Il Disinformatico: assistente vocale

Visualizzazione post con etichetta assistente vocale. Mostra tutti i post

2022/07/01

Alexa fa parlare i morti

Questo articolo è disponibile anche in versione podcast audio.

C’è una puntata della celebre serie distopica Black Mirror, intitolata Be Right Back (Torna da me nella versione italiana), nella quale una donna subisce la perdita drammatica del proprio partner in un incidente.

Al funerale, un’amica le parla di un servizio online che raccoglie tutte le informazioni pubblicate sui social network dal defunto e tutti i suoi messaggi vocali e video e da lì crea un avatar che sullo schermo dello smartphone parla esattamente come lui e ha il suo stesso aspetto.

Inizialmente inorridita, la donna rifiuta, ma poi… succedono cose che non racconto per non guastare la storia a chi non ha ancora visto questa puntata.

Dovrebbe essere chiaro a tutti che le storie di Black Mirror sono esempi di cosa non fare con la tecnologia, ma a quanto pare qualcuno ad Amazon ha scambiato questa serie per un manuale di istruzioni.

Pochi giorni fa, infatti, Rohit Prasad, capo ricercatore dell’intelligenza artificiale di Alexa, il celebre assistente vocale di Amazon, ha presentato in una conferenza pubblica una versione di Alexa che è in grado di imitare le voci delle persone, e l’esempio che fa sembra proprio preso di peso da Black Mirror.

“In questi tempi di pandemia perdurante” dice “così tanti di noi hanno perduto qualcuno che amiamo. Anche se l’intelligenza artificiale non può eliminare quel dolore della perdita, può certamente far durare i loro ricordi.”

A questo punto Prasad mostra un video nel quale un giovane ragazzo chiede ad Alexa di fare in modo che la nonna, che non c’è più, gli finisca di leggere Il Mago di Oz.

Alexa risponde “OK” con la sua solita voce, ma poi cambia tono e recita con la voce della nonna del ragazzo.

Il video è già posizionato al momento giusto, a 1:02:38.

Già così la cosa può evocare sentimenti contrastanti, ma quello che dice poi Prasad è ancora più inquietante: la voce della nonna è stata ricreata partendo da meno di un minuto di una sua conversazione. Non servono più ampi e lunghi campioni di voce registrati accuratamente in uno studio.

Si potrebbe discutere sull’impatto emotivo di questa nuova tecnologia e chiedersi se sentire per casa la voce di una persona amata che non c’è più, ricreata artificialmente da un programma, sia davvero una consolazione o una forma di prolugamento del dolore. Ma c’è una questione molto più concreta, che va affrontata subito, mentre questa capacità di imitazione non è ancora disponibile al pubblico: se è possibile imitare facilmente la voce di una persona in questo modo per ricrearne la presenza, allora è possibile farlo, per esempio, anche per sbloccare il suo smartphone bloccato dal riconoscimento vocale o per scavalcare le cosiddette password vocali usate da alcune banche e persino dal Fisco britannico, che fino a pochi anni fa chiedeva ai contribuenti di identificarsi al telefono dicendo la frase “my voice is my password”, ossia “la mia voce è la mia password”.

No, non funziona così. Se la tua voce la possono imitare tutti, la tua password è di tutti.

Il problema è che Amazon non è l’unica azienda in grado di replicare realisticamente la voce di una persona specifica, la potenza di calcolo e il campione audio necessari diventano sempre più piccoli, e non sembra esserci alcun modo di impedire a malintenzionati di registrare la nostra voce.

Forse è il caso di cominciare a smettere di usare sistemi di sicurezza basati sul riconoscimento vocale. E magari di passare del tempo a chiacchierare con la nonna, finché si può.

Fonti aggiuntive: Graham Cluley, Ars Technica, The Register.

2022/06/02

Alexa prega con te, ma solo se la paghi: occhio agli acquisti vocali

Questo articolo è disponibile anche in versione podcast.

Con tutti questi malware in giro, c’è quasi da dire le preghiere ogni volta che si sta per aprire un allegato. Il guaio è che in informatica anche la preghiera può nascondere un raggiro.

Lo sa bene Patricia Collinson, una devota ottantasettenne che vive a Hastings, nel Regno Unito, e si è trovata involontariamente al centro di un inganno informatico decisamente insolito. La figlia le ha regalato un assistente vocale, un altoparlante Alexa di Amazon, e la signora ha iniziato a usarlo con entusiasmo, soprattutto quando ha scoperto che poteva chiedere ad Alexa, semplicemente parlando, di recitare una preghiera con lei, specificamente l’Ave Maria.

Quasi tutte le mattine la signora Collinson si sedeva in poltrona e parlava ad Alexa come se fosse una persona, dicendole “Buongiorno Alexa, puoi recitare per favore l’Ave Maria?”, e Alexa eseguiva prontamente la richiesta.

Ma l’entusiasmo della signora è passato ben presto quando si è accorta, grazie alla figlia, che la solerte Alexa recitava l’Ave Maria solo per soldi. Infatti la signora, senza rendersene conto, si era abbonata a un servizio a pagamento semplicemente parlando ad Alexa.

La figlia, alla quale era intestato l’account di Alexa, se ne è accorta quando ha ricevuto una mail dalla ditta statunitense Catholic Prayers che la informava dell’attivazione di un abbonamento a pagamento sull’Alexa che lei aveva regalato alla madre. Due sterline al mese, quindi non certo un salasso, ma restava il problema che la signora Collinson aveva attivato un contratto di addebito permanente a un servizio semplicemente con la voce, senza nessuna delle normali conferme visive o cartacee che esistono negli acquisti normali.

