只应用音频的社交媒体应用程序(例如ClubHouse，Riffr，Listen，Audlist和HearMeOut)这几年进步的非常火，正招引着愈来愈多客户的兴趣爱好，但如同其它一切技术性一样，这类应用程序也普遍存在着极大安全隐患。
除此之外，这种隐患中的大部分都能够自动化技术，协助攻击者更非常容易、迅速地散播这种攻击。必须留意的是，这种运用自身并没故意攻击的作用，这种攻击来源于找寻运用这种服务平台方式的互联网攻击者。
在这篇文章中，研究人员根据研究这种应用程序(主要是ClubHouse，但也包含Riffr、Listen、Audlist和HearMeOut)来论述和简述这种风险性。研究人员也介绍了一些有关怎样避免他们的提议，实际的研究汇报请点此。
研究人员的研究是在2022年2月8日至11日开展的，截至发表文章时，应用程序经销商很有可能早已或已经修补本以上研究汇报中表述的一些问题。最新消息说明，早已有黑客技术确认了Clubhouse的即时音频是可以被盗取的。Clubhouse新闻发言人瑞玛·巴纳西族称，有一位真实身份未知的客户将Clubhouse的音频从“好几个屋子”传输到他们自己的第三方网址上。尽管Clubhouse公司及时处理而且表明将“永久性严禁”这一客户的应用，并且为手机软件配置了新的“安全防范措施”以避免该类事情再次发生。但仍有研究人员觉得，Clubhouse平台很有可能始终没法兑付那样的服务承诺。
前不久研究人员还单独得到并研究了据悉用以“从ClubHouse泄漏音频”的工具软件，通过研究后，研究人员想注重的是Clubhouse的即时音频泄露并非一个网络安全问题。开发设计人员建立了一个镜像网站，该镜像网站容许别人应用开发设计人员的唯一账号而不是她们的个人帐户开展监视。尽管这毫无疑问会毁坏服务条款，但绝沒有运用一切特殊的网络安全问题，并且最重要的是，镜像网站未开展一切音频：音频仍从ClubHouse网络服务器流入发出请求的手机客户端，从来没有根据镜像网站。也就是说，这一网址只不过一个根据JavaScript而不是iOS的手机客户端。虽然这类类别的服务项目乱用很有可能会显得愈发艰难，但沒有web服务或社交媒体可以免遭他们的危害，由于在没有危害合理合法客户易用性的情形下，沒有技术性上的方式 可以稳定地避免这类攻击。
在常见的以音频为核心的社交媒体中，关键目标和数据信息及其他们中间的互动
较为手机通话和以音频为核心的应用程序语音通话的风险性
应用智能手机的安全隐患与应用以音频为核心的手机通话应用程序的安全问题是一致的，因为他们的特性类似，2个频道栏目都能够被监听、阻拦和不法纪录。对于这两个服务平台的攻击还可以全自动开展，仅仅很有可能在更多方面上对于在线平台。这二种方式都可以被用以敲诈，而现有的Deepfake专用工具也有利于开展行骗。可是，这种平台的风险性存有一些微小的差别。
最先是可以参加语音通话的总数，这可以决策可以被盗取的信息范畴或可以接受有误信息内容的总数。手机通话一次只有容下一部分人，而应用程序可以容下千余人。仅ClubHouse一个屋子就可以容下5000人，即使与Facebook等非视频语音核心的线上社交媒体对比，这一数据也是相当可观的。这代表着，假如攻击者决策盗取手机通话参加者的数据或毁坏客户的信誉，不计其数的人很有可能变成受害人或观众。
依次类推，可以被盗取的基本数据类型也不尽相同。根据手机通话，很有可能被盗取的数据信息在于接受者公布的內容。而在大部分以视频语音为核心的运用中，则在于客户配备账号的方法，潜在性的攻击者还可以非常容易地浏览那些数据信息，例如相片、联系电话、电子邮箱地址和别的个人信息信息内容(PII)。
另一个攻击方法则是客户仿真模拟，尽管手机通话者还可以在手机通话中假冒另一个人的真实身份，可是在纯音频的社交媒体运用中，这类真实度获得了提升，由于故意攻击者可以应用仿冒的人的图片和信息内容来建立虚报的个人信息。
除此之外，以视频语音为核心的应用程序，如一些在线平台，可以用于启动命令与操纵(C&C)的隐敝安全通道，研究人员在以上汇报中对于此事作了具体论述。
纯音频社交平台的安全隐患
下列是一些可以对于以音频为核心的社交媒体应用程序客户的攻击实例。这种的所有关键点可以在研究人员的所有技术性介绍中寻找:
1.数据流量阻拦和监听
攻击者可以根据剖析数据流量并搜索与RTC有关的数据来掌握语音通话彼此的真实身份，下列手机截图来源于研究人员应用ClubHouse应用程序开展的演试，表明了攻击者怎样全自动实行此全过程并阻拦RTC操纵数据，以得到与在其中2个客户建立的个人闲聊有关的敏感性信息内容。
