音频社交媒体应用程序的安全风险

只使用音频的社交媒体应用程序(例如ClubHouse，Riffr，Listen，Audlist和HearMeOut)这两年发展的比较火，正吸引着越来越多用户的兴趣，但就像其他任何技术一样，这类应用程序也存在着巨大安全风险。

此外，这些风险中的大多数都可以自动化，帮助攻击者更容易、更快地传播这些攻击。需要注意的是，这些应用本身并没有恶意攻击的功能，这些攻击来自寻找利用这些平台方法的网络攻击者。

在这篇文章中，研究人员通过分析这些应用程序(主要是ClubHouse，但也包括Riffr、Listen、Audlist和HearMeOut)来论证和概述这些风险。研究人员也分享了一些关于如何避免它们的建议，具体的研究报告请点此。

研究人员的研究是在今年2月8日至11日进行的，截止发稿时，应用程序供应商可能已经或正在修复本上述研究报告中描述的一些问题。最新报道表明，已经有网络黑客证实了Clubhouse的实时音频是可以被窃取的。Clubhouse发言人瑞玛·巴纳西称，有一位身份不明的用户将Clubhouse的音频从“多个房间”传送到他们自己的第三方网站上。虽然Clubhouse公司及时发现并且表示将“永久禁止”这一用户的使用，而且为软件配备了新的“安全措施”以防止此类事件再次出现。但仍有研究人员认为，Clubhouse平台可能永远无法兑现这样的承诺。

近日研究人员还独立获得并分析了据称用于“从ClubHouse泄露音频”的软件工具，经过分析后，研究人员想强调的是Clubhouse的实时音频泄漏并不是一个安全漏洞。开发人员创建了一个镜像网站，该镜像网站允许其他人使用开发人员的唯一帐户而不是他们的个人账户进行监听。虽然这肯定会破坏服务条款，但绝没有使用任何特定的安全漏洞，而且最重要的是，镜像网站未进行任何录音：音频仍从ClubHouse服务器流向发出请求的客户端，从来没有通过镜像网站。换句话说，这个网站只不过是一个基于JavaScript而不是iOS的客户端。尽管这种类型的服务滥用可能会变得更加困难，但没有web服务或社交网络能够免受它们的影响，因为在不影响合法用户可用性的情况下，没有技术上的方法可以可靠地预防这种攻击。

在典型的以音频为中心的社交网络中，主要对象和数据以及它们之间的交互

比较手机通话和以音频为中心的应用程序通话的风险

使用手机的安全风险与使用以音频为中心的手机通话应用程序的安全风险是相同的，由于它们的性质相似，两个频道都可以被窃听、拦截和非法记录。针对这两个平台的攻击也可以自动进行，只是可能在更大程度上针对在线平台。这两种手段都可被用于敲诈勒索，而现成的Deepfake工具也有助于进行诈骗。但是，这些渠道的风险存在一些细微的差异。

首先是可以参与通话的人数，这可以决定可以被窃取的数据范围或可以接收不正确信息的人数。手机通话一次只能容纳一小群人，而应用程序可以容纳数千人。仅ClubHouse一个房间就可以容纳5000人，即使与Facebook等非语音中心的在线社交网络相比，这个数字也是相当可观的。这意味着，如果攻击者决定窃取手机通话参与者的信息或破坏用户的声誉，成千上万的人可能成为受害者或听众。

依次类推，可以被窃取的数据类型也各不相同。通过手机通话，可能被窃取的数据取决于接收者披露的内容。而在大多数以语音为中心的应用中，则取决于用户配置帐户的方式，潜在的攻击者也可以很容易地访问这些数据，例如照片、电话号码、电子邮件地址和其他个人身份信息(PII)。

另一个攻击方式则是用户模拟，虽然手机通话者也可以在手机通话中冒充另一个人的身份，但是在纯音频的社交媒体应用中，这种可信度得到了提高，因为恶意攻击者可以使用假冒的人的照片和信息来创建虚假的个人资料。

此外，以语音为中心的应用程序，如一些在线平台，可以用来启动命令与控制(C&C)的隐蔽通道，研究人员在上述报告中对此作了详细阐述。

纯音频社交网络平台的安全风险

以下是一些可以针对以音频为中心的社交媒体应用程序用户的攻击示例。这些的全部细节可以在研究人员的全部技术简介中找到:

1.网络流量拦截和窃听

攻击者可以通过分析网络流量并查找与RTC相关的数据包来了解通话双方的身份，以下截屏来自研究人员使用ClubHouse应用程序进行的演示，显示了攻击者如何自动执行此过程并拦截RTC控制数据包，以获取与其中两个用户创建的私人聊天相关的敏感信息。

