Sicherheit von Alexa

Goggo16 · Fr 29. Dez 2017, 10:26

Hi,

bin auch so ein IT-Sicherheits-Maniac, und war lange sehr skeptisch, bevor ich mir eine Alexa angeschafft habe.

Hatte dann im Fruehjahr, bevor ich mir den Dot gekauft hatte, irgendwo im Netz einen plausiblen (!) Beitrag gefunden, dass Alexa nur nach dem Wake-up-Word (oder wie auch immer das genannt wird) die dann aufgezeichneten Worte nach Hause zum auswerten sendet. Man hatte ueber mehrere Stunden die Paketmitschnitte (per Wireshark) überwacht und kein weiteres, unerkanntes nach-hause-telefonieren.

Abgesehen davon halte ich viele dieser pseudo-kritischen Diskussionen von "Freunden und Bekannten" für Technik-Populismus. Es wird mit ausgeprägtem Halbwissen argumentiert, was für Unwissende schon mal eindrucksvoll sein mag. "Klingt halt gut und passt halt gut in den Zeitgeist."

Wie Robin.h schon weiter oben sehr trefflich anmerkte, sollten diejenigen Kritiker&Berater erst mal ihr Handy abschalten. Das traegt man immer am Mann (oder der Frau), liegt in der Kneippe nicht selten auf dem Tisch, oder ist in der Jackentasche. Beste Voraussetzungen, auch mal politisch unkorrektes abzuhoeren. Aber wer bitte legt denn seine Hand fuer Android oder Apple ins Feuer, dass da nicht gelegentlich geheim abgehoert wird? Keiner! Eben! Vielleicht hat sogar der ein oder andere dieser Kritiker auch schon mal ne App aus "unsicherer Quelle" installiert. Hmmmm ... noch Fragen?

OK, just my two cents.

Allerdings - wo ich mir persoenlich erst mal ne Grenze gesetzt habe, ist bei speziellen Alexa-Skills (Logitech, IFTTT, etc) noch eine weitere Website zu autorisieren, die dann mit der Amazon-Cloud zusammen spielen. Das geht auch mir dann etwas zu weit, bzw. kann u.U. zu einem zu hohen Sicherheitsrisiko führen, wenn die "Drittseite" es mit der IT-Sicherheit nicht so ganz genau nimmt.

LG, Goggo

robin.h · Fr 29. Dez 2017, 14:48

WaJoWi hat geschrieben: ↑
Fr 29. Dez 2017, 09:49
Allerdings funktionieren die Echos auch ganz hervorragend, wenn man ihnen den Zugang zu device-metrics-us.amazon.com sperrt. Überhaupt bauen die Echos so einige (scheinbar) unnötige Verbindungen auf. Zum Beispiel auch nach www.example.org|.net|.com. Das erfolgt alle 5 Minuten an alle drei Domains (sowohl IPv4 als auch IPv6). Scheinbar nur um zu testen ob der Internetzugang vorhanden ist. Aber sechs Anfragen? Alle acht Stunden wird eine Verbindung nach api.amazonalexa.com aufgebaut. Und unregelmäßig nach dcape-na.amazon.com. Und noch ein paar andere Zieladressen. Die haben alle nichts mit der eigentlichen Alexa-Kommunikation zu tun.

Die Echos verursachen so doch einiges an Netzwerkverkehr auch wenn sie "inaktiv" sind. Und jeder unterschiedlich. Es sind nicht alle gleich. Da würde mich eine Erklärung schon interessieren...

Wie gesagt, schau dir mal an, was andere Geräte absetzen, die externen Servern hängen...

Es wird ja nicht nur geschaut, ob die Leitungen und Ports offen sind, gerade die example Domains sind ja "Beispieldomains"... des Weiteren werden Zeiten synchronisiert, es wird nach Updates gesucht, usw.

https://www.iot-tests.org/2017/06/carel ... lent-mode/ zum Thema

WaJoWi · Fr 29. Dez 2017, 17:50

Danke für den Link. Allerdings sagt der Artikel auch nichts anderes aus als ich schon geschrieben habe. Es werden unzählige Verbindungen aufgebaut und niemand kann sagen wozu und was übertragen wird. Anhand der geringen Transferdaten kann man aber davon ausgehen, dass keine Aufzeichnungen (außer der gewollten) an Amazon gehen. Aber es können durchaus andere relevante (und private) Daten ungewollt übertragen werden.

Nicht falsch verstehen - ich male nicht den Teufel an die Wand und weiß auch, dass es weitaus sicherheitskritischere Hardware gibt. Doch es bleiben so einige Fragen offen deren Antwort mich schon alleine aus technischem Interesse interessieren würde.

