[[395574]]

只使用音頻的社交媒體應(yīng)用程序(例如ClubHouse，Riffr，Listen，Audlist和HearMeOut)這兩年發(fā)展的比較火，正吸引著越來(lái)越多用戶的興趣，但就像其他任何技術(shù)一樣，這類應(yīng)用程序也存在著巨大安全風(fēng)險(xiǎn)。

此外，這些風(fēng)險(xiǎn)中的大多數(shù)都可以自動(dòng)化，幫助攻擊者更容易、更快地傳播這些攻擊。需要注意的是，這些應(yīng)用本身并沒(méi)有惡意攻擊的功能，這些攻擊來(lái)自尋找利用這些平臺(tái)方法的網(wǎng)絡(luò)攻擊者。

在這篇文章中，研究人員通過(guò)分析這些應(yīng)用程序(主要是ClubHouse，但也包括Riffr、Listen、Audlist和HearMeOut)來(lái)論證和概述這些風(fēng)險(xiǎn)。研究人員也分享了一些關(guān)于如何避免它們的建議，具體的研究報(bào)告請(qǐng)點(diǎn)此。

研究人員的研究是在今年2月8日至11日進(jìn)行的，截止發(fā)稿時(shí)，應(yīng)用程序供應(yīng)商可能已經(jīng)或正在修復(fù)本上述研究報(bào)告中描述的一些問(wèn)題。最新報(bào)道表明，已經(jīng)有網(wǎng)絡(luò)黑客證實(shí)了Clubhouse的實(shí)時(shí)音頻是可以被竊取的。Clubhouse發(fā)言人瑞瑪·巴納西稱，有一位身份不明的用戶將Clubhouse的音頻從“多個(gè)房間”傳送到他們自己的第三方網(wǎng)站上。雖然Clubhouse公司及時(shí)發(fā)現(xiàn)并且表示將“永久禁止”這一用戶的使用，而且為軟件配備了新的“安全措施”以防止此類事件再次出現(xiàn)。但仍有研究人員認(rèn)為，Clubhouse平臺(tái)可能永遠(yuǎn)無(wú)法兌現(xiàn)這樣的承諾。

近日研究人員還獨(dú)立獲得并分析了據(jù)稱用于“從ClubHouse泄露音頻”的軟件工具，經(jīng)過(guò)分析后，研究人員想強(qiáng)調(diào)的是Clubhouse的實(shí)時(shí)音頻泄漏并不是一個(gè)安全漏洞。開(kāi)發(fā)人員創(chuàng)建了一個(gè)鏡像網(wǎng)站，該鏡像網(wǎng)站允許其他人使用開(kāi)發(fā)人員的唯一帳戶而不是他們的個(gè)人賬戶進(jìn)行監(jiān)聽(tīng)。雖然這肯定會(huì)破壞服務(wù)條款，但絕沒(méi)有使用任何特定的安全漏洞，而且最重要的是，鏡像網(wǎng)站未進(jìn)行任何錄音：音頻仍從ClubHouse服務(wù)器流向發(fā)出請(qǐng)求的客戶端，從來(lái)沒(méi)有通過(guò)鏡像網(wǎng)站。換句話說(shuō)，這個(gè)網(wǎng)站只不過(guò)是一個(gè)基于JavaScript而不是iOS的客戶端。盡管這種類型的服務(wù)濫用可能會(huì)變得更加困難，但沒(méi)有web服務(wù)或社交網(wǎng)絡(luò)能夠免受它們的影響，因?yàn)樵诓挥绊懞戏ㄓ脩艨捎眯缘那闆r下，沒(méi)有技術(shù)上的方法可以可靠地預(yù)防這種攻擊。

在典型的以音頻為中心的社交網(wǎng)絡(luò)中，主要對(duì)象和數(shù)據(jù)以及它們之間的交互

比較手機(jī)通話和以音頻為中心的應(yīng)用程序通話的風(fēng)險(xiǎn)

使用手機(jī)的安全風(fēng)險(xiǎn)與使用以音頻為中心的手機(jī)通話應(yīng)用程序的安全風(fēng)險(xiǎn)是相同的，由于它們的性質(zhì)相似，兩個(gè)頻道都可以被竊聽(tīng)、攔截和非法記錄。針對(duì)這兩個(gè)平臺(tái)的攻擊也可以自動(dòng)進(jìn)行，只是可能在更大程度上針對(duì)在線平臺(tái)。這兩種手段都可被用于敲詐勒索，而現(xiàn)成的Deepfake工具也有助于進(jìn)行詐騙。但是，這些渠道的風(fēng)險(xiǎn)存在一些細(xì)微的差異。