Questa situazione potenzialmente ingannevole è stata confermata da Amazon al figlio della signora Collinson, che l’ha documentata per il giornale britannico The Guardian dove lavora: si possono fare acquisti a voce, ha confermato Amazon, “dicendo di sì a un messaggio di offerta di un prodotto, generato quando un cliente richiede direttamente il prodotto o quando il cliente risponde positivamente a un suggerimento proattivo all’interno della skill”. Le skill sono, in sostanza, l’equivalente vocale delle app.

[nel podcast qui c’è l’audio di Alexa che offre di acquistare a voce, tratto da Voice Technology di Alessio Pomaro]

La ditta Catholic Prayers, contattata, ha ipotizzato che la signora non si sia resa conto che Alexa la stava avvisando che il servizio di preghiera era a pagamento e abbia risposto di sì a questo avviso. La ditta, fra l’altro, dice di avere circa 10.000 utenti al mese. Viene da chiedersi se esistono davvero diecimila persone consapevolmente disposte a pagare due sterline al mese per farsi dire da un altoparlante una preghiera che possono sentire gratis (per esempio tramite l’assistente vocale di Google) o se si tratta almeno in parte di persone che sono cadute nello stesso equivoco della signora Collinson.

Dato che questi assistenti vocali vengono regalati sempre più spesso a persone che non hanno competenze informatiche e non sanno cosa sia una skill o che si possano generare degli addebiti semplicemente parlando, è importante che chi fa questi regali sia ben consapevole di queste funzioni, per evitare addebiti indesiderati, e sappia come disabilitarle.

Per impedire acquisti accidentali fatti a voce con un dispositivo Alexa si può entrare nell’account che lo gestisce e selezionare, nelle impostazioni, la sezione Acquisti tramite voce. Qui si può scegliere se disattivarla completamente oppure se proteggerla con un codice segreto di quattro cifre che dovrà essere detto ad Alexa per confermare l’intenzione di acquisto. In questo modo, solo chi conosce questo codice potrà fare acquisti. Ovviamente, se il codice viene detto in presenza di altre persone non sarà più segreto.

Viene da chiedersi quanti utenti di questi assistenti vocali siano a conoscenza di queste funzioni di acquisto automatico e sappiano come impostarle correttamente. Nel frattempo, Amazon segnala con entusiasmo sulle proprie pagine promozionali che ci sono sviluppatori che hanno guadagnato 25.000 dollari in soli sei mesi vendendo agli utenti Alexa la funzione che consente all’assistente vocale di dire “Buona notte” e una frase di conforto. E lasciando da parte un momento la questione degli addebiti non intenzionali, fa tristezza pensare che ci siano persone così sole da essere disposte a pagare per farsi dire una preghiera o la buonanotte da una macchina.

2021/09/30

Alexa, riconoscimento vocale offline in arrivo

Mentre mancano prove di un ascolto generalizzato delle nostre conversazioni da parte degli smartphone, sappiamo invece con certezza che parte delle nostre conversazioni viene carpita dagli assistenti vocali, come Alexa, Cortana, Siri o l’Assistente Google.

Il funzionamento di questi assistenti vocali, infatti, prevede esplicitamente che vengano registrati e trasmessi alle rispettive case produttrici tutti i suoni ambientali captati dai loro microfoni appena prima e appena dopo che è stata pronunciata la wake word o parola di attivazione (“Alexa” o “OK, Google”, eccetera): i comandi, infatti, vengono interpretati dai computer remoti di queste case produttrici, non dal dispositivo locale.

A volte questi assistenti credono di aver sentito la wake word quando in realtà è stato detto qualcos’altro e quindi può capitare che prendano degli spezzoni di conversazione privata e li mandino a Google, Amazon, Microsoft o Apple, dove possono essere archiviati e ascoltati da alcuni dipendenti di queste aziende (se la cosa non vi piace, potete chiedere l’eliminazione delle registrazioni). Ma a parte questi incidenti, non effettuano intercettazioni generalizzate e di massa.

Anche così, comprensibilmente molti utenti non vogliono correre il rischio di avere orecchie indiscrete in casa, per esempio nei momenti intimi o durante incontri professionali confidenziali, per cui rifiutano di installare Alexa e simili in casa o in ufficio.

Però un assistente vocale è spesso molto comodo. I problemi di riservatezza e sorveglianza sparirebbero ce ne fosse uno che fa il riconoscimento vocale in locale, senza mandare spezzoni della nostra voce a nessuno e cancellandoli automaticamente dal dispositivo dopo che sono stati usati. Amazon ha presentato proprio questa possibilità pochi giorni fa: sarà disponibile “prossimamente”, perlomeno per gli utenti statunitensi (video, a 00:4:50).

Purtroppo questa opzione riguarda soltanto i dispositivi più recenti di Amazon, dotati di processore AZ1 Neural Edge e quindi è disponibile soltanto sugli Echo di quarta generazione, sull’Echo Show 10 e sui dispositivi futuri. Non sarà disponibile sui dispositivi precedenti.

È comunque un buon segno: la privacy aumenta e in più i tempi di risposta diventano più brevi grazie al fatto che il riconoscimento dei comandi avviene localmente invece di dover registrare la voce e mandarla via Internet a computer remoti che poi restituiscono l’azione corrispondente.

