下，延長正在運行的應用程序的交互時間。當用戶認為之前的（惡意）應用程序已停止工作時，應用程序仍在監聽傳入的命令。如果當用戶試圖與另一個（合法）應用程序進行交互，惡意程序就會用自己的偽造交互進行回復。研究人員認為，語音偽裝攻擊非常適合網絡釣魚。”
超音速命令
顯然，通過惡意程序或偽裝聲音并不是唯一的攻擊方式。利用人耳無法識別的亞音速同樣有效。
研究發現，目前至少有Alexa、Siri和谷歌智能助手這三個語音助手容易受到嵌入YouTube視頻、音樂甚至是白噪聲中的聲音影響。攻擊者可以使用這些信息強制語音助理撥打電話號碼，購物，登錄網站，訪問智能家居產品，拍照并發送消息等，而且整個過程都不需要接觸到附近的人。某些命令可以通過建筑物的窗戶從揚聲器傳輸到25英尺以外。某些命令甚至可以穿過建筑物或窗戶，傳達到25英尺遠的智能音箱。
研究人員通過實驗，“取消語音識別系統本來應該聽到的聲音，并將其替換為經過不停轉錄以至于人耳都無法識別等聲音。”，但是智能語音助手依然能夠識別。
蘋果，亞馬遜和谷歌都表示，他們采取了緩解超音速攻擊的安全措施，但拒絕透露針對哪種特定攻擊。
軟件攻擊
與任何具有互聯網連接的設備一樣，智能音箱也容易受到軟件漏洞攻擊。
2017年8月，MWRInfoSecurity的安全研究員MarkBarnes對AmazonEcho智能音箱進行了物理攻擊，可能使黑客獲得對rootshell（即管理命令行）底層操作系統的訪問權限。一旦有惡意軟件，就可以授予攻擊者擁有用戶的遠程訪問權限，從而獲取麥克風傳輸的實時數據。其它攻擊可能通過無線來進行。11月，Armis的安全研究人員報告稱，攻擊者可能會使用被稱為BlueBorne的八個藍牙漏洞來控制智能音箱。
相關的安全漏洞涉及應用程序編程接口（API），這是允許第三方應用程序訪問軟件功能的中間層。今年1月，Reddit上的一位開發人員開始通過攔截來自GoogleHome智能手機應用的請求來記錄API，其中一些可用于查看連接的Wi-Fi和藍牙網絡，檢索即將到來的鬧鐘，開啟和關閉夜間模式以及重命名設備等。惡意程序可能會使用不需要身份驗證的API在用戶不知情的情況下干擾Google主持人的設置。
如何保持智能音箱安全？
可以肯定地說，家庭智能音箱正在快速增長。亞馬遜和谷歌已經售出了數千萬個智能音箱，根據JuniperResearch報告，到2022年，55％的美國家庭將擁有智能音箱。這就是為什么保護智能音箱等安全比以往任何時候都重要。
現在還沒有萬無一失的防范措施，但是有兩點是我們可以做到的。首先，就像使用智能手機一樣，將智能音箱按時更新為最新的版本。其次，在安裝新應用程序之前，確保你安裝等應用程序不是惡意程序。
17621123178