Amazon Echo Dot não permite apagar tudo sobre você, aponta pesquisa

As caixas de som inteligentes Amazon Echo Dot não permitem remover todos os dados sobre usuários, mesmo após reset de fábrica. É o que dizem pesquisadores da Northeastern University, localizada em Boston, nos EUA. O estudo aponta que os speakers retêm informações suficientes na memória flash interna para reconstruir dados que vão desde credenciais de redes Wi-Fi e dispositivos conectados. O processo levaria ainda ao nome da conta de antigos usuários na Amazon em uma simples pergunta à Alexa e mesmo a chaves de criptografia.

Vale ressaltar que, para isso, seria necessário ter acesso físico ao aparelho, além de conhecimento técnico e hardware específico para acessar o conteúdo. Ao site , a empresa admitiu os problemas e afirmou que trabalha em correções.

Review Amazon Echo Dot: opção simples para transformar sua casa em smart

1 de 4 Dados do usuário persistem na memória interna da Echo Dot, mesmo depois de um reset de fábrica; entenda o caso — Foto: Yuri Hildebrand/TechTudo

Dados do usuário persistem na memória interna da Echo Dot, mesmo depois de um reset de fábrica; entenda o caso — Foto: Yuri Hildebrand/TechTudo

A equipe de especialistas realizou a pesquisa adquirindo um total de 86 dispositivos Echo Dot de segunda mão em espaços como eBay e lojas físicas ao longo de 16 meses, descobrindo que 61% foram colocados à venda sem nenhum tipo de reset. Ou seja: o antigo proprietário ignorou a recomendação de reiniciar o aparelho às configurações de fábrica.

Além desses produtos, seis Echo Dot novas foram compradas e preparadas com contas teste e dados reais. A intenção dos pesquisadores foi usar essas unidades como grupo de controle, testando suas técnicas de extração de dados nas caixas usadas e conferindo para ver se elas funcionavam também nas novas, gerando resultados reais e consistentes.

Se surpreende que 61% tenha simplesmente esquecido de reiniciar o dispositivo para configurações de fábrica antes da revenda, chama ainda mais atenção o fato de que quem teve esse cuidado não estaria 100% seguro. Isso porque, usando uma série de técnicas forenses, a equipe chegou à conclusão de que o design da Amazon previne a eliminação de fato das informações do usuário da memória interna das caixinhas.

Isso acontece porque os dispositivos utilizam memória flash do tipo NAND, com design que limita o número de "ciclos de deleção" por bloco. Esses, por sua vez, são invalidados, e não deletados de fato, como uma forma de aumentar a vida útil do chip, e as informações só são apagadas de fato quando a maioria das páginas de um bloco estiverem invalidadas.

Explorando dados nas Echo Dot

2 de 4 Pesquisadores conseguiram ler informações de caixas de som que estariam zeradas — Foto: Reprodução/Dennis Giese e Guevara Noubir

Pesquisadores conseguiram ler informações de caixas de som que estariam zeradas — Foto: Reprodução/Dennis Giese e Guevara Noubir

A abordagem técnica varia conforme o estado da caixa de som: se foi resetada ou não, se foi resetada via app ou diretamente pela caixa de som via Internet, entre outros cenários. Uma das técnicas envolve remover o chip de armazenamento de dados e explorar seu conteúdo por meio de dispositivos específicos, que permitem ler chips direto no PC. Nesse caso, um eventual invasor precisaria de equipamento de alta qualidade e uma boa margem de habilidade para remover o componente sem danificá-lo.

Em outra forma de extrair os dados utilizada na pesquisa, os pontos de solda em que o chip se conecta à placa-mãe, bem como traços na placa que ligam o chip ao processador, são expostos e ligados por fios. A ideia aqui é interceptar a troca de dados em tempo real entre os componentes, levantando a comunicação bit por bit e, assim, reconstruir as informações.

Uma terceira técnica usa ainda chips de diferentes Echo Dot para atingir os mesmos resultados, mas com menor risco de danificar as caixas de som.

Problemas de segurança além dos dados em si

Um dos testes criados pelos pesquisadores envolveu a conexão das Echo Dot a redes que imitavam as originais – com as mesmas credenciais recuperadas pelas técnicas específicas. Ao questionar o speaker respondeu com dados da conta do usuário registradas anteriormente. Essa brecha não gerou nenhum alerta por e-mail e a Echo se mostrou incapaz de diferenciar uma rede falsa, apenas imitando a rede Wi-Fi original.

3 de 4 Estudo também conseguiu conectar a Echo a uma rede falsa, repetindo credenciais do sinal Wi-FI original — Foto: Yuri Hildebrand/TechTudo

Estudo também conseguiu conectar a Echo a uma rede falsa, repetindo credenciais do sinal Wi-FI original — Foto: Yuri Hildebrand/TechTudo

Com isso, foi possível ter acesso a qualquer dado sincronizado pelo usuário com a tecnologia da Amazon: listas de músicas, agenda de contatos, compromissos e alertas marcados. Até mesmo notificações a respeito da chegada de encomendas realizadas na loja da Amazon na Internet ficaram acessíveis nesse caso.

Apesar de não falar o endereço cadastrado na conta do usuário original, a caixinha reagiu a comandos como “restaurantes nas proximidades” e similares, suficientes para que um possível invasor encontrasse a localização original.

Vale ressaltar que os modelos testados nesse cenário foram configurados pelos próprios pesquisadores, que já sabiam quais informações apareceriam caso o teste funcionasse.

4 de 4 Amazon Echo Dots podem guardar informações importantes na memória flash, mesmo após reset de fábrica — Foto: Divulgação/Amazon

Amazon Echo Dots podem guardar informações importantes na memória flash, mesmo após reset de fábrica — Foto: Divulgação/Amazon

Na avaliação do estudo, o nível de segurança das Echo Dot é muito baixo e precisa de revisão. Não só seria possível interceptar dados que deveriam ter sido eliminados por um reset de fábrica, como também enganar o aparelho e obter informações completas, além de acessar uma conta de usuário. A recomendação dos especialistas é de que a Amazon revise o design e passe a criptografar completamente a área da memória interna que guarda dados do usuário.

O que diz a Amazon

Além de reconhecer o problema e afirmar que está buscando soluções, uma porta voz da Amazon respondeu ao site que a empresa realiza a limpeza completa de dados em aparelhos que são devolvidos em seus programas de trocas e devoluções. Mesmo assim, a sugestão da fabricante aos usuários é desativar o registro dos dispositivos e realizar a restauração antes do repasse ou descarte.

A marca garante ainda que senhas de contas e informações de pagamento não são guardadas na memória do dispositivo – ou seja, não estariam em risco em caso de ataque por meio dessa vulnerabilidade. Dispositivos resetados quando ainda conectados à Internet também não mostrariam detalhes da conta Amazon do usuário anterior.

O que você está lendo é [Amazon Echo Dot não permite apagar tudo sobre você, aponta pesquisa].Se você quiser saber mais detalhes, leia outros artigos deste site.