自动化技术聚类分析和RTC数据检索
截至发表文章时，ClubHouse服务承诺将采用恰当的数据加密对策来避免该类及相应的攻击。
2.客户仿真模拟和Deepfake视频语音
故意客户也许会假冒一个公共性角色，并根据仿冒其响声使她们讲出她们始终不容易说的话，进而对其信誉产生危害。攻击者还能够仿冒响声，并建立知名操盘手的个人信息，吸引住客户添加一个在线聊天室，引诱她们完成项目投资。
3.钻空子的纪录
正如大部分(并不是所有)应用程序的服务条款上述，大部分音频社交媒体的主要内容全是短暂性储存的，而且“仅作参加者应用”，可是一些攻击者可以开展音频、拷贝账号、全自动追踪账号的全部手机联系人以便其看上去更为真正，在获得有关手机联系人信赖后，就邀约她们添加在线聊天室，并应用假冒的响声说说一些话，毁坏他人信誉乃至是诈骗业务流程。
4.搔扰和敲诈勒索
怎样具体实行此实际操作将在于应用程序和网上的构造，例如，在一些服务平台上，追踪受害人的攻击者将在受害者进到公共性屋子时也与此同时获得通告。接到进入房间的通告后，攻击者还可以添加那一个屋子，请节目主持人讲话，随后说些哪些或是播放视频预先录制的音频来敲诈勒索受害人。研究人员认证了全部这种都能够比较容易地根据编辑脚本制作自启动。幸运的是，大部分应用程序也是有阻拦和检举乱用客户的作用。
5.地底服务项目
ClubHouse刚发布，研究人员就在surface Web上察觉了好多有关它的探讨。一些客户早已逐渐探讨选购关注者，一些所说的开发设计人员服务承诺对API开展反向工程以建立丧尸程序流程以获得邀约，研究人员也验证了这也是行得通的。
社区论坛客户探讨出自于营销推广目地制做或选购丧尸程序流程服务项目的问题
6.音频隐敝安全通道
应用这种服务平台，危害参加者可以建立秘密方式开展C&C或应用隐写术掩藏或传送信息内容。假如以音频为核心的社交媒体再次提升，攻击者很有可能会逐渐将他们精准定位为靠谱的攻击面：例如，攻击者可以建立好几个屋子，并让丧尸程序流程联接他们来生产调度指令，而且并不会留有任何的印痕(除开数据加密的音频，如果有得话)。
减轻对策
为保证音频应用程序的安全性应用，研究人员向音频社交媒体客户强烈推荐下列最好安全防护作法：
1. 添加公共性屋子，如同在公共场所发言一样。客户只有说自身想要与群众共享资源的內容，由于有可能有些人在虚似屋子里音频，即使没经书面形式允许音频违背了绝大多数服务条款，也会有些人那么做。
2.不必光凭名称就坚信别人，这种运用现阶段未执行账号认证步骤;请自始至终认真仔细个人简介，登录名和连接的社交媒体手机联系人是不是真正。
3.仅授于一定的管理权限并共享资源需要的数据信息，例如，假如使用者不期待应用程序从其手机通讯录中搜集全部数据信息，则可以拒绝请求的管理权限。
4.根据对应用程序和通讯协议的技术指标分析，研究人员提议现阶段和未来的服务提供商考虑到完成下述作用，除非是它们早已那样做：
4.1不要在应用程序中储存保密信息(例如凭证和API密匙)。研究人员发觉一些应用程序将凭据以密文方式内嵌到应用程序明细中，这将容许一切故意参加者在第三方服务上仿真模拟他们。
4.2给予数据加密的个人电話。尽管在特性和数据加密中间自然必须衡量选择，但新况传送应用程序适用数据加密的群聊会话。尽管他们的测试用例各有不同，但研究人员觉得，将来的纯音频社交媒体应给予与其说根据文字的相同水准的个人隐私等级。例如，应应用安全性即时传输协议(SRTP)替代RTP(即时传输协议)。
4.3客户账号认证。 现阶段，纯音频的社交媒体均不兼容Twitter，Facebook或Instagram那样的通过认证的账号，并且研究人员早已见到在其中有一些仿冒账号。 等待账号认证作用被置入程序流程时，研究人员提议客户手动式查验与之互动的账号是不是为真正账号，例如，查验关注者或关系的社交媒体账号的总数。
4.4即时评析。 传统式社交媒体所遭遇的全部内容审核挑戰在纯音频或纯视频社交互联网上面更为艰难，由于从其本质上讲，剖析音频或短视频要比剖析文字(即，视频语音到文字占有資源)更为艰难。 一方面，假如这种服务项目执行內容查验，则会产生显著的个人隐私挑戰(由于这代表他们可以运用音频流)。殊不知，內容查验给予了一些益处，例如，对事情开展优先级排序。
文中翻譯自：https://www.trendmicro.com/en_us/research/21/b/security-risks-for-audio-centric-social-media-apps.html倘若转截，请标明全文详细地址。