Cangatux.msgDeProgramador(26);

Vista pode sofrer ataque por voz

Quinta-feira, 08 de fevereiro de 2007 - 09h50

Reconhecimento de voz: vulnerável a ataques no Windows Vista

SÃO PAULO - O sistema de reconhecimento de voz do Windows Vista pode ser a porta para um novo tipo de ataque.

O alerta foi feito por especialistas do Instituto SANS, especializado em segurança. Eles demonstraram que alguém poderia usar um arquivo de áudio hospedado numa página da web para atacar o PC com Windows Vista. A técnica é simples: o arquivo de áudio contém comandos verbais. Eles são emitidos pelos alto-falantes do PC e captados pelo microfone. São, então, executados pelo sistema de reconhecimento de voz do Windows, disponível na versão em inglês do sistema.

Esse risco não existe para a maioria dos usuários brasileiros, já que o sistema de reconhecimento de voz não está disponível no Vista em português. Em micros que rodam o sistema em inglês, várias coisas precisam acontecer para que o ataque seja bem sucedido. Os alto-falantes devem estar ligados e com o volume alto. E o sistema de reconhecimento de voz precisa estar ativo. Além disso, é desejável que o usuário esteja longe do micro, de modo que não preceba o comportamento estranho da máquina.

Essa possibilidade de ataque por voz não é totalmente nova. Quinze anos atrás, quando a Apple lançou o primeiro sistema de reconhecimento de voz para o Macintosh, houve quem se divertisse dizendo "shutdown" pelas costas de algum usuário para, em seguida, ver o micro desligar-se. Naturalmente, a onipresentaça do áudio na web tornou a coisa bastante mais perigosa.

Em seu blog de segurança, a Microsoft reconhece que o ataque é tecnicamente possível e diz que está avaliando a questão. Mas diz também que essa possibilidade não representa um grande risco. A empresa argumenta que seria difícil alguém realizar uma ação crítica por meio de um comando de voz. O sistema de controle de contas de usuário (UAC) do Vista exigiria autorização do administrador. Em sua configuração padrão, o UAC não permite que essa autorização seja dada por voz.

Ainda assim, podem-se imaginar algumas situações em que o ataque seria bem sucedido. O usuário pode se confundir e autorizar a execução do comando por engano. Ou o agressor pode encontrar alguma brecha de segurança e explorá-la por meio de um programa nocivo. Nesse caso, os comandos de voz seriam usados para fazer o download desse programa.

Maurício Grego, da INFO

*******
Imagine a cena: Vc recebendo um link com um mp3. Vc inocentemente o abre e, ouve:

-Mãos ao alto!! Seu Pc está invadido!!!

heheheh isso eh o fim dos tempos msm...

Inté+