Ricordate le parole di Samsung a proposito delle sue Smart TV, che possono trasmettere “a terzi” le parole dette quando l'utente attiva il riconoscimento vocale sul telecomando? Ne avevo parlato la settimana scorsa.
L'azienda aveva dichiarato con tono rassicurante che questi dati sensibili venivano trasmessi usando “misure e pratiche di sicurezza conformi agli standard di settore, compresa la crittografia” e che questo avveniva in “tutte” le sue Smart TV. Ma non è vero, e lo sappiamo grazie al lavoro di ricercatori di sicurezza indipendenti come David Lodge della Pen Test Partner. Non tutti i dati trasmessi sono protetti e cifrati: molti sono intercettabili da chiunque.
Lodge ha confermato che queste Smart TV, come ha dichiarato Samsung, registrano e trasmettono a terzi (specificamente la società di riconoscimento vocale Nuance Communications) le parole degli utenti soltanto in caso di comandi complessi (per esempio “Suggerisci un buon film di fantascienza”) e che i comandi di base (cambio di canale, regolazione del volume) vengono riconosciuti direttamente dal televisore senza essere trasmessi, ma ha anche scoperto che contrariamente a quanto detto dall'azienda coreana vengono trasmesse via Internet senza cifratura la registrazione audio e la trascrizione di quello che ha detto l'utente quando ha impartito un comando vocale complesso, insieme a data e ora.
Questo significa per esempio che chiunque sia nel raggio d'azione della rete Wi-Fi usata dalla Smart TV può catturare queste registrazioni e trascrizioni insieme alle conversazioni domestiche o di lavoro che spesso accompagnano i comandi vocali e farsi un'idea piuttosto intima degli orari, delle scelte televisive e delle conversazioni private del vicino di casa. Sarebbe quindi anche possibile alterare i comandi impartiti al televisore.
Samsung si è giustificata precisando che il problema riguarda soltanto le Smart TV meno recenti, per le quali verrà fornito presto un aggiornamento software che correggerà il problema. Ma il modello testato da Lodge è soltanto del 2012 ed è ancora in vendita.
Fonti aggiuntive: Punto Informatico, The Register, The Guardian.
Nessun commento:
Posta un commento