O Google corrigirá uma exploração que permite que o Home e o Chromecast vazem sua localização
O Google emitirá uma correção para seu Google Home e Chromecast para resolver uma exploração que pode permitir que agentes mal-intencionados explorem seu dispositivo doméstico inteligente para obter suas informações precisas.
A exploração foi descoberta pela Tripwire no aplicativo Google Home. O aplicativo é usado para configurar os dispositivos Home e Chromecast. Na maioria das vezes, o aplicativo se comunica com a nuvem do Google para concluir ações. No entanto, existem algumas ações que o aplicativo Home realiza em uma rede local com um servidor HTTP não seguro.
Leia isto: Os melhores dispositivos Google Assistant
Portanto, quando você altera o nome do dispositivo Chromecast ou Home, ou até mesmo os conecta ao Wi-Fi, o aplicativo Home está usando um método não criptografado que pode ser facilmente sequestrado. Na verdade, Craig Young da Tripwire fez exatamente isso. Ele conseguiu sequestrar a tela de conexão no aplicativo Home e usá-la para extrair dados de localização de seus dispositivos que identificaram sua casa a 10 metros.
Como isso é possível? Ele aproveita a API de localização do HTML 5, que analisa a força do sinal nos pontos Wi-Fi ao redor para triangular a posição de um dispositivo. Na verdade, Young levou apenas um minuto para obter os dados e localizar sua própria casa.
Young adverte que esse exploit pode ser usado em golpes de phishing para eventuais ameaças de chantagem ou extorsão. Golpes telefônicos comuns, como fingir ser o IRS ou o FBI, podem usar essas informações para adicionar um senso de credibilidade às suas ameaças. Embora o método usado por Young tenha sido a religação de DNS, que essencialmente sequestra um navegador, ele alerta que também pode ser explorado por extensões de navegador e aplicativos móveis em segundo plano.
Ele também adverte que essa exploração não se limita apenas aos dispositivos do Google. Ao longo de seus anos de auditoria de dispositivos inteligentes, ele já viu esse problema surgir várias vezes antes em outros dispositivos, como smart TVs. A solução do Google provavelmente adicionará uma camada de segurança ao servidor HTTP, além de solicitar algum tipo de autenticação antes de poder alterar o nome do dispositivo ou conectar-se ao Wi-Fi.