Fonti aggiuntive: The Verge, Engadget.

2020/07/03

Mille parole che attivano per errore gli assistenti vocali e registrano le nostre voci

Ci sono oltre mille parole o sequenze di parole che possono attivare per errore gli assistenti vocali, come Siri, Google Assistant, Alexa o Cortana, e quindi mandare ad Apple, Google, Amazon o Microsoft spezzoni delle vostre conversazioni domestiche o sul luogo di lavoro.

Questo è il risultato di uno studio, intitolato Unacceptable, where is my privacy?, realizzato da un gruppo di ricercatori della Ruhr Universität Bochum e del Max Planck Institute for Security and Privacy, che dimostrano il fenomeno con una serie di video che mostrano attivazioni errate causate da dialoghi del Trono di Spade e di Modern Family: “a letter”, “We like some privacy” (ironico), “Hey Jerry”.

Fra le altre parole o frasi che causano attivazioni errate ci sono unacceptable e election (per Alexa), OK cool (per Google Assistant), a city (per Siri), Montana (per Cortana). Sarebbe interessante fare uno studio analogo per l’italiano e per altre lingue oltre all’inglese.

Il fenomeno in sé era già noto, ma la novità è la quantità di parole comuni che possono causare queste attivazioni impreviste: è talmente elevata che è necessario presumere che qualunque conversazione fatta in presenza di un assistente vocale non sia privata. L’unico modo per risolvere questo problema è spegnere o silenziare questi assistenti, o non possederli affatto. La ricerca include le istruzioni per riascoltare, o almeno cancellare, quello che è stato registrato dall’assistente vocale e trasmesso alla rispettiva azienda.

Fonte aggiuntiva: Ars Technica.

2020/04/10

Google e SpaceX vietano Zoom, dobbiamo preoccuparci? No, ma le burle abbondano

Google e SpaceX hanno avvisato i propri dipendenti che non dovranno più usare Zoom, l’applicazione per videoconferenze diventata improvvisamente popolarissima, a causa delle sue “vulnerabilità di sicurezza”. Lo stesso hanno fatto la NASA e l’intero stato di Singapore a livello scolastico, e anche altri paesi, come Taiwan e la Germania, hanno imposto restrizioni.

Il problema principale non è la sicurezza informatica in senso stretto, che comunque non è altissima ma sta migliorando in fretta ed è accettabile per riunioni non strettamente confidenziali: è la vulnerabilità ad attacchi fatti da disturbatori, facilitati dalle imprudenze degli utenti.

Infatti lo zoombombing, ossia l’incursione in audio e video di sconosciuti che interferiscono nella sessione, è diffuso, nonostante sia facilmente contrastabile mettendo una password di accesso e adottando la cosiddetta “anticamera” per accogliere i partecipanti. Zoom ha reso ora obbligatorie queste funzioni.

Ma anche così, gli informatici più dispettosi hanno scoperto come farsi scherzi a vicenda, tipo entrare legittimamente in una sessione di videoconferenza e poi dire “Ehi Google, raccontami una barzelletta” (o lo stesso con Alexa o con Siri) per attivare gli assistenti vocali incautamente lasciati attivi durante la sessione. Ricordatevi quindi di spegnere o mettere in “muto” questi dispositivi (compresa la versione su tablet e smartphone) prima di partecipare a incontri in video e di usare le cuffie invece dei sistemi vivavoce.

2020/03/27

Se lavorate da casa, spegnete gli altoparlanti “smart”. Potrebbero sentire troppo

Ultimo aggiornamento: 2020/03/27 14:00.

Molti in questi giorni si trovano a dover lavorare da casa, con telefonate e videoconferenze nelle quali scambiano informazioni confidenziali. Medici, avvocati, docenti e tante altre persone devono garantire, anche in condizioni straordinarie, la riservatezza delle comunicazioni.

A parte tenere un volume di voce non troppo alto in modo da non far sentire tutto anche ai vicini e tenere fuori dalla stanza partner e bambini, che sono precauzioni piuttosto ovvie, bisogna tenere presente anche un aspetto informatico: gli altoparlanti smart, come Amazon Echo (Alexa) o Google Home, o gli assistenti vocali come Google Assistant, Siri o Cortana.

Questi altoparlanti e assistenti, infatti, hanno un microfono che può attivarsi spontaneamente, senza che siano state pronunciate le parole di attivazione, e può quindi captare le conversazioni private e trasmetterle ad Amazon o Google, dove possono essere ascoltate dai dipendenti di queste aziende.

Le attivazioni non intenzionali capitano più spesso di quello che molti immaginano. Una ricerca della Northeastern University e dell’Imperial College di Londra indica che gli utenti attivano involontariamente i loro altoparlanti “smart” da una volta e mezza fino a 19 volte al giorno.

Il consiglio è quindi di mettere in muto, o scollegare dall’alimentazione elettrica, questi altoparlanti almeno in orario di lavoro se si fanno conversazioni sensibili. Gizmodo ha preparato una guida (in inglese) su come trovare e cancellare tutto quello che viene captato dagli assistenti digitali.

2020/03/06

Come violare uno smartphone usando un tavolo

Una ricerca intitolata SurfingAttack: Interactive Hidden Attack on Voice Assistants Using Ultrasonic Guided Waves descrive un attacco informatico decisamente originale e creativo: usare un tavolo per prendere il controllo di uno smartphone senza neppure toccarlo.