首先是可以參與通話的人數(shù)，這可以決定可以被竊取的數(shù)據(jù)范圍或可以接收不正確信息的人數(shù)。手機(jī)通話一次只能容納一小群人，而應(yīng)用程序可以容納數(shù)千人。僅ClubHouse一個(gè)房間就可以容納5000人，即使與Facebook等非語(yǔ)音中心的在線社交網(wǎng)絡(luò)相比，這個(gè)數(shù)字也是相當(dāng)可觀的。這意味著，如果攻擊者決定竊取手機(jī)通話參與者的信息或破壞用戶的聲譽(yù)，成千上萬(wàn)的人可能成為受害者或聽(tīng)眾。

依次類推，可以被竊取的數(shù)據(jù)類型也各不相同。通過(guò)手機(jī)通話，可能被竊取的數(shù)據(jù)取決于接收者披露的內(nèi)容。而在大多數(shù)以語(yǔ)音為中心的應(yīng)用中，則取決于用戶配置帳戶的方式，潛在的攻擊者也可以很容易地訪問(wèn)這些數(shù)據(jù)，例如照片、電話號(hào)碼、電子郵件地址和其他個(gè)人身份信息(PII)。

另一個(gè)攻擊方式則是用戶模擬，雖然手機(jī)通話者也可以在手機(jī)通話中冒充另一個(gè)人的身份，但是在純音頻的社交媒體應(yīng)用中，這種可信度得到了提高，因?yàn)閻阂夤粽呖梢允褂眉倜暗娜说恼掌托畔?lái)創(chuàng)建虛假的個(gè)人資料。

此外，以語(yǔ)音為中心的應(yīng)用程序，如一些在線平臺(tái)，可以用來(lái)啟動(dòng)命令與控制(C&C)的隱蔽通道，研究人員在上述報(bào)告中對(duì)此作了詳細(xì)闡述。

純音頻社交網(wǎng)絡(luò)平臺(tái)的安全風(fēng)險(xiǎn)

以下是一些可以針對(duì)以音頻為中心的社交媒體應(yīng)用程序用戶的攻擊示例。這些的全部細(xì)節(jié)可以在研究人員的全部技術(shù)簡(jiǎn)介中找到:

1.網(wǎng)絡(luò)流量攔截和竊聽(tīng)

攻擊者可以通過(guò)分析網(wǎng)絡(luò)流量并查找與RTC相關(guān)的數(shù)據(jù)包來(lái)了解通話雙方的身份，以下截屏來(lái)自研究人員使用ClubHouse應(yīng)用程序進(jìn)行的演示，顯示了攻擊者如何自動(dòng)執(zhí)行此過(guò)程并攔截RTC控制數(shù)據(jù)包，以獲取與其中兩個(gè)用戶創(chuàng)建的私人聊天相關(guān)的敏感信息。

自動(dòng)化網(wǎng)絡(luò)分析和RTC數(shù)據(jù)包搜索

截止發(fā)稿時(shí)，ClubHouse承諾將采取適當(dāng)?shù)募用艽胧﹣?lái)防止此類及相關(guān)的攻擊。

2.用戶模擬和Deepfake語(yǔ)音

惡意用戶可能會(huì)冒充一個(gè)公共人物，并通過(guò)偽造其聲音使他們說(shuō)出他們永遠(yuǎn)不會(huì)說(shuō)的話，從而對(duì)其聲譽(yù)造成影響。攻擊者還可以偽造聲音，并創(chuàng)建著名交易員的個(gè)人資料，吸引用戶加入一個(gè)聊天室，誘惑他們進(jìn)行投資。

3.投機(jī)取巧的記錄

正如大多數(shù)(不是全部)應(yīng)用程序的服務(wù)條款所述，大多數(shù)音頻社交網(wǎng)絡(luò)的內(nèi)容都是短暫保存的，并且“僅供參與者使用”，但是某些攻擊者可以進(jìn)行錄音、復(fù)制帳戶、自動(dòng)跟蹤帳戶的所有聯(lián)系人以使其看起來(lái)更加真實(shí)，在獲取相關(guān)聯(lián)系人信任后，就邀請(qǐng)他們加入聊天室，并使用偽造的聲音說(shuō)說(shuō)一些話，破壞別人聲譽(yù)甚至是欺詐業(yè)務(wù)。

4.騷擾和勒索

如何實(shí)際執(zhí)行此操作將取決于應(yīng)用程序和網(wǎng)絡(luò)的結(jié)構(gòu)，例如，在某些平臺(tái)上，跟蹤受害者的攻擊者將在受害者進(jìn)入公共房間時(shí)也同時(shí)得到通知。收到進(jìn)入房間的通知后，攻擊者也可以加入那個(gè)房間，請(qǐng)主持人發(fā)言，然后說(shuō)些什么或者播放預(yù)先錄制的音頻來(lái)勒索受害者。研究人員驗(yàn)證了所有這些都可以很容易地通過(guò)編寫腳本自動(dòng)運(yùn)行。幸運(yùn)的是，大多數(shù)應(yīng)用程序也有阻止和舉報(bào)濫用用戶的功能。

5.地下服務(wù)

