Google Home e Chromecast possono rivelare a qualunque sito l'esatta posizione dell'utente

C’è una brutta lacuna di sicurezza in Google Home e nelle chiavette HDMI Google Chromecast. Il bug non può essere utilizzato per aggredire direttamente l’utente ma può essere oggetto di un’azione volta a stabilire l’esatta posizione geografica del soggetto preso di mira.

Craig Young, ricercatore di Tripwire, azienda specializzata nella sicurezza informatica, ha scoperto che i gestori di qualunque pagina web sono ad oggi in grado di stabilire l’esatta locazione geografica del sistema client accedendo ai dati condivisi da Google Home e Chromecast.

Affinché l’attacco vada a buon fine è sufficiente che l’utente visiti una pagina web contenente un apposito script utilizzando un qualunque dispositivo collegato alla stessa rete locale cui è connesso il device Google Home o Chromecast.

Prendendosi un po’ gioco di Google, Young ha pubblicato un post dal titolo “ecco la nuova funzionalità di Google: trova la mia casa“.

Il problema ha a che fare con due aspetti critici estremamente comuni, oggi, sui dispositivi IoT: raramente viene richiesta l’autenticazione per le richieste di connessione provenienti dai sistemi connessi alla rete locale; il semplice protocollo HTTP – senza l’utilizzo della crittografia – viene impiegato per le attività di configurazione e controllo dei dispositivi.

Utilizzando il ben noto attacco DNS rebinding (nell’articolo DNS rebinding attack: quando un’app locale può essere sfruttata per attacchi da remoto abbiamo spiegato di che cosa si tratta), Young è riuscito a porre in essere un’aggressione end-to-end tesa ad estrarre quante più informazioni possibili dai dispositivi Google Home e Chromecast.

Google ha già confermato l’esistenza della problematica e ha rivelato che rilascerà gli aggiornamenti correttivi nel giro di alcune settimane.
Nel frattempo, Young ricorda che segmentare la rete separando ad esempio i dispositivi IoT dai client che navigano abitualmente online è un’ottima soluzione. Così come l’utilizzo di VLAN e regole firewall oltre che l’abilitazione della protezione contro gli attacchi DNS rebinding a livello di modem router. Firmware come OpenWRT e DD-WRT offrono questo tipo di protezione.
Disattivare temporaneamente i dispositivi Google Home e Chromecast è, allo stesso modo, una buona soluzione temporanea.