22 июля Apple обновление операционной системы iOS до версии 12.4, в котором были закрыты три серьезные уязвимости, обнаруженные экспертом из команды Google Project Zero Натали Сильванович. Самая опасная (CVE-2019-8646) позволяет красть данные с удаленного устройства без вмешательства пользователя. Теоретически возможна и запись произвольной информации, но реальный масштаб потенциального ущерба для владельцев уязвимых смартфонов и планшетов пока до конца не изучен.
Информации по другим уязвимостям пока немного, известно лишь, что одна из них (CVE-2019-8647) может вызвать падение модуля SpringBoard, отвечающего за отрисовку домашнего экрана устройств на базе iOS.
Сильванович Proof of Concept для CVE-2019-8646, реализующий типичный сценарий эксплуатации: подготовленное сообщение в iMessage, при обработке которого на сервер злоумышленника отправляются данные, которые не должны туда отправляться. Посмотрим на эту уязвимость более внимательно и заодно поговорим о человеческом факторе в обработке голосовых сообщений для Siri и других голосовых помощников.
Обнародование данных об уязвимости — довольно интересный случай, когда представителям СМИ приходится разбираться в техническом описании проблемы. Все публикации основаны на трех отчетах об уязвимостях в трекере команды Google Project Zero: есть информация по самой опасной уязвимости (утечка данных), написано про падение Springboard, про еще одну ошибку повреждения памяти, с пока непонятными последствиями (или без таковых — практическая эксплуатация этой уязвимости затруднена). Информация еще об одном баге (CVE-2019-8641) пока не раскрывается, так как патч, выпущенный Apple, оказался неэффективен.
Несмотря на то что все последствия эксплуатации данной проблемы пока не изучены, некоторых индустрии сводятся к тому, что отношение к защищенности iPhone стоит пересмотреть. Не думаем, что это подходящий повод: оценивать безопасность той или иной системы по количеству и сложности закрытых багов — в большинстве случаев плохая идея. Однако не будет лишним установить апдейт iOS, если этого еще не произошло: любой баг, эксплуатируемый без ведома пользователя, по определению опасен.
Страдания по голосовому распознаванию
Еще одна новость, связанная с Apple, касается работы системы голосового распознавания Siri. 26 июля в британском издании The Guardian была опубликована , в которой описана работа подрядчиков компании, улучшающих функционирование автоматизированных алгоритмов. В целом это логично: если в речи абонента что-то не расшифровывается, надо попробовать улучшить работу системы. Но в таком подходе можно увидеть и риск для приватности, особенно если учесть, что голосовой помощник иногда включается и начинает записывать звук не по команде абонента, а случайно, сам по себе. Об этом в статье The Guardian свидетельствует анонимный представитель подрядчика Apple.
Apple — не первая компания, которую критикуют из-за наличия отрядов «живых слушателей» системы голосового распознавания. 10 июля бельгийское издание VRT не только об аналогичной практике, но и об утечке архивов записей одного из подрядчиков Google. В апреле аналогичный отчет был о работе системы распознавания речи Amazon Alexa.
Когда устройство, постоянно записывающее звук и иногда отправляющее запись производителю, появляется у вас дома, вопросов по поводу приватности будет много по определению. Причиной широкого обсуждения трех упомянутых материалов СМИ стало «неожиданное» открытие: ваши голосовые команды, оказывается, слушает не только бездушная машина, но и живой человек. В то время как Amazon, Google, Apple и даже Яндекс пытаются заработать на новой удобной фиче, им нужно обеспечить доверие пользователей, даже если прямой угрозы утечки данных нет. А ее в большинстве случаев нет: подрядчикам передается максимум сотая доля всех записей, без возможности идентификации конкретных пользователей.
Тем не менее реагировать как-то надо, и пока выходит вот что. Apple программу контроля качества работы Siri. Amazon настройку приватности, блокирующую распознавание голоса человеком для вашего аккаунта. Google проверку записей в Европейском Союзе, так как у регуляторов появились вопросы о соответствии такой практики нормам GDPR. Вроде бы неплохо, приватность потребителя в данном случае может быть даже лучше защищена, чем в иных ситуациях. Вопрос в том, как сильно отказ от контроля повлияет на качество распознавания. Тот момент, когда у общества есть выбор: более быстрый прогресс или меньшее вмешательство в частную жизнь.
Disclaimer: Мнения, изложенные в этом дайджесте, могут не совпадать с официальной позицией «Лаборатории Касперского». Дорогая редакция вообще рекомендует относиться к любым мнениям со здоровым скептицизмом.