ClubHouse剛上線，研究人員就在surface Web上發(fā)現(xiàn)了很多關(guān)于它的討論。一些用戶已經(jīng)開(kāi)始討論購(gòu)買關(guān)注者，一些所謂的開(kāi)發(fā)人員承諾對(duì)API進(jìn)行反向工程以創(chuàng)建僵尸程序以換取邀請(qǐng)，研究人員也證實(shí)了這是可行的。

論壇用戶討論出于營(yíng)銷目的制作或購(gòu)買僵尸程序服務(wù)的問(wèn)題

6.音頻隱蔽通道

使用這些平臺(tái)，威脅參與者可以創(chuàng)建隱秘渠道進(jìn)行C&C或使用隱寫術(shù)隱藏或傳輸信息。如果以音頻為中心的社交網(wǎng)絡(luò)繼續(xù)增加，攻擊者可能會(huì)開(kāi)始將它們定位為可靠的攻擊面：例如，攻擊者可以創(chuàng)建多個(gè)房間，并讓僵尸程序連接它們來(lái)調(diào)度命令，并且不會(huì)留下任何痕跡(除了加密的錄音，如果有的話)。

緩解措施

為確保音頻應(yīng)用程序的安全使用，研究人員向音頻社交網(wǎng)絡(luò)用戶推薦以下最佳安全防護(hù)做法：

1. 加入公共房間，就像在公共場(chǎng)合講話一樣。用戶只能說(shuō)自己愿意與公眾共享的內(nèi)容，因?yàn)橛锌赡苡腥嗽谔摂M房間里錄音，即使未經(jīng)書(shū)面同意錄音違反了大部分服務(wù)條款，也會(huì)有人這么做。

2.不要僅憑名字就相信某人，這些應(yīng)用目前未實(shí)施帳戶驗(yàn)證流程;請(qǐng)始終仔細(xì)檢查個(gè)人簡(jiǎn)歷，用戶名和鏈接的社交媒體聯(lián)系人是否真實(shí)。

3.僅授予必要的權(quán)限并共享所需的數(shù)據(jù)，例如，如果用戶不希望應(yīng)用程序從其通訊錄中收集所有數(shù)據(jù)，則可以拒絕請(qǐng)求的權(quán)限。

4.基于對(duì)應(yīng)用程序和通信協(xié)議的技術(shù)分析，研究人員建議當(dāng)前和將來(lái)的服務(wù)提供商考慮實(shí)現(xiàn)以下功能，除非他們已經(jīng)這樣做：

4.1不要在應(yīng)用程序中存儲(chǔ)機(jī)密信息(例如憑據(jù)和API密鑰)。研究人員發(fā)現(xiàn)一些應(yīng)用程序?qū){證以明文形式嵌入到應(yīng)用程序清單中，這將允許任何惡意參與者在第三方服務(wù)上模擬它們。

4.2提供加密的私人電話。雖然在性能和加密之間當(dāng)然需要權(quán)衡取舍，但最新的消息傳遞應(yīng)用程序支持加密的群組對(duì)話。雖然它們的用例有所不同，但研究人員認(rèn)為，未來(lái)的純音頻社交網(wǎng)絡(luò)應(yīng)提供與其基于文本的同等水平的隱私級(jí)別。例如，應(yīng)使用安全實(shí)時(shí)傳輸協(xié)議(SRTP)代替RTP(實(shí)時(shí)傳輸協(xié)議)。

4.3用戶帳戶驗(yàn)證。 目前，純音頻的社交網(wǎng)絡(luò)均不支持Twitter，F(xiàn)acebook或Instagram這樣的經(jīng)過(guò)驗(yàn)證的帳戶，而且研究人員已經(jīng)看到其中有一些偽造帳戶。 在等待帳戶驗(yàn)證功能被嵌入程序時(shí)，研究人員建議用戶手動(dòng)檢查與之交互的帳戶是否為真實(shí)帳戶，例如，檢查關(guān)注者或關(guān)聯(lián)的社交網(wǎng)絡(luò)帳戶的數(shù)量。

4.4實(shí)時(shí)內(nèi)容分析。 傳統(tǒng)社交網(wǎng)絡(luò)所面臨的所有內(nèi)容審核挑戰(zhàn)在純音頻或純視頻社交網(wǎng)絡(luò)上都更加困難，因?yàn)閺谋举|(zhì)上講，分析音頻或視頻要比分析文本(即，語(yǔ)音到文本占用資源)更加困難。 一方面，如果這些服務(wù)實(shí)施內(nèi)容檢查，則會(huì)帶來(lái)明顯的隱私挑戰(zhàn)(因?yàn)檫@意味著它們可以利用音頻流)。然而，內(nèi)容檢查提供了一些好處，例如，對(duì)事件進(jìn)行優(yōu)先級(jí)排序。

本文翻譯自：https://www.trendmicro.com/en_us/research/21/b/security-risks-for-audio-centric-social-media-apps.html如若轉(zhuǎn)載，請(qǐng)注明原文地址。