L’attacco funziona così: uno speciale dispositivo, un trasduttore piezoelettrico che costa una manciata di dollari, genera vibrazioni che l’orecchio umano non può sentire ma che, se il dispositivo è messo a contatto con una superficie sulla quale è appoggiato il telefonino, possono propagarsi attraverso il materiale della superficie e arrivare al microfono dello smartphone, che è più sensibile di un orecchio umano.

Queste vibrazioni producono suoni non udibili dagli utenti, che il microfono interpreta come comandi vocali rivolti all’assistente vocale (Siri, Hey Google, eccetera). Questi comandi possono essere usati per fare chiamate internazionali costosissime o captare il testo degli SMS di verifica per gli account.

L’altro ingrediente richiesto per questa trappola informatica è un microfono che capti le risposte dell’assistente vocale e le trasmetta all’aggressore.

Difendersi, per fortuna, è facile, se si sa che esiste questo genere di attacco: a parte disabilitare la funzione di ascolto costante e di attivazione automatica dell’assistente vocale, basta che sul tavolo ci sia una tovaglia spessa o che il telefono abbia una custodia un po’ massiccia.

2019/11/08

Cancellare la cronologia di un assistente vocale

Gli assistenti vocali memorizzano quello che diciamo loro: le nostre parole non svaniscono nel nulla ma vengono conservate. Sappiamo che questi assistenti spesso si attivano spontaneamente, senza che li abbiamo invocati, per cui spesso captano e registrano pezzi di conversazioni intime che non avevamo intenzione di condividere con Google, Apple, Amazon, Facebook o Microsoft.

Se volete riesaminare quello che hanno archiviato su di voi questi assistenti ed eventualmente cancellarlo, questo articolo di Gizmodo contiene le istruzioni dettagliate (in inglese, ma facilmente deducibili in italiano) su come procedere con quasi tutti questi assistenti vocali.

Per l’Assistente Google, per esempio, bisogna entrare nel proprio account Google visitando myaccount.google.com e cliccare su Dati e personalizzazione - Utilizza gestione attività.

Per riesaminare tutte le cose dette volontariamente o involontariamente all’Assistente, cliccate su Gestisci attività e poi su Filtra per data e prodotto. Scegliete Assistente e poi Applica.
In Utilizza gestione attività potete disattivare l’opzione Includi registrazioni vocali e audio per cancellare tutte le registrazioni vocali acquisite e cliccare su Gestisci attività e poi su Scegli di eliminare automaticamente. A questo punto potrete scegliere se eliminare tutto automaticamente dopo tre o diciotto mesi.

Invece per cancellare la cronologia vocale di Siri sui vari dispositivi (iPhone, iPad, iPod touch, Apple Watch, Apple TV, HomePod e Mac) bisogna seguire una procedura distinta per ogni singolo dispositivo.

Amazon Alexa, invece, è gestibile entrando nel proprio account Amazon, scegliendo Account e liste e poi Contenuti e dispositivi - Privacy di Alexa e Rivedi la cronologia voce. Scegliendo Intera cronologia come intervallo di date compare la possibilità di rivedere o eliminare tutto. Fra l’altro, esiste anche una scorciatoia: se si abilita in questa pagina l’opzione Abilita l'eliminazione tramite comando vocale, potete eliminare una registrazione dicendo "Alexa, elimina quello che ho appena detto" oppure eliminare tutte quelle del giorno dicendo "Alexa, elimina tutto quello che ho detto oggi."

Attivare un assistente vocale di nascosto con un laser

Siri, Alexa, Facebook Portal e Google Home, i popolari assistenti vocali, sono vulnerabili a un attacco che sembra preso di peso da un film di fantascienza: è sufficiente puntare un raggio laser modulato (anche invisibile, se negli infrarossi) su un punto preciso dei dispositivi che incorporano questi assistenti per prenderne il controllo e impartire comandi vocali silenziosi e potenzialmente pericolosi, come “acquista questo prodotto” oppure “spegni tutte le luci e sblocca la porta d’ingresso”.

Il punto preciso da colpire corrisponde ai microfoni incorporati in questi assistenti. Questi microfoni, realizzati in tecnologia MEMS (sta per Micro-ElectroMechanical Systems), sono misteriosamente sensibili alla luce laser.

I ricercatori, composti da esperti in Giappone (University of Electro-Communications, Tokyo) e presso la University of Michigan, hanno dimostrato di essere in grado di prendere il controllo di questi assistenti anche attraverso una finestra e persino stando in un altro edificio a 70 metri di distanza dal bersaglio.

L’attrezzatura necessaria non è particolarmente complicata o costosa, e l’unica difesa attualmente disponibile è piazzare i propri assistenti vocali lontano da qualunque finestra che dia sull’esterno. Oppure fare direttamente a meno di questi assistenti.

L’attacco è particolarmente interessante non solo per la sua modalità da film, ma anche perché scavalca uno dei limiti finora presenti negli attacchi informatici a questi dispositivi, ossia la necessità per il malfattore di introdursi in casa per poterli usare in modo improprio.