Der_Dedl · Sa 30. Dez 2017, 09:26

Hallo,
ich bin eigentlich auch so ein wenig Sicherheitsfanatiker, allerdings vertraue ich in dieser Beziehung auf Amazon. Nicht weil sie so toll sind, sondern weil sie so groß sind. Die können sich keine linken Dinger erlauben, irgendjemand würde dahinter kommen.

Wo ich mir allerdings meine Gedanken machen, ist bei diesen ganzen China-WLan-Steckdosen.
Jede Marke erfordert die Installation einer App. In die App muss man gezwungenermaßen seinen WLan Key eingeben, die Steckdose braucht diesen ja. Aber ob die App sonst noch was mit dem Key macht, weiß man nicht! Vor allem wollen die Apps alle noch Zugriff auf den eigenen Standort! Ohne gehts nicht! ( meine Beispiele: Kasa von TP-Link, eWeLink für Sonoff)
Und damit ließe sich schön eine flächendeckende Datenbank mit zugriffsbereiten WLans aufbauen.
Hat die Apps daraufhin eigentlich schon mal jemand gecheckt?
Gruß
Der Dedl

Goggo16 · Sa 30. Dez 2017, 17:53

Hi,

vielleicht noch ein Tipp: Im Zweifel installiere sich ein Pi-Hole System. Das ist eine Werbeblocker-Appliance, die auf einem Raspberry läuft. Wirkt im ganzen LAN zu hause. Zeichnet auch auf, wann welches Geraet wohin "telefoniert" hat.

Ist einfach einzurichten für Leute, die halbwegs etwas mit ner Fritzbox anzufangen wissen.

Hab gerade mal auf die Schnelle geschaut. Alexa macht viele NTP-Calls, also um die Zeit zu synchronisieren. Sonst noch einiges, aber alles in die Amazon-Domain. Dann ist da noch ne andere URL. Die muss ich mir mal genauer anschauen. So einige Nach-Hause-Telefonier-Versuche von Alexa werden von Pi-Hole standardmaessig geblockt. Scheint kein Problem fuer Alexa zu sein.

LG, Goggo

WaJoWi · So 31. Dez 2017, 16:36

Goggo16 hat geschrieben: ↑
Sa 30. Dez 2017, 17:53
Pi-Hole

Woher denkst du, habe ich meine Infos?

Neben Pi-Hole läuft auf meinem RasPi noch Pimatic. In Verbindung mit einem 433 Mhz Sender- / Empfänger (über einen Arduino) und den Echos kann man da sein Heim zu einem Großteil automatisieren (zu relativ günstigen Kosten). Einen ntp-Server lasse ich auch auf dem Pi laufen. Damit gleichen die Geräte im Heimnetz ihre Zeit lokal ab.

Über die Netzwerkaktivitäten des Echo findet man auch hier interessantes: https://www.vnutz.com/articles/Idle_Net ... mazon_Echo

cyberandi · Mo 1. Jan 2018, 02:12

WaJoWi hat geschrieben: ↑
So 31. Dez 2017, 16:36

Goggo16 hat geschrieben: ↑
Sa 30. Dez 2017, 17:53
Pi-Hole
Woher denkst du, habe ich meine Infos?

Neben Pi-Hole läuft auf meinem RasPi noch Pimatic. In Verbindung mit einem 433 Mhz Sender- / Empfänger (über einen Arduino) und den Echos kann man da sein Heim zu einem Großteil automatisieren (zu relativ günstigen Kosten). Einen ntp-Server lasse ich auch auf dem Pi laufen. Damit gleichen die Geräte im Heimnetz ihre Zeit lokal ab.

Über die Netzwerkaktivitäten des Echo findet man auch hier interessantes: https://www.vnutz.com/articles/Idle_Net ... mazon_Echo

