Cyberthreat.id - Baru-baru ini sekelompok peneliti menemukan celah keamanan dalam sistem pengenalan suara smartphone melalui gelombang ultrasonik (tidak terdengar oleh manusia) yang dapat mengaktifkan Siri dan Google Assistant.

Menurut penelitian dari Universitas Washington di St. Louis, Amerika Serikat (AS), gelombang ultrasonik dapat merambat melalui permukaan padat untuk mengaktifkan sistem pengenalan suara di ponsel.

Selain itu, dengan penambahan beberapa perangkat keras (hardware) yang murah, penyerang dapat memulai serangan untuk menguping pada respons telepon. Penyerang juga bisa mengirim perintah ke telepon untuk melakukan panggilan, mengambil gambar, atau membaca isi teks dari orang asing.

"Semua terjadi tanpa disadari pemilik ponsel," tulis para peneliti dilansir Cyware Hacker News, Selasa (3 Maret 2020).

Manusia memang tidak dapat mendengarnya, tetapi gelombang suara ultrasonik dapat ditangkap oleh mikrofon. Jika seseorang paham bagaimana bekerja dengan sinyal, mereka bisa membuat telepon menginterpretasikan gelombang suara yang masuk dengan asumsi seseorang telah memberikan perintah.

Jalannya penelitian

1. Tim peneliti menyiapkan serangkaian percobaan pada 17 model ponsel yang berbeda termasuk model iPhone, Galaxy, dan Moto.

2. Untuk menguji kemampuan gelombang ultrasonik guna mengirimkan perintah melalui permukaan padat, para peneliti membuat beberapa percobaan yang melibatkan telepon yang diletakkan di atas meja.

3. Kemudian mereka memasang mikrofon dan transduser piezoelektrik (PZT) yang mengubah listrik menjadi gelombang ultrasonik ke bagian bawah meja. Untuk meneruskan perintah yang diinginkan, para peneliti juga menyembunyikan generator bentuk gelombang di bawah tabel.

4. Para peneliti pertama kali meminta asisten virtual untuk menurunkan volume ponsel ke level 3 yang hampir tidak terdengar oleh korban di lingkungan seperti kantor.

5. Kemudian, tim menjalankan dua tes: untuk mengambil kode sandi SMS (teks) dan untuk membuat panggilan palsu.

6. Untuk tes pertama, para peneliti mengirim perintah "baca pesan saya" dari perangkat serangan untuk membaca simulasi pesan kode sandi bank yang dikirim ke ponsel target/calon korban.

7. Responsnya terdengar oleh mikrofon tersembunyi yang ditempatkan oleh para peneliti, tetapi tidak diketahui oleh korban.

8. Dalam tes kedua, perangkat serangan mengirim perintah "panggil Sam dengan speakerphone."  Penyerang sebenarnya bisa berkomunikasi dengan "Sam" sekali lagi menggunakan mikrofon tersembunyi yang ditempatkan di bawah meja.

Selama percobaan, gelombang ultrasonik berhasil menembus logam, kaca, dan kayu. Para peneliti juga menguji berbagai permukaan meja dan konfigurasi telepon, bahkan pada jarak sejauh 30 kaki. Serangan gelombang ultrasonik juga bekerja pada meja plastik, tetapi tidak bisa diandalkan.

Ning Zhang, asisten profesor ilmu komputer dan teknik di McKelvey School of Engineering mengatakan, percobaan yang dilakukan peneliti dari Washington University akan menjadi salah satu kunci dalam memahami jenis serangan ini. Bahwa komputerisasi bisa sangat terkait dengan fisika.

Meski demikian, sudah banyak para ahli yang mengatakan jika manusia dapat membedakan sinyal yang diterima melalui telepon, yakni antara gelombang ultrasonik dan suara manusia asli, maka situasi ini sebenarnya dapat diatasi.

Cara lain bisa dengan mengubah tata letak ponsel, seperti penempatan mikrofon untuk meredam atau menekan gelombang ultrasonik. Cara ini mungkin menghentikan serangan selancar (surfing attack) seperti yang diciptakan oleh para peneliti untuk serangan semacam ini.

Zhang menambahkan sebenarnya masih ada cara sederhana lainnya untuk menjaga ponsel agar tidak terbebas dari gelombang ultrasonik atau pertahanan berbasis interlayer (the interlayer-based defense). Yakni dengan menggunakan kain tenun yang lembut untuk meningkatkan "ketidakcocokan impedansi." 

"Dengan kata lain, meletakkan ponsel di atas taplak meja dapat membantu melindungi perangkat terhadap serangan ultrasonik sampai batas tertentu."