Gli assistenti vocali, infatti, sono concepiti per avere la massima facilità d’uso, per cui rispondono a qualunque voce e non chiedono quasi mai password di conferma prima di eseguire i comandi. Ma i loro microfoni hanno una portata che si limita al volume dell’abitazione, per cui normalmente questa assenza di protezioni non è un problema, salvo che il “malfattore” sia un membro della famiglia (un bambino, per esempio) oppure una persona invitata in casa.

Con questa tecnica, denominata Light Commands, questo limite non c’è più. I dettagli sono raccontati presso LightCommands.com.

Fonte aggiuntiva: Ars Technica.

2019/10/25

Come rubare password con Alexa o Google Home

Caso mai servissero altri promemoria che installarsi in casa o in ufficio un microfono aperto e connesso a Internet non è una buona idea in termini di sicurezza e privacy, gli esperti di Security Research Labs hanno creato una dimostrazione di come gli assistenti vocali Alexa di Amazon o Google Home possono essere manipolati per rubare password o altri dati personali ai loro utenti oppure per ascoltare le loro conversazioni.

Su questi dispositivi è possibile installare delle specie di app, chiamate skill per Alexa e Action per Google Home, che ne estendono le capacità.

In due video dimostrativi, gli esperti mostrano come è possibile ingannare gli utenti:

La vittima invoca, con un comando vocale, un’app di oroscopi (creata dai ricercatori). L’app risponde dicendo che il servizio non è disponibile nel paese dell’utente, e così l’utente pensa che l’app sia terminata. Ma in realtà l’app è ancora attiva, e nelle sue istruzioni c’è un silenzio di un minuto, inserito grazie a un difetto di programmazione: la sequenza di caratteri U+D801 - punto - spazio, che non è pronunciabile, viene “pronunciata” come silenzio.

Dopo il minuto di silenzio, che fa pensare all’utente ancora più chiaramente che l’app (skill/action) precedente sia finita, l’assistente vocale annuncia che è disponibile un aggiornamento del dispositivo e chiede di pronunciare la password dell’account per autorizzarne l’installazione.

Né Google né Alexa chiederebbero mai la password in questo modo, ma inevitabilmente ci sono tanti utenti che non lo sanno e quindi pensano che la richiesta sia assolutamente legittima.

Se l’utente cade nella trappola e dice la propria password, questa viene registrata dall’app ostile. I gestori dell’app possono a questo punto usare questa password per prendere il controllo dell’account Amazon o Google, con tutte le conseguenze del caso.

2019/08/02

Quanto sono intimi i dettagli raccolti da Siri e ascoltati dai dipendenti Apple? Molto

Una indagine del giornale britannico The Guardian rivela quanto è vasta la rete delle persone che ascoltano quello che gli utenti di dispositivi Apple dicono a Siri, l‘assistente vocale dell’azienda: non si tratta solo di dipendenti Apple, ma anche di dipendenti di società collegate, che lavorano al controllo qualità per verificare che Siri capisca correttamente le richieste vocali. Tanta gente, e come sempre quando tante persone devono tenere un segreto, il segreto finisce a spasso.

Uno di questi dipendenti, riferisce il Guardian, ha lanciato l’allerta: Siri si attiva spessissimo anche quando l’utente non vuole interrogare questo assistente vocale. Lo fa, per esempio, ogni volta che un utente alza il polso sul quale indossa un Apple Watch: se il dispositivo sente delle voci, quelle voci vengono mandate ad Apple, che l’utente lo voglia o no. I principali colpevoli di queste attivazioni accidentali sono il Watch e l’altoparlante smart HomePod.

Il risultato è che anche se Apple anonimizza le registrazioni dissociandole dagli altri dati che raccoglie dall’utente, non è difficile identificare chi parla: basta per esempio che qualcuno dica il nome e cognome, suo o di altri, o un indirizzo, e addio anonimizzazione.

I dipendenti e subappaltatori di Apple, secondo il whistleblower intervistato dal Guardian, sentono regolarmente informazioni mediche confidenziali (conversazioni fra medici e pazienti), transazioni di spaccio di stupefacenti, e attività amorose intime. E la selezione di questo personale è spesso molto sommaria: “Non ci sono particolari controlli di affidabilità di chi ci lavora... e il ricambio è elevato.” Ma Apple, nella sua pagina sulla privacy, non spiega che ci sono suoi dipendenti, e dipendenti di aziende terze, che ascoltano quanto captato dall’assistente vocale.

L’unica opzione salvaprivacy per gli utenti Apple è disabilitare Siri: su smartphone e tablet, si va in Impostazioni - Siri e Cerca, e si disattiva Abilita “Ehi Siri” e Usa Siri quando bloccato.

2019/08/02 13:25. Poco dopo la pubblicazione iniziale di questo articolo è arrivata la notizia che Apple, come Google, ha sospeso l’ascolto da parte dei dipendenti.

Google smetterà di origliare le registrazioni di Assistant. Ma solo per tre mesi

The Verge segnala che il Commissario tedesco per la protezione dei dati ha annunciato che ha avviato una procedura amministrativa contro Google e ha ordinato all’azienda di smettere di dare ai dipendenti e ai collaboratori esterni le registrazioni delle voci degli utenti captate dai dispositivi dotati di Google Assistant, come gli altoparlanti smart e gli smartphone. Si tratta solo di una pausa temporanea di tre mesi, ma vale per tutti i paesi dell’Unione Europea.

