
17 Settembre 2020
Può (o meglio: poteva) bastare un click sul link sbagliato per farsi hackerare il proprio account Alexa, stando ai ricercatori di sicurezza di Check Point. Tutto ciò che un malintenzionato doveva fare era indurre l'utente a seguire il link malevolo ad Amazon (quindi apparentemente legittimo), per esempio invitandolo a installare una nuova skill.
Senza più bisogno di altre interazioni, una serie di passaggi "invisibili" tra server online avrebbe consentito ai malintenzionati di ottenere alcuni dettagli cruciali, come codici token e identificativi univoci, che il proprio smart smeaker o smart display usano per comunicare con i server remoti.
Questi codici possono permettere agli hacker di ottenere accesso all'account dell'utente, e da qui combinare ogni sorta di danno - dall'installazione o rimozione di determinate skill al furto di informazioni personali sensibili (inclusa la cronologia di interazioni vocali tra l'utente e l'assistente virtuale). È interessante osservare che la vulnerabilità non risiede nei dispositivi, ma in alcuni sottodomini dei server Web di Alexa:
Le nostre indagini dimostrano che alcuni sottodomini Amazon/Alexa erano vulnerabili a configurazioni errate di CORS (Cross-Origin Resource Sharing) e a XSS (Cross-Site Scripting). Usando l'XSS siamo riusciti a condurre un attacco CSRF (Cross-Site Request Forgery) ed eseguire azioni per conto della vittima.
Amazon ha già corretto il problema, dopo che Check Point gliel'ha notificato intorno a giugno 2020. Non ci sono prove che qualche malintenzionato abbia attivamente sfruttato questa vulnerabilità.
Commenti
Come al solito inventi cose.... social? Che social. Il tizio aveva nome e cognome pubblico, diceva di essere un grande imprenditore nel settore X in paese X... google... nome cognome esce fuori azienda e tutto... quali indagini? Era lui stordito a non ricordarsi di aver diffuso i propri dati mica io a fare lo stalker. Se io ora ti dico il mio nome, cognome, cosa faccio, in quale paese e con una ricerca ti esce tutto sei uno stalker o sono io mongol0?
ma se proprio tu dicesti che facesti indagini per vedere chi era tra social e siti vari... a me un comportamento simile non mi sembra molto normale... poi boh, io preferisco le donne
No, tua invenzione anche questa. Attendo con ansia lo screen e link del commento. Grazie
ma ti mandai pure lo screenshot di uno dei tuoi post prima che andassi a modificare... vabbè
mai detto "della knx"
tua pura invenzione.
mi dispiace
eh sì, me lo hai fatto scoprire te.... pensa un pò!!!!!!!!!!!!!!!!! anni ad informarmi ma solo tu sei riuscito a spiegarmi questa complicatissima cosa!!!!!!!
mi dispiace un pò per te.....
pensa te... tu vai in giro offendendo la gente è il poveretto sarei io? certo che ormai il mondo gira al contrario...
allora se puoi permettertelo, non vuoi permettertelo. comunque ripeto, il problema è che non conosci e di conseguenza non comprendi, o ti assicuro che non diresti certe cose perché è OGGETTIVAMENTE superiore. magari meno rapido\comodo per un neofita, ma per chi sa metterci le mani no.
Io non posso permettermi?
HAHAHAHAHAHAHAHAHA
abbi pazienza io te li chiamo "pulsanti" in maniera generica, lo sappiamo benissimo entrambi che sono a sfioramento e non sono ralmente "pulsanti"...... se per questo io chiamo "pulsanti" anche quelli virtuali sul software di gestione. è solo una label.
continua pure a dubitare............. tu reputi tecologia di tua nonna quello che non puoi permetterti o che poi ti ritrovi in sbatti a gestire....... tutto qui.
ti ho detto che ne avevamo presi un paio ma poi abbiamo optato per gli shelly sull'impianto elettrico e pulsanti classici di una ditta di cui non ricordo il nome ma usa le stesse basi per placche biticino in modo da poterle sostituire in futuro in meno tempo.
Ecco, appunto... non li hai mai neppure visti al di fuori delle pagine Web.
Ma non ci sono pulsanti ed interruttori... a sto punto consentimi di dubitare che tu li abbia realmente avuti perchè altrimenti non faresti questa domanda.
Per un componente a sfioramento il fatto che un'area sensibile sia monostabile o bistabile è una semplice scelta in fase di configurazione del firmware.