自动化网络分析和RTC数据包搜索

截止发稿时，ClubHouse承诺将采取适当的加密措施来防止此类及相关的攻击。

2.用户模拟和Deepfake语音

恶意用户可能会冒充一个公共人物，并通过伪造其声音使他们说出他们永远不会说的话，从而对其声誉造成影响。攻击者还可以伪造声音，并创建著名交易员的个人资料，吸引用户加入一个聊天室，诱惑他们进行投资。

3.投机取巧的记录

正如大多数(不是全部)应用程序的服务条款所述，大多数音频社交网络的内容都是短暂保存的，并且“仅供参与者使用”，但是某些攻击者可以进行录音、复制帐户、自动跟踪帐户的所有联系人以使其看起来更加真实，在获取相关联系人信任后，就邀请他们加入聊天室，并使用伪造的声音说说一些话，破坏别人声誉甚至是欺诈业务。

4.骚扰和勒索

如何实际执行此操作将取决于应用程序和网络的结构，例如，在某些平台上，跟踪受害者的攻击者将在受害者进入公共房间时也同时得到通知。收到进入房间的通知后，攻击者也可以加入那个房间，请主持人发言，然后说些什么或者播放预先录制的音频来勒索受害者。研究人员验证了所有这些都可以很容易地通过编写脚本自动运行。幸运的是，大多数应用程序也有阻止和举报滥用用户的功能。

5.地下服务

ClubHouse刚上线，研究人员就在surface Web上发现了很多关于它的讨论。一些用户已经开始讨论购买关注者，一些所谓的开发人员承诺对API进行反向工程以创建僵尸程序以换取邀请，研究人员也证实了这是可行的。

论坛用户讨论出于营销目的制作或购买僵尸程序服务的问题

6.音频隐蔽通道

使用这些平台，威胁参与者可以创建隐秘渠道进行C&C或使用隐写术隐藏或传输信息。如果以音频为中心的社交网络继续增加，攻击者可能会开始将它们定位为可靠的攻击面：例如，攻击者可以创建多个房间，并让僵尸程序连接它们来调度命令，并且不会留下任何痕迹(除了加密的录音，如果有的话)。

缓解措施

为确保音频应用程序的安全使用，研究人员向音频社交网络用户推荐以下最佳安全防护做法：

1. 加入公共房间，就像在公共场合讲话一样。用户只能说自己愿意与公众共享的内容，因为有可能有人在虚拟房间里录音，即使未经书面同意录音违反了大部分服务条款，也会有人这么做。

2.不要仅凭名字就相信某人，这些应用目前未实施帐户验证流程;请始终仔细检查个人简历，用户名和链接的社交媒体联系人是否真实。

3.仅授予必要的权限并共享所需的数据，例如，如果用户不希望应用程序从其通讯录中收集所有数据，则可以拒绝请求的权限。

4.基于对应用程序和通信协议的技术分析，研究人员建议当前和将来的服务提供商考虑实现以下功能，除非他们已经这样做：

4.1不要在应用程序中存储机密信息(例如凭据和API密钥)。研究人员发现一些应用程序将凭证以明文形式嵌入到应用程序清单中，这将允许任何恶意参与者在第三方服务上模拟它们。

4.2提供加密的私人电话。虽然在性能和加密之间当然需要权衡取舍，但最新的消息传递应用程序支持加密的群组对话。虽然它们的用例有所不同，但研究人员认为，未来的纯音频社交网络应提供与其基于文本的同等水平的隐私级别。例如，应使用安全实时传输协议(SRTP)代替RTP(实时传输协议)。

4.3用户帐户验证。 目前，纯音频的社交网络均不支持Twitter，Facebook或Instagram这样的经过验证的帐户，而且研究人员已经看到其中有一些伪造帐户。 在等待帐户验证功能被嵌入程序时，研究人员建议用户手动检查与之交互的帐户是否为真实帐户，例如，检查关注者或关联的社交网络帐户的数量。

4.4实时内容分析。 传统社交网络所面临的所有内容审核挑战在纯音频或纯视频社交网络上都更加困难，因为从本质上讲，分析音频或视频要比分析文本(即，语音到文本占用资源)更加困难。 一方面，如果这些服务实施内容检查，则会带来明显的隐私挑战(因为这意味着它们可以利用音频流)。然而，内容检查提供了一些好处，例如，对事件进行优先级排序。

本文翻译自：https://www.trendmicro.com/en_us/research/21/b/security-risks-for-audio-centric-social-media-apps.html如若转载，请注明原文地址。