Milioni di dispositivi Amazon Echo di prima generazione e Amazon Kindle di ottava generazione sono vulnerabili ad attacchi di tipo KRACK (acronimo di Key Reinstallation Attacks) che consentono ai criminal hacker di forzare la chiave di sicurezza WPA2 delle reti Wi-Fi e spiare il traffico dati tra router e client, riuscendo così a rubare dati sensibili come numeri di carte di credito, password, e-mail e foto.
L’attacco KRACK, lo ricordiamo, sfrutta una vulnerabilità nella procedura di handshake 4-way del protocollo di sicurezza WPA2 che è stata rivelata nell’ottobre 2017 dai ricercatori di sicurezza belgi Mathy Vanhoef e Frank Piessens.
Indice degli argomenti
Amazon Echo e Kindle: i dettagli della vulnerabilità
Utilizzando questo tipo di attacco, i criminal hacker possono decriptare i pacchetti inviati dai client per rubare informazioni sensibili che vengono trasmesse in chiaro, senza usare alcun algoritmo crittografico.
Come già dimostrato dagli addetti ai lavori, infatti, gli attacchi di tipo KRACK non riguardano esclusivamente i router Wi-Fi, ma possono essere sfruttati per compromettere anche i singoli dispositivi che fungono da client, bersagliandoli con attacchi di tipo man-in-the-middle (MITM).
A lanciare l’allarme sulla sicurezza dei dispositivi Amazon Echo e Kindle esposti ad attacchi KRACK è stato il team di ricerca ESET Smart Home che, in un documento tecnico pubblicato ieri, ha reso noti i risultati di alcuni test di sicurezza compiuti su Alexa, l’assistente digitale di Amazon.
In particolare, testando gli script rilasciati a suo tempo da Vanhoef e Piessens, i ricercatori di ESET hanno verificato che i dispositivi Amazon sono esposti alle vulnerabilità classificate come CVE-2017-13077 e CVE-2017-13078.
Qualora venissero sfruttate con successo, entrambe le vulnerabilità potrebbero consentire ad un eventuale attaccante remoto di:
- rinviare vecchi pacchetti per eseguire un attacco DoS e interrompere la comunicazione di rete;
- decifrare i dati o le informazioni trasmesse dalla vittima;
- a seconda della configurazione di rete: falsificare i pacchetti di dati, far sì che il dispositivo elimini i pacchetti o addirittura iniettarne di nuovi;
- intercettare informazioni sensibili come password o cookie di sessione.
Come mitigare il rischio di possibili attacchi
Seguendo una corretta responsible disclosure policy, il team di sicurezza ESET ha segnalato la vulnerabilità ad Amazon il 23 ottobre del 2018, lasciando il tempo agli sviluppatori del colosso dell’e-commerce di analizzarla e testarla sui vari dispositivi interessati.
L’8 gennaio scorso, Amazon ha dichiarato di essere riuscita a replicare effettivamente i bug segnalati e di aver messo a punto le relative patch che sono poi state inviate ai dispositivi interessati nelle settimane successive.
In particolare, Amazon ha rilasciato una versione aggiornata dell’applicazione software wpa_supplicant utilizzata dai dispositivi Echo e Kindle per la corretta autenticazione alla rete Wi-Fi e per effettuare alcuni controlli di sicurezza sui protocolli wireless dei dispositivi.
La maggior parte degli utenti dovrebbe quindi avere questo aggiornamento già installato da parecchio tempo, ma si consiglia vivamente a tutti di accedere alle impostazioni dei propri Echo e Kindle e assicurarsi che stiano utilizzando effettivamente l’ultimo firmware disponibile.
