Jij typt, hacker ontcijfert, uw wachtwoord is gedoemd. Dat is het grimmige scenario dat wordt besproken in een paper die nu op arXiv staat. "Hoor je aanraking:een nieuw akoestisch zijkanaal op smartphones, " is door auteurs Ilia Shumailov, Laurent Simon, Jeff Yan en Ross Anderson.

Wat gebeurt er op deze manier in het diefstalproces? Kort en simpel, geluidsgolven die afkomstig zijn van uw typen op een telefoon worden gedecodeerd. Ze evalueerden de effectiviteit van de aanval met 45 deelnemers op een Android-tablet en een Android-smartphone.

Buster Hein in Cult van Mac zei met geluidsgolven die door het scherm en de lucht naar de microfoon van de telefoon reizen, het algoritme voorspelt waar bepaalde trillingen vandaan komen.

De onderzoekers zeiden, "door audio op te nemen via de ingebouwde microfoon(s), een kwaadaardige app kan tekst afleiden" wanneer de gebruiker deze invoert op zijn of haar apparaat. Het team heeft 27 van de 45 wachtwoorden op een telefoon hersteld, en 19 van de 27 wachtwoorden op een tablet, via typtrillingen.

Ze ontwierpen een machine learning-algoritme dat trillingen voor toetsaanslagen kan decoderen. De Washington Post :"Van een testgroep van 45 mensen over verschillende tests, de onderzoekers konden wachtwoorden op smartphones zeven van de 27 keer correct repliceren, binnen 10 pogingen. Op tablets, de onderzoekers behaalden betere resultaten, 19 van de 27 keer het wachtwoord binnen 10 pogingen vastspijkeren."

Werkelijk, een hacker uw wachtwoord kan stelen door alleen maar naar u te luisteren? Ian Randall in Dagelijkse mail had meer over dit 'machine-learning-algoritme'. Hij zei dat het was gebouwd om te proberen elke trilling af te stemmen op een bepaald punt op het scherm van het apparaat waar de gebruikers het schermtoetsenbord hadden aangeraakt tijdens het typen of invoeren van een wachtwoord.

De auteurs legden zelf uit wat er aan de hand was:"Als een gebruiker met een vinger op het scherm tikt, de kraan genereert een geluidsgolf die zich voortplant op het schermoppervlak en in de lucht. We hebben geconstateerd dat de microfoon(s) van het apparaat deze golf kunnen opvangen en de aanraking van de vinger kunnen 'horen', en de vervormingen van de golf zijn kenmerkend voor de locatie van de kraan op het scherm."

Het resultaat:door audio op te nemen via de ingebouwde microfoon, een kwaadwillende app kan tekst afleiden wanneer de gebruiker deze op zijn of haar apparaat invoert.

Voor hun experiment ze gebruikten telefoons en een tablet. Er waren 45 deelnemers in een echte wereld. En, als ze zeggen in de echte wereld, ze bedoelen echt de echte wereld:

"We hebben de experimenten buiten de laboratoriumomgeving uitgevoerd om de omstandigheden in het echte leven beter te simuleren, waardoor de validiteit van de studie wordt verbeterd."

De deelnemers traden op drie verschillende plaatsen op:1) in een gemeenschappelijke ruimte, waar mensen kletsen en af ​​en toe een koffiezetapparaat met harde geluiden een drankje maakt; 2) in een leeszaal waar mensen met een halfluide stem typen of spreken; en 3) in de bibliotheek waar veel klikkende geluiden van laptops zijn. Alle drie de plaatsen hadden omgevingsgeluid dat binnenkwam uit opengelaten ramen.

Wat hebben de auteurs aanbevolen als waarborgen en oplossingen?

De auteurs zeiden, "Mobiele apparaten hebben mogelijk een model met meer mogelijkheden nodig, een gebruiksvriendelijker meldingssysteem voor sensorgebruik en een grondigere evaluatie van de informatie die door de onderliggende hardware gelekt is."

Elders in de discussie ze onderzochten verschillende opties, en een daarvan was het aanbieden van "een goed ontworpen PIN-invoerfaciliteit, die wanneer aangeroepen door één applicatie tijdelijk leeg zou zijn, en/of geluid introduceren in, het microfoonkanaal dat door andere apps wordt gezien. Deze aanpak moet logischerwijs worden uitgebreid naar andere sensoren die kunnen worden gebruikt om pincodes te verzamelen via zijkanalen zoals de versnellingsmeter, gyroscoop en camera."

Ze noemden ook dat het besturingssysteem timingjitter zou introduceren, of lokaas tikgeluiden, in de microfoongegevensstroom. Dit zou een aanvaller belemmeren die taplocaties wil identificeren.

"Omdat de kranen zelf voor mensen vrij onmerkbaar zijn, dit mag applicaties die op de achtergrond draaien en audio verzamelen met toestemming van de gebruiker niet storen."

Op applicatieniveau is ze zeiden, "een app kan zelf valse tikgeluiden in het apparaat introduceren, om vijandige apps die toevallig luisteren te storen en in de war te brengen." Tactical jamming, ze zeiden, was een goedkope tegenmaatregel.

© 2019 Wetenschap X Netwerk