Die Smart Speaker aus der Google Home-Serie lassen sich vollständig per Sprache bedienen und ermöglichen nicht nur den vollständigen Zugriff auf die Funktionen des Google Assistant, sondern dienen auch zur Steuerung von Drittgeräten im WLAN-Netzwerk. Wie ein Bastler jetzt entdeckt hat, gibt es im Google Home eine versteckte API, mit der sich Befehle auch von Außen sehr leicht mit GET und POST-Befehlen ausführen lassen.
Google Home verfügt bisher, anders als der Assistant, über keine offizielle API und kann nur in eine Richtung mit Apps und Geräten kommunizieren. Wie jetzt entdeckt wurde, gibt es aber eine inoffizielle API, die Google wohl für die eigenen Zwecke nutzt und einige Möglichkeiten zur Steuerung des Smart Speakers bietet. Da es keine Zugriffskontrolle gibt, lassen sich diese Befehle relativ leicht von jedem Gerät im gleichen Netzwerk absenden.
Die inoffizielle API wurde auf die Bezeichnung Google Home Local API getauft und besteht tatsächlich nur aus GET- und POST-Befehlen, ganz ohne jeglichen API-Key oder eine sonstige Zugriffskontrolle. Da die API nicht dokumentiert ist, ist das bisher auch nicht nötig gewesen, könnte aber rein theoretisch Angreifern Tür und Tor öffnen. Da aber keine privaten Daten abgefragt oder verändert werden können (zumindest wurde das bisher nicht entdeckt), ist die Gefahr dafür aber derzeit eher noch gering.
Mit den Befehlen lassen sich aber bspw. Benachrichtigungen abrufen oder erstellen, Wecker und Timer abfragen oder manipulieren oder auch die Equalizer-Einstellungen verändern. Aber auch der Abruf aller Geräte im WLAN, der Bluetooth-Geräte in der Nähe und der Aufbau einer Verbindung ist möglich. Vielleicht für Entwickler ganz interessant, die die eine oder andere Funktion verwenden möchten. Alles was dazu nötig ist, ist die IP-Adresse von Home im WLAN-Netzwerk, ansonsten ist der Zugang völlig frei.
Da es nun entdeckt wurde, dürfen wir gespannt sein wie lange das noch funktioniert bzw. ob es von Google zu einem späteren Zeitpunkt offiziell angekündigt und zur Verfügung gestellt wird.
» Die Liste aller Befehle inklusive Beispielen