Brauche ich doch alles nicht, geht doch alles mit jedem Router. Bei der FRITZBox geht dieser URL-Filter etwas eingeschränkt aber es funktioniert. Bei anderen Herstellern kann man teilweise sogar für jede Zone (LAN, DMZ, Gast) bzw. jede Mac-Adresse einen eigenen URL-Filter hinterlegen. Damit Sperre ich bei meiner FRITZBox seit über 10 Jahren alle großen Werbeportale (Google, MSN, Amazon, Burda Media, Heise, Intellitxt, altinate usw.) gleichzeitig habe ich auch eine Sperre für gefährliche Top-Level-Domains ala .ru, .ro, usw. und den ganzen Sex-Saukram.. Zum Sniffen benutze ich auch die FRITZBox. Außer dem Microsoft-Defender benutze ich keinen Virenscanner und habe meine Mail-Programme bzw. App so eingestellt, daß ich erst mal alles als „nur Text“ erhalte. Habe in meiner über 30 jährigem IT-Zeit gerade mal 2 Viren gehabt, einer kam von INTEL im BIOS und eine Maleware war von Lenovo. Selbst in meiner Arbeit bei über 400 Arbeitzplätzen und 30 Servern hatte ich nur einen wirklich gravierenden Virenvorfall welcher durch einen unvorsichtigen Mitarbeiter unseres Mutterkonzern eingeschleust wurde und ich ihn beim ersten Kontakt, mit einen der Rechnern welche in meiner Verantwortung waren, sofort per Remotconsole einen Alarm auslöste und ich diesen in die Karantäne schob und später konnte ich ihn ohne Datenverlust löschen.

annedecke · Mo 1. Jan 2018, 10:06

Bin kein extremer Sicherheitsfanatiker, da ich meine, dass ich nichts zu verbergen habe

Aber ich treibe mich auf wirklich ALLEN möglichen Seiten rum, da ich auch extrem neugierig bin.
Dafür nutze ich keinen speziellen Laptop, aber einen auf dem sonst nix drauf ist. Aber auch so habe ich mir (auch in 30 Jahren) noch nie irgendwas eingefangen. Mittlerweile kann man ja auch ganz easy virtuelle Maschinen nutzen (mit sehr guter Performance) die das alles noch einfacher machen.
Aber egal.
Spaßeshalber habe ich 3 DOT 30 Stunden lang mit verschiedenen Hörbüchern (Aktivierungsworte: alle ausser Computer) versorgt. Ein einziges Mal hat er dabei regiert und ein paar Worte (bei ECHO) aufgezeichnet. Interessant ist auch Mr.Robot (Staffel 2 zum Ende hin) . Da redet eine FBI Agentin mit ALEXA. Auch hier ist die Reaktion schwach. Das Mikro geht an, aber es findet keine Interaktion statt.
Bei ausgeschaltetem Mikro läuft nix ausser den oben beschriebene Sachen (NTP etc.)
Wer aber Schiss hat, der soll einfach den Stecker ziehen wenn er meint, dass ein Thema zu kritsch ist. Ich habe einen PLUS, einen Echo und mehrere Dots im Einsatz, die via Steckdose sich abschalten. Einzig ein DOT (in einem Nebenraum) bleibt standyby und kann bei Bedarf die anderen wieder einschalten. Simpel aber funktionell

Goggo16 · Mo 1. Jan 2018, 13:44

Hi WaJoWi,

ja, passt schon.

WaJoWi hat geschrieben: ↑
So 31. Dez 2017, 16:36
Über die Netzwerkaktivitäten des Echo findet man auch hier interessantes: https://www.vnutz.com/articles/Idle_Net ... mazon_Echo

Der Artikel zeigt ein paar interessante Details. Deckt sich grob mit meinen Beobachtungen. Was Alexa aber so viel mit "pins.amazon.com" zu tun hat, hat sich mir noch nicht erschlossen. Ist das vielleicht irgend eine Autorisierungsinstanz? Aber warum dann ein so verhaeltnismaessig hohes Datenvolumen?

Was mit Pi-Hole allerdings nicht erfasst wird, sind Anfragen an "hard-coded" IP-Adressen - wenn es denn welche geben sollte. Da hilft wohl nur WireShark am Router oder an entsprechend anderer Stelle.

LG, Goggo

WaJoWi · Mo 1. Jan 2018, 14:59

cyberandi hat geschrieben: ↑
Mo 1. Jan 2018, 02:12
Brauche ich doch alles nicht, geht doch alles mit jedem Router. Bei der FRITZBox geht dieser URL-Filter etwas eingeschränkt aber es funktioniert.

Natürlich geht das auch. Bei meinem Asus mit Tomato sogar noch weit umfangreicher. Aber Pi Hole macht das automatisch und blockt so bei mir aktuell 107.129 Adressen. Wenn man die alle in seine Blacklist am Router einpflegen will, hat man eine Weile was zu tun.

Wenn man also sowieso einen Raspberry Pi im Netzwerk laufen hat, bietet sich das an und erspart so einiges an Traffic. Zudem erhält man interessante Infos über die Aktivitäten seiner Hardware.

Sicherheit von Alexa

Wer ist online?

Anmelden • Registrieren

Mitglied werden