Molti utenti pensano che questi dispositivi facciano riconoscimento vocale senza alcun intervento umano, ed è così: ma questo non vuol dire che quello che viene ascoltato dai microfoni di Google Home e simili non sia ascoltato da nessuno. Infatti un campione di queste registrazioni viene ascoltato da dipendenti di Google e di altre aziende collegate, allo scopo di verificare che il sistema automatico abbia capito correttamente quello che ha ascoltato.

Questo fatto è descritto da Google in un documento pubblico, ma non è noto a molti, e gli esperti hanno dimostrato che da queste registrazioni è possibile ricavare “informazioni personali -- alcune delle quali sensibili - nella sfera privata e intima delle persone” e che “una parte non trascurabile delle registrazioni viene prodotta da attivazioni improprie”, ossia dal fatto che i dispositivi credono di aver sentito qualcosa che somiglia alla parola di attivazione e quindi si mettono a registrare e a trasmettere la registrazione a Google.

Il Commissario scrive inoltre che “l’uso di assistenti vocali automatici di fornitori come Google, Apple e Amazon si sta dimostrando molto rischioso per la privacy delle persone interessate. Questo vale non solo per le persone che usano un assistente vocale, ma anche per tutte le persone che vi entrano in contatto, per esempio se vivono in una casa in cui sono installati dispositivi come Google Assistant.” Oppure, aggiungo io, se visitano una casa nella quale è installato uno di questi dispositivi.

2019/07/05

Amazon conferma che non cancella tutto quello che dite ad Alexa. Neanche se glielo chiedete

Alexa, l’assistente vocale di Amazon, non cancella tutte le cose che registra, neppure quando l’utente glielo chiede (con comandi come “Alexa, cancella quello che ho appena detto” oppure “Alexa, cancella tutto quello che ho detto oggi”).

Lo segnala Gizmodo, citando una lettera pubblica del vicepresidente per le politiche pubbliche di Amazon, Brian Huseman, che dice che le trascrizioni automatiche di quello che è stato detto dagli utenti non sempre vengono eliminate. Amazon, dice la lettera, può decidere di conservare questi dati nonostante le richieste di cancellazione delle registrazioni degli utenti se includono per esempio richieste di abbonamento, ordini di pizza, acquisti online, impostazioni di sveglie, o messaggi agli amici.

Huseman spiega che Amazon conserva queste trascrizioni perché, dice, “i clienti non vorrebbero e non si aspetterebbero che la cancellazione della registrazione vocale cancellasse anche i dati di contorno o impedisse ad Alexa di svolgere il compito richiesto.”

Meglio tenerne conto, se usate questo genere di dispositivo: separate i vostri ordini dalle altre cose che dite in casa, sperando che Amazon le archivi altrettanto separatamente e quindi cancelli eventuali conversazioni confidenziali captate dai sensibilissimi microfoni di Alexa.

2019/04/26

Quanta gente può consultare quello che si dice ad Alexa?

Torno a parlare di assistenti vocali e in particolare di Alexa, dopo le segnalazioni di problemi di privacy di un paio di settimane fa, per un aggiornamento.

Dalle indagini di Bloomberg è emerso infatti che non solo presso Amazon ci sono molti dipendenti che ascoltano quello che viene captato dal microfono di questi dispositivi, ma che questi dipendenti possono facilmente scoprire gli indirizzi di casa delle persone che si trovano a dover origliare per lavoro e potevano anche scoprirne facilmente i numeri di telefono.

Amazon ha confermato, precisando però che questo genere di accesso è dato a “un numero limitato” di dipendenti che usano “un campione molto piccolo di interazioni” per migliorare il sistema di riconoscimento vocale. Non è chiaro cosa si intenda per “limitato” e “molto piccolo”, considerato che Amazon ha oltre 600.000 dipendenti e sono stati venduti oltre 100 milioni di dispositivi Alexa.

Non è il caso di fare i complottisti paranoici, come Alex Jones che chiede ad Alexa se è collegata alla CIA:

I'm crying laughing...
"Alexa... are you connected to the CIA?"
"Alexa... you are lying to me." - Alex Jones' hard hitting back and forth interview with an Amazon Echo.
He's not gonna let it get away with ANYTHING. pic.twitter.com/GxguDBLMST
— Tim Young (@TimRunsHisMouth) December 9, 2017

Tuttavia è importante rendersi conto che una conversazione fatta in un ambiente nel quale è attivo un dispositivo Alexa non può essere considerata realmente privata, perché a volte Alexa crede di aver sentito la parola di attivazione quando non è stata pronunciata e quindi inizia a registrare quando non dovrebbe. Qualunque assistente vocale attivato dalla voce tenderà a raccattare spezzoni di parlato non indirizzati ad esso: è un difetto inevitabile di questa tecnologia.

È altrettanto importante capire che la sensazione di intimità e riservatezza generata dalla voce suadente di questi dispositivi è ingannevole: chiunque abbia accesso all’account Amazon di una persona può infatti leggere e riascoltare tutte le domande fatte ad Alexa da quella persona. Genitori e figli, per esempio, potrebbero scoprire cose che preferirebbero non sapere gli uni degli altri. Lo stesso vale per le coppie.

Chi volesse ispezionare la propria cronologia delle richieste ad Alexa può andare a www.amazon.it/alexaprivacy e scegliere Rivedi la cronologia voce, come ho fatto io nello screenshot all’inizio di questo articolo. Raccomando inoltre di leggere con cura le Condizioni d’uso di Alexa e le altre informative di privacy del servizio: ma soprattutto di prendere la sana abitudine di galateo di spegnere i microfoni di Alexa con l’apposito pulsante, o scollegare il dispositivo dall’alimentazione, se arrivano ospiti o se si prevede di fare conversazioni intime: voi potreste non avere nulla da nascondere, ma magari il vostro interlocutore ha qualcosa da proteggere.

