Stemidentificatiesysteem Australische overheid te omzeilen met AI-stem
Het stemidentificatiesystem dat de Australische overheid burgers laat gebruiken is door een AI gegenereerde stem te omzeilen, zo stelt The Guardian Australia op basis van eigen onderzoek. Zowel het Australische overheidsagentschap Centrelink, dat uitkeringen voor Australiërs verzorgt, alsmede de Australische belastingdienst, laten burgers zich via een "voiceprint" en andere informatie identificeren. Zo kan men dan op het eigen account inloggen.
Meer dan 3,8 miljoen mensen hebben hun stem bij Centrelink geregistreerd en 7,1 miljoen deden dit bij de Australische belastingdienst. Een journalist van The Guardian Australia ontdekte dat ze met vier minuten aan audio een kloon van haar eigen stem kon maken om, in combinatie met een klantreferentienummer, op haar account in te loggen. Bij het inloggen moeten gebruikers hun referentienummer opgeven en de zin "In Australia, my voice identifies me" opzeggen. De autoriteiten laten in een reactie weten dat ze hun systemen op mogelijk misbruik monitoren.
Veiliger zijn dingen zoals:
"wat you have": hardware tokens, (fysieke) sleutels en backup codes.
"wat you know": wachtwoorden/zinnen, toegangs/PIN-codes, etc.
Het liefst een MFA combinatie van weten en hebben, zodat bij enkel diefstal of enkel bedreiging er nog geen authenticatie plaats kan vinden...
Beetje nietszeggend antwoord, als er dageijks (tien)duizenden op deze manier inloggen dan moet je
- of kunnen detecteren dat het een AI stem is, maar als dat kan dan kan je het aanlogsysteem meteen aanpassen
- of naar handelingen kijken van iedereen, waarbij je niet weet wie wel en wie niet "echt" is: de foutieve mensen zijn dan al ingelogd... Ofwel: Veel succes!
Allemaal waarschijnlijk mogelijk, maar ontzettend vergezocht!
Allemaal waarschijnlijk mogelijk, maar ontzettend vergezocht!
Social Media
https://www.security.nl/posting/790045/Amerikaanse+toezichthouder%3A+social+media+zijn+goudmijn+voor+scammers
Het is hetzelfde dat als je root rechten hebt dat je dan root rechten kunt krijgen.
Bij de realtime implementatie hoort tevens dat het geluid op dat moment door de persoon voortgebracht wordt dan wel een risico inschatting wat de mogelijkheid is van een gerichte aanval op de identiteit met dit ene kenmerk.
Veiliger zijn dingen zoals:
"wat you have": hardware tokens, (fysieke) sleutels en backup codes.
"wat you know": wachtwoorden/zinnen, toegangs/PIN-codes, etc.
Het liefst een MFA combinatie van weten en hebben, zodat bij enkel diefstal of enkel bedreiging er nog geen authenticatie plaats kan vinden...
Geen enkele factor is an sich veilig - dat geldt voor alledrie.
Pas bij het combineren van twee of meer factoren spreekt men van sterke authenticatie - en dan het liefst met een sterke variant van die factor (dus bij MFA bij voorkeur geen SMS, met wachtwoorden bij voorkeur lange wachtwoorden, etc.)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