Quanto al resto... vabbè quelli che hai tu nella parte incassata nel muro sono di acciaio temprato :)
Sagit, tu quewsta roba non solo non la conosci ma non l'hai neppure mai vista da vicino e lo dimostra la tua domanda sui pulsanti.
Sei un fanfarone che ha realizzato una IoT con una tecnologia buona per mia nonna, e si permette di esprimere sentenze sulle componenti del secolo corrente, torni in ignore list per qualche settimana.
Baci & Abbracci
abbi pazienza, ma come hai fatto ad avere lo stesso modello di placca sia sulle prese che sui pulsanti? non mi pare facciano placche col medesimo design per pulsanti e prese, o almeno un tempo non le facevano non so se è uscito altro di recente. comunque non ci vedo nessuna cura dei metariali. dietro sono di plastica con la loro elettronica, davanti un pezzo di vetro. che poi mi dici che marche come vimar o biticino sì facciano pagare un casino di soldi per placche e frutti sono d'accordo, ma la differenza è che se un giorno il tuo caro ewelink viene dismesso, le tue placche magicamente non saranno più supportate per manccanza di un firmware o altro (ok che puoi flasharle e farci poi quel che vuoi, ma tu non vuoi) sei fregato perché non avrai più supporto, e su una placca questo non deve succedere. ti ritroveresti a doverle cmabiare tutte.... se poi una sì rompe e non la fabbricano più uguale? stesso. le placche dei produttori famosi costano perché generalmente le tengono in vita per 15-20 anni anche. guarda poi la nuova biticino living now, costa, ma di certo non è scadente.... come anche la vimar arkè
perché dovrebbero essere comodi? che poi alla fine tra il touch e premere il pulsante cambia poco, ma il touch è più rischioso e non sempre hai un feedback. oltre al maggiore consumo che ti obbliga a spegnerli
P.S.: scomodi i touch???
Vabbè dai, siamo su scherzi a parte :)
Ah ma io le ho cambiate tutte, sia sopra che sotto.
Quando sono passato alla domotica è starito tutto quello che c'era prima, in blocco. E' privo di senso miescelare componenti domotici con roba buona per un'altra epoca.
Ora dovrei fare dei lavori di muratura perchè ho scelto la versione "quadrata", ma visto che dovrei far fare pure un arco al posto di una porta attendo per fare tutto assieme.
Abbi pazienza, ma avendo visto la cura ed i materiali con cui sono realizzate a mio avviso il tuo continuare a palarne male non può che essere maligno.
Perchè sono semplicemente fantastiche.
Ne aveva montate un paio mio padre ma poi le abbiamo tolte perché touch sono scomode. Inoltre placche pulsanti e prese avevano design diversi facendo sembrare tutto un accrocchio unico.. poi wifi lasciamo perdere
Poveretto
Ma guarda, ci parlo da tanto tempo e sono giunto alla conclusione che lui, non so bene per quale motivo, ha imboccato la strada per l'automazione che avrebbe scelto mia zia quasi novantenne e non ha più neanche guardato al di fuori di essa.
Ed è un peccato, perchè ha molto entusiasmo e non è affatto sciocco.
con uno come te che legge 2 righe poi spara cose inventate c'è poco da discutere, nel tempo ti ho fornito prove evidenti di cose ben realizzate, anche pubblicate in giro, e ne avrei a valanghe da mostrare. ma tanto non ci perdo tempo perché tu sei il classico elettricista di turno che monta la pappa pronta perché è capace di fare ben poco oltre le 2 cose che ha imparato in chissà quanti anni di lavoro...... a differenza, io, semplicemente come hobby a tempo perso ho realizzato cose molto più complesse e ben realizzate di buona parte di quelli che sì credono "guru del settore" tanto da impressionare un ingegnere che programma questo genere di impianti da 15\20 anni da propormi e commissionarmi dei lavori. ma cosa te lo dico a fare? tanto ti sei raccontato da solo la favoletta della marca knx, mai detta, dell'arduino, sin dall'inizio detto che era un analisi i\o per verificare il corretto funzionamento dei segnali digitali della centrale di antifurto, che un nvr è meglio di un software di cctv riconosciuto dalla comunità come uno dei migliori del settore e che un sistema custom come Home Assistant stralodato da chiunque con dietro aziende come ubiquity a finanziarlo sia peggio di un gateway limitato, che ifttt è meglio di una soluzione locale e personalizzabile e che un raspberry pi zero con modulo cam usato come microcamera esterna sia un accrocchio che poi una ip cam non è altro che un'elettronica e un'ottica che mandano un flusso video ad una centrale. poi ovviamente un server nuc con hypervisor, 32gb di ram, 500 ssd m2, 2 tb hdd con su macchine virtuali auto-backuppate su hdd locale e nas è una soluzione non professionale quando nelle aziende montano terminal server poprio prendento dei pc e buttandoci su qualche vm su un hypervisor. ma che te lo dico a fare????? meglio nvr e ikon server pappa pronta e limitati che la libertà di fare le cose come sì vuole. ;)
Lo so, lo so.... sono anni che ci scorniamo su questa cosa :)
Anche dal vero?
