גניבת סיסמאות עם זכוכית של גוגל, שעונים חכמים, מצלמות רשת, מה שלא יהיה!

כאן ב- SecurityWatch, אנו אומרים לעיתים קרובות לקוראים שהם צריכים לשמור על הטלפון החכם שלהם מאובטח באמצעות - לפחות - קוד PIN. אבל אחרי הכובע השחור של השנה זה אולי מספיק. כעת כל התוקף שצריך לגנוב קוד סיסמא לסמארטפון הוא מצלמת וידאו, או אפילו מכשיר לביש כמו גוגל גלאס.

הפרזנטור קינגגנג יו הדגים את ההתקפה החדשה והמרשימה של קבוצתו בלאס וגאס. באמצעות צילומי וידיאו, הם טוענים שהם מסוגלים לזהות אוטומטית 90 אחוז מהפסודות בגובה של מטר וחצי מהיעד. זה רעיון פשוט: לשבור את הסיסמאות על ידי צפייה באיזו עיתונות של הקורבן. ההבדל הוא שהטכניקה החדשה הזו הרבה יותר מדויקת, ואוטומטית לחלוטין.

יו התחיל את המצגת שלו באומרו שניתן לשנות את הכותרת ל"האייפון שלי רואה את הסיסמה שלך או שהשעון החכם שלי רואה את הסיסמה שלך. " כל דבר עם מצלמה יעשה את העבודה, אבל מה שעל המסך לא צריך להיות גלוי.

מתבונן באצבע

כדי "לראות" ברזים על המסך, צוות ה- Yue עוקב אחר התנועה היחסית של אצבעות הקורבן על גבי מסכי מגע באמצעות מגוון אמצעים. הם מתחילים על ידי ניתוח היווצרות צל סביב קצה האצבע כשהוא מכה על מסך המגע, יחד עם טכניקות ראייה ממוחשבות אחרות. כדי למפות את הברזים הם משתמשים בהומוגרפיה מישורית ובתמונת ייחוס של מקלדת התוכנה המשמשת במכשיר הקורבנות.

התחכום הטכני של זה ממש מדהים. יו הסביר כיצד באמצעות מגוון טכניקות עיבוד חזותיות, הוא וצוותו הצליחו לקבוע את מיקום האצבע של הקורבן על המסך בדיוק רב יותר ויותר. לדוגמא, התאורה השונה של חלקים מאצבע הקורבן עזרה לקבוע את כיוון הברז. יו אפילו הביט בבבואה של האצבע כדי לקבוע את מיקומה.

ממצא מפתיע הוא שאנשים נוטים שלא להזיז את שאר אצבעותיהם תוך כדי הקשה על קוד. זה נתן לקבוצה של יו אפשרות לעקוב אחר כמה נקודות ביד אחת בבת אחת.

יותר מבהיל הוא שההתקפה הזו תעבוד לכל תצורת מקלדת רגילה, רק numpad.

כמה זה רע?

יו הסביר כי בטווח הקרוב ניתן להשתמש בסמארטפונים ואפילו בשעונים חכמים בכדי לצלם את הסרטון הדרוש לקביעת קוד הגישה של הקורבן. מצלמות רשת עבדו מעט יותר טוב, והמקלדת הגדולה יותר של ה- iPad הייתה קלה מאוד לצפייה.

כשיואה השתמש במצלמת וידאו, הוא הצליח לתפוס את סיסמת הקורבן ממרחק של עד 44 מטרים. בתרחיש, שלדעת יו אמר כי צוותו בדק, היה תוקף עם מצלמת וידיאו בקומה הרביעית בבניין ומעבר לרחוב מהקורבן. במרחק זה הוא השיג אחוזי הצלחה של 100 אחוז.

שנה את המקלדת, שנה את המשחק

אם זה נשמע מבהיל, אל תפחד. המגישים הגיעו עם נשק חדש כנגד היצירה שלהם: המקלדת לשיפור הפרטיות. מקלדת מודעת-הקשר זו קובעת מתי אתה מזין נתונים רגישים ומציגה מקלדת אקראית עבור טלפונים אנדרואיד. התוכנית מבוססת החזון שלהם מניחה הנחות מסוימות לגבי פריסת המקלדת. פשוט החלף את המקלדת, וההתקפה לא תעבוד.

מגבלה נוספת של ההתקפה היא ידיעת המכשיר וצורת המקלדת שלו. אולי משתמשי iPad לא ירגישו כל כך רע בנוגע למכשירים מנוגדים.

אם כל זה לא נשמע כאילו זה מספיק כדי לשמור על עצמך, היו לך עצות פשוטות ומעשיות. הוא הציע להזין מידע אישי באופן פרטי, או פשוט לכסות את המסך בזמן ההקלדה.