Perché alla fine questi assistenti vocali sono, in sostanza, microfoni che ci piazziamo in casa o in ufficio e sulla cui attivazione non abbiamo l’ultima parola (per parafrasare Jeremy Gillula, Electronic Frontier Foundation, citato da Gizmodo).

2019/04/12

Se Amazon origlia, cosa fanno Google e Siri?

Se state pensando che Google potrebbe ascoltarvi come fa Amazon con il suo assistente vocale Alexa, avete indovinato. Come spiega Bloomberg, alcuni revisori possono accedere a spezzoni audio dell’Assistente Google per addestrarlo e migliorarlo, ma gli spezzoni non sono associati a informazioni personalmente identificabili e l’audio viene distorto, stando alle dichiarazioni di Google.

Se volete gestire le registrazioni vocali di Google, potete consultare le apposite istruzioni, che consentono di eliminare una singola registrazione audio oppure eliminarle tutte.

Anche Siri usa assistenti in carne ossa per verificare che questo assistente vocale abbia capito correttamente le intenzioni dell’utente. Come per Google, le registrazioni ascoltate non contengono informazioni personalmente identificabili e vengono conservate per sei mesi, tenendole associate a un identificativo generato a caso; passati i sei mesi, i dati vengono privati dell’identificativo casuale e possono essere conservati più a lungo per migliorare il riconoscimento vocale di Siri.

Apple non consente all’utente di esaminare le proprie registrazioni o di eliminarle in modo interattivo. Tuttavia è possibile far scorrere verso il basso la schermata “Come posso aiutarti?” di Siri per rivedere le richieste vocali più recenti. Inoltre andando in Impostazioni - Siri e Cerca e toccando Chiedi a Siri e privacy compare un’informativa che include questo suggerimento per cancellare completamente la propria cronologia di richieste vocali:

Puoi scegliere di disattivare Siri o Dettatura in qualsiasi momento. Per disattivare Siri, apri Impostazioni > Siri e Cerca, quindi disattiva le opzioni “Abilita Ehi Siri” e “Premi il tasto Home per Siri” o “Premi il tasto laterale per Siri”. Per disattivare Dettatura, apri Impostazioni > Generali > Tastiera, quindi disattiva “Abilita dettatura”. Se disattivi sia Siri che Dettatura, Apple cancellerà i tuoi dati utente, così come dati di input vocale recenti. I dati di input vocale meno recenti che sono stati dissociati potrebbero essere conservati per certo un periodo di tempo per migliorare le funzionalità generali di Siri, di Dettatura e della dettatura in altri prodotti e servizi Apple. Tali dati di input vocale possono includere file audio e trascrizioni di ciò che hai detto, dati diagnostici correlati, quali le specifiche hardware e del sistema operativo e le statistiche sulle prestazioni e la posizione approssimativa del dispositivo al momento della richiesta.

Quello che dite ad Alexa può essere ascoltato da dipendenti di Amazon

Se pensavate che le cose che dite ad Alexa, l’assistente vocale di Amazon, fossero private perché ascoltate soltanto da sistemi automatici per decifrarle e trasformarle in comandi e poi buttate via, ho una brutta notizia. Bloomberg ha scoperto che Amazon ha incaricato diverse migliaia di persone, sparse per il mondo, di ascoltare le voci degli utenti di Alexa, e le cose che dite vengono conservate.

Lo scopo di questo ascolto da parte di addetti di Amazon è migliorare il riconoscimento vocale di Alexa, ma questi addetti spesso captano registrazioni di momenti intimi e condividono gli spezzoni audio più divertenti. Comunque sia, ora sappiamo per certo che qualcuno origlia le cose captate dai microfoni di Alexa.

Amazon ha replicato alla scoperta di Bloomberg dicendo che questi dipendenti ascoltatori non hanno accesso a informazioni identificative e che ci sono numerose salvaguardie contro gli abusi. Ma è anche vero che Amazon non dice esplicitamente, nel suo materiale promozionale, che le conversazioni con Alexa possono essere ascoltate da suoi dipendenti.

Inoltre questi assistenti vocali, che in teoria dovrebbero registrare e decifrare solo dopo che hanno sentito la parola di attivazione (Alexa o Echo, di solito), in realtà si attivano anche per gli omofoni. Per esempio, in francese avec sa viene spesso frainteso come comando di attivazione. Il risultato è che spezzoni di conversazioni private, fatte senza invocare Alexa, finiscono negli archivi di Amazon.

Se volete un esempio di conversazione privata:

Ne ho uno in camera da letto, luogo dove entro solo io. In un ambiente comune come la sala non lo metterei mai. Lo uso prevalentemente per ascoltare musica, radio, podcast e info varie. Quando non sono in casa lo spengo.
A parte buttarlo via, quali altre accortezze suggeriresti?
— Deejay Raf (@DjRaf) 6 aprile 2019

Non portarci mai il tuo partner amoroso. Specialmente se si chiama Alessia :-)
— Paolo Attivissimo (@disinformatico) 6 aprile 2019

LOL! Tu scherzi, ma ci hai preso in pieno: mi è successo proprio con una Alessia... rispondevano entrambe.
— Deejay Raf (@DjRaf) 6 aprile 2019

Se volete controllare che cosa ha registrato Alexa su di voi, e magari cancellarlo, potete farlo dall’app Alexa andando in Impostazioni - Account Alexa - Privacy Alexa o dalla pagina Web www.amazon.it/alexaprivacy.