Le hai fisicamente? non credo perchè se le avessi non ne parleresti così.
I cinesi possono tenere simili prezzi si componenti di livello così elevato perchè ragionano su fattori di scala completamente diversi, se fossero B Ticino costerebbero più di cento euro l'una
le conosco le tue placche
Guarda che molte azioni e capacità di controllo sono gestite direttamente dal Cloud e dal firmware, ed in essi possono essere programmate. Non sono semplici sensori ed attuatori.
Semplici attuatori probabilmente lo sono i tuoi.
Ad esempio io posso assegnare une serie di azioni alla pressione di un tasto ed ottenerne l'esecuzione senza che quel componente sia realmente collegato a qualcosa. Qui è pieno di logica di controllo implementata a quel modo.
Tu continui a pensare che l'unico modo di implementare qualcosa sia porlo sotto il controllo di una logica centralizzata, che era il vecchio concetto ed espone a divarsi inconvenienti; i sistemi moderni funzionano su Cloud e la logica è distribuita.
Io, che conosco entrambe le vie, non mi sogno di dire che la logica centralizzata non possa fare qualcosa, mentre tu che sei ancorato a questa soluzione primordiale ed evidentemente non conosci quella più moderna, continui a pensare che ci sia qualcosa che il tuo approccio possa fare e l'altro no.
Entrambe la vie conducono al medesimo risultato, con l'importante differenza che la strategia del Cloud e della logica distribuita porta ad una solidità del sistema infinitamente superiore.
e al solito offese, di più non c'è
quello non è flessibilità, è comoditià\immediatezza, flessibilità è poter sfruttare il dispositivo in svariati modi senza alcun limite, cosa che non puoi fare con i firmware e servizi ufficiali. e che favori possono chiedere a dei dispositivi che girano su una linea BUS? nessuno....... sono semplici attuatori elettromeccanici, a livello software hanno solo la possibilità di scegliere un indirizzo da associare al singolo comando e qualche piccola logica and\or per i raggruppamenti.
Flessibile significa che posso aggiungere e togliere componenti dal sistema nel giro di un minuto e che esiste un componente specifico per ogni tipo di applicazione avente costo ragionevole perchè prodotto in larghissima serie.
La Magistratura può chiedere ed ottenere favori da tutte le aziende UE, che di conseguenza sono da evitarsi come la peste.
Già è più difficile con quelle statunitensi e del tutto impossibile con le cinesi.
Senti Sagit, sta tua lotta contro la Cina diventa pesante ogni volta.
Le mie "placche cinesi", come le chiami tu, sono bellissime, hanno il pannello in vetro ed anche l'elettronica è molto ben realizzata.
Per contro vedo molti prodotti italiani realizzati in plastica, e chiunque tenga un minimo alla propria dignità dovrebbe evitare di toccare plasticaccia con le proprie dita.
Vetro è bene, plastica a vista significa scarsa qualità. Chi nel 2020 ha componenti a vista in plastica sta usando robe mediocre.
Chiuso questo inciso, evidentemente a poter andare a fuoco non sono i telecontrolli me i dispositivi controllati o le parti di impianto elettrico che conducono ad essi, ed i casi di incendi causati da elettrodomestici o impianti elettrici nel corso dell'anno non sono affatto zero.
Se un elettrodomestico o una parte di abitazione non è probabile siano utili nel breve, stacca l'alimentazione.
L'hacker può essere attivo quando ti pare, ma spegnare il dispositivo quando non in uso abbatte le probabilità che le sempre possibile ricerca automatizzata di dispositivi da infettare (bassa visti i sue firewall in cascata che dovrebbe passare, ma comunque mai nulla) trovi qualcosa di attivo da infettare.
