Stemidentificatiesysteem Australische overheid te omzeilen met AI-stem
Het stemidentificatiesystem dat de Australische overheid burgers laat gebruiken is door een AI gegenereerde stem te omzeilen, zo stelt The Guardian Australia op basis van eigen onderzoek. Zowel het Australische overheidsagentschap Centrelink, dat uitkeringen voor Australiërs verzorgt, alsmede de Australische belastingdienst, laten burgers zich via een "voiceprint" en andere informatie identificeren. Zo kan men dan op het eigen account inloggen.
Meer dan 3,8 miljoen mensen hebben hun stem bij Centrelink geregistreerd en 7,1 miljoen deden dit bij de Australische belastingdienst. Een journalist van The Guardian Australia ontdekte dat ze met vier minuten aan audio een kloon van haar eigen stem kon maken om, in combinatie met een klantreferentienummer, op haar account in te loggen. Bij het inloggen moeten gebruikers hun referentienummer opgeven en de zin "In Australia, my voice identifies me" opzeggen. De autoriteiten laten in een reactie weten dat ze hun systemen op mogelijk misbruik monitoren.
Veiliger zijn dingen zoals:
"wat you have": hardware tokens, (fysieke) sleutels en backup codes.
"wat you know": wachtwoorden/zinnen, toegangs/PIN-codes, etc.
Het liefst een MFA combinatie van weten en hebben, zodat bij enkel diefstal of enkel bedreiging er nog geen authenticatie plaats kan vinden...
Beetje nietszeggend antwoord, als er dageijks (tien)duizenden op deze manier inloggen dan moet je
- of kunnen detecteren dat het een AI stem is, maar als dat kan dan kan je het aanlogsysteem meteen aanpassen
- of naar handelingen kijken van iedereen, waarbij je niet weet wie wel en wie niet "echt" is: de foutieve mensen zijn dan al ingelogd... Ofwel: Veel succes!
Allemaal waarschijnlijk mogelijk, maar ontzettend vergezocht!
Allemaal waarschijnlijk mogelijk, maar ontzettend vergezocht!
Social Media
https://www.security.nl/posting/790045/Amerikaanse+toezichthouder%3A+social+media+zijn+goudmijn+voor+scammers
Het is hetzelfde dat als je root rechten hebt dat je dan root rechten kunt krijgen.
Bij de realtime implementatie hoort tevens dat het geluid op dat moment door de persoon voortgebracht wordt dan wel een risico inschatting wat de mogelijkheid is van een gerichte aanval op de identiteit met dit ene kenmerk.
Veiliger zijn dingen zoals:
"wat you have": hardware tokens, (fysieke) sleutels en backup codes.
"wat you know": wachtwoorden/zinnen, toegangs/PIN-codes, etc.
Het liefst een MFA combinatie van weten en hebben, zodat bij enkel diefstal of enkel bedreiging er nog geen authenticatie plaats kan vinden...
Geen enkele factor is an sich veilig - dat geldt voor alledrie.
Pas bij het combineren van twee of meer factoren spreekt men van sterke authenticatie - en dan het liefst met een sterke variant van die factor (dus bij MFA bij voorkeur geen SMS, met wachtwoorden bij voorkeur lange wachtwoorden, etc.)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