Se invece volete evitare che i dipendenti di Amazon ascoltino quello che dite ad Alexa, andate all’app di Alexa sul vostro telefono, toccate il menu in alto a sinistra, scegliete Account Alexa e Privacy Alexa, scegliete Gestisci il modo in cui i tuoi dati migliorano Alexa e poi disattivate il pulsante accanto ad Aiuta a sviluppare nuove funzionalità.

Fonte aggiuntiva: The Register.

2018/12/21

Alexa, voci captate in casa e inviate a uno sconosciuto

Amazon Echo, l’assistente vocale che risponde al nome di Alexa, è sostanzialmente un microfono sempre aperto e connesso a Internet. Forse è il caso di pensarci prima di comperarlo. Perché a volte quello che viene detto in casa viene captato e trasmesso a uno sconosciuto.

È successo a un cittadino tedesco, che ha chiesto ad Amazon di ricevere i dati riguardanti la sua attività presso questo negozio online e ha ricevuto 1700 registrazioni audio di comandi impartiti ad Alexa. Un risultato sorprendente, visto che non possiede un Echo.

Amazon gli aveva infatti inviato le registrazioni di qualcun altro. Il cittadino ha avvisato Amazon, che non gli ha risposto, però ha reso inattivo il link dal quale erano scaricabili le registrazioni.

I giornalisti di Heise.de le hanno ascoltate e sono stati in grado di “ricostruire un quadro dettagliato del cliente in questione e delle sue abitudini personali. Era ovvio che il ‘Cliente X’ usava Alexa in più di un posto. Aveva almeno un Echo in casa e ha un dispositivo Fire, comandato a voce, collegato alla sua TV. Anche una voce femminile si rivolgeva ad Alexa, e quindi c’era evidentemente una donna almeno per parte del tempo.”

Prosegue Heise: “Alexa era chiaramente in grado di sentire il nostro ‘soggetto’ nella doccia e i comandi dati a termostati e simili ci hanno mostrato che usa Alexa per comandare vari apparecchi smart di casa. Usa Alexa a casa, sul suo smartphone, e quando è in giro [...] siamo stati in grado di esplorare la vita privata di uno sconosciuto senza che lui lo sapesse [...] gli allarmi, i comandi Spotify, le richieste di informazioni sui trasporti pubblici incluse nei dati hanno rivelato molto sulle abitudini personali, il lavoro e i gusti musicali delle vittime. Usando questi file, è stato piuttosto facile identificare la persona e la sua compagna.”

Vi lascio leggere il resto della storia presso Heise.de. È molto interessante il modo in cui Amazon ha minimizzato e ha gestito il problema, prendendosi il merito di averlo scoperto, dicendo che si è trattato di “errore umano” ed evitando di contattare la persona di cui aveva inviato ad altri le registrazioni fino al momento in cui ne ha parlato Heise.de.

Se avete Alexa e volete riesaminare quello che ha registrato, potete visitare amazon.de/alexaprivacy (o il link equivalente del vostro account Amazon).

2018/06/15

Violare un computer con la voce? Con Windows 10 si può

Se usate Windows 10, vi conviene aggiornarlo: Microsoft ha rilasciato un aggiornamento correttivo che risolve una cinquantina di vulnerabilità, undici delle quali sono state classificate come “critiche”.

La più spettacolare riguarda Cortana, l’assistente vocale integrato in Windows 10, che ha un difetto grazie al quale un aggressore può sbloccare un computer non aggiornato quando è protetto dalla schermata di blocco. Lo sblocco avviene semplicemente dandogli un comando a voce.

La falla, denominata CVE-2018-8140, è utilizzabile per esempio per cambiare la password di accesso a un computer, per accedere ai dati presenti nel computer o per eseguire un malware con pieni privilegi. Dopo che l’utente (o l’aggressore) ha pronunciato la frase di attivazione “Ehi Cortana”, infatti, Windows 10 gli permette di digitare in una casella di ricerca. Questa casella accetta varie parole chiave, come pas (l’inizio di password), e risponde fornendo informazioni che riguardano quello che è stato digitato: per esempio l’ubicazione di un file di password.

In alternativa l’aggressore può fare clic destro per far comparire un menu che include varie opzioni pericolose, come “esegui come Amministratore” oppure “esegui con PowerShell” (la shell di comando testuale di Microsoft).

Su Bleepingcomputer trovate un video di dimostrazione di un attacco che sfrutta questa vulnerabilità vocale. Presso McAfee trovate tutti i dettagli degli altri modi molto creativi nei quali questo attacco può essere messo a segno.

Naturalmente questa falla è sfruttabile soltanto da un aggressore che si trovi fisicamente vicino al vostro computer e libero di agire (e a quel punto la partita è ormai già quasi persa); una situazione che può capitare abbastanza facilmente in ufficio, quando si lascia il PC incustodito perché tanto ci pensa la schermata di blocco a proteggerlo.

Aggiornate il vostro PC, insomma, e se non usate Cortana, disabilitate questo assistente vocale.

Cerca nel blog