Il punto 1 pare ovvio, ma ad esempio io non avendo placche cinesi wifi ma passive non ha senso disalimentare. Disalimenterei solo un paio di moduli nel quadro per altro a 30v con poco senso, poi peró disalimentando le zone annullerei alcuni fattori di sicurezza, come i tendoni che sì alzano da soli se dimenticati giù, le luci che sì accendono da sole in caso di movimenti pesanti su balcone o pianerottolo ecc.. non avrebbe molto senso, per questo spengo solo le tv, consolle e affini, il resto è tutto passivo. Per la sicurezza del prendere fuoco voglio dire.. sonoff e shelly che han preso fuoco se ne sono visti, di plc knx no, per altro sono solo nel quadro abbastanza isolato quindi la casa non prenderebbe fuoco
Un hacker entra sia di giorno che di notte e nessun hacker entra nel mio impianto perché non esce su rete esterna, al massimo appunto dovrebbero hackerare alexa ma io con un singolo toggle disabilito il 100% di alexa sull’impianto.
Non ho un router per l’iot per il semplice motivo che a parte tv, gli harmony e 5 sonoff per le lampade tutto gira su bus e di mettere un router e frammentare la rete per 10 device non ha molto senso, per di più peserebbe maggiori consumi sull’ups
Scomodo perchè? la casa fa tutto da sola, mica lo faccio a mano :)
Oltretutto qui non è che venga disalimentato tutto solo di notte ma visto che in generale tutto è privo di alimentazione quando non serve la disalimentazione è completa anche quando non c'è nessuno in casa, anche se in questo caso evidentemente resta attiva Internet per darmi la possibilità di telecontrollo.
Disalimentare tutto ciò che non è in uso ha anche altri vantaggi Sagit:
- Ovviamente i consumi, e ti assicuro che la differenza si sente.
- La sicurezza elettrica, perchè ciò che non è alimentato quando dormi o non sei presente non può andare a fuoco.
- La sicurezza della rete, perchè nessun hacker può entrare in un dispositivo spento.
- L'enalisi dei log, perchè nel log dei router IoT la presenza di righe di tentativi di connessione impropri alla riaccensione dei dispositivi privi di connettività internet (tutte le mattine alle 7 per gli interruttori a parete) brillerebbe come una lampadina nella notte.
Insomma le ragioni sono molte, e visto che farlo è banale ed anche tu hai la possibilità di farlo, fossi in te...
Ah bhe le aziende citate sono tutte cinesi, spagnole, italiane trnane biticino che comunque è sotto la francia ormai.. comunque non comprendo il tuo flessibile
Sisi hai ragione, povero ign0rante
E' di gran lunga più flessibile.
Non ho detto controllo italiano ma produttore italiano.
Il fatto che siano su rete separata non garantisce niente, hai comunque dei dispositivi dotati di una radio WiFi che può essere usata come sniffer del traffico locale.
non ho letto solo io le tue affermazioni quando dicevi una cosa, venivi ridicolizzato e via a ritrattare modificando anche precedente commento e nuove figuracce con gli screenshot del tuo commento pre modifica... quel periodo mi hai fatto divertire non poco
Mi sembra particolarmente scomodo staccare totalmente tutto. Peró son scelte
Per me puoi non credere a quel chd vuoi ma è la triste realtà...
Migliore è un concetto relativo, il Cloud è certamente più pratico e flessibile rispetto alle soluzioni basate su rete locale.
Per ciò che riguarda l'Asia... esiste un unico spionaggio che abbiamo ragione di tenere, ed è quello ordinabile dalla Magistratura italiana.
Ai cinesi non interesserà mai porre sotto controllo il traffico dati di Federico, alla Magistratura italiana, magari per vie traverse di altre indagini, potrebbe interessare.
E questo vale per ogni cittadino italiano.
Di conseguenza mai e poi mai collegare alla tua rete locale un componente prodotto da un'azienda alla quale la Magistratura italiana potrebbe chiedere di aggiungere uno snudfer al firmware.
Con le aziende cinesi non potrebbero farlo, con quelle nostrane sì.
Perché è sufficiente prendere in mano il telefono per far tornare l'alimentazione alla parte Nord della casa, che è dove c'è la mia camera da letto, e 15 secondi dopo il ritorno dell'alimentazione si accende la luce del mio comodino.
E se durante la notte ti alzi e devi accendere una luce che fai se le placche non sono alimentate? Di notte ci sono tante cose che possono usare internet.. ad esempio il telefono può fare il backup... boh non capisco perché spegnere il modem, poco senso. Chiaramente ancheio ho il controllo dei consumi via knx con modulo gewiss. In più daikin mi fornisce il suo consumo e poi ho le varie sesioni nelle camere.