Đánh cắp mật khẩu bằng kính google, smartwatch, web cam, bất cứ điều gì!

Tại SecurityWatch, chúng tôi thường nói với độc giả rằng họ cần giữ an toàn cho điện thoại thông minh của mình - tối thiểu - mã PIN. Nhưng sau Mũ Đen năm nay, điều đó có thể là đủ nữa. Bây giờ tất cả kẻ tấn công cần đánh cắp mật mã điện thoại thông minh là máy quay video hoặc thậm chí là thiết bị đeo được như Google Glass.

Người dẫn chương trình Qinggang Yue đã trình diễn cuộc tấn công mới đáng chú ý của đội mình ở Las Vegas. Sử dụng cảnh quay video, họ tuyên bố có thể tự động nhận ra 90 phần trăm mật mã cách mục tiêu đến chín feet. Đó là một ý tưởng đơn giản: phá vỡ mật mã bằng cách xem báo chí của nạn nhân. Sự khác biệt là kỹ thuật mới này chính xác hơn nhiều và hoàn toàn tự động.

Yue bắt đầu bài thuyết trình của mình bằng cách nói rằng tiêu đề có thể được đổi thành "iphone của tôi thấy mật khẩu của bạn hoặc smartwatch của tôi nhìn thấy mật khẩu của bạn." Bất cứ điều gì với máy ảnh sẽ thực hiện công việc, nhưng những gì trên màn hình không cần phải nhìn thấy.

Nhìn ngón tay

Để "nhìn" các vòi trên màn hình, nhóm của Yue theo dõi chuyển động tương đối của ngón tay nạn nhân trên màn hình cảm ứng bằng nhiều phương tiện. Họ bắt đầu bằng cách phân tích sự hình thành bóng xung quanh đầu ngón tay khi nó chạm vào màn hình cảm ứng, cùng với các kỹ thuật thị giác máy tính khác. Để ánh xạ các vòi, họ sử dụng phép đồng nhất phẳng và hình ảnh tham chiếu của bàn phím phần mềm được sử dụng trên thiết bị của nạn nhân.

Sự tinh tế kỹ thuật của điều này là thực sự đáng chú ý. Yue giải thích cách sử dụng nhiều kỹ thuật xử lý hình ảnh khác nhau, anh và nhóm của mình có thể xác định vị trí ngón tay của nạn nhân trên màn hình với độ chính xác cao hơn và lớn hơn. Ví dụ, ánh sáng khác nhau của các bộ phận trong ngón tay của nạn nhân đã giúp xác định hướng của vòi. Yue thậm chí nhìn vào hình ảnh phản chiếu của ngón tay để xác định vị trí của nó.

Một phát hiện đáng ngạc nhiên là mọi người có xu hướng không di chuyển phần còn lại của ngón tay trong khi gõ mã. Điều này mang lại cho nhóm của Yue khả năng theo dõi nhiều điểm trên tay cùng một lúc.

Đáng ngạc nhiên hơn là cuộc tấn công này sẽ hoạt động cho bất kỳ cấu hình bàn phím tiêu chuẩn nào, chỉ là một bàn phím số.

Làm thế nào là xấu?

Yue giải thích rằng ở cự ly gần, điện thoại thông minh và thậm chí cả đồng hồ thông minh có thể được sử dụng để quay video cần thiết để xác định mật mã của nạn nhân. Các webcam hoạt động tốt hơn một chút và bàn phím lớn hơn của iPad rất dễ xem.

Khi Yue sử dụng máy quay phim, anh ta có thể lấy được mật khẩu của nạn nhân từ khoảng cách tới 44 mét. Kịch bản, mà Yue cho biết nhóm của ông đã thử nghiệm, có một kẻ tấn công bằng máy quay phim trên tầng bốn của một tòa nhà và bên kia đường từ nạn nhân. Ở khoảng cách này, anh đã đạt được tỷ lệ thành công 100%.

Thay đổi bàn phím, thay đổi trò chơi

Nếu điều này nghe có vẻ đáng sợ, không bao giờ sợ hãi. Những người thuyết trình đã đi kèm với một vũ khí mới chống lại sự sáng tạo của chính họ: Bàn phím tăng cường bảo mật. Bàn phím nhận biết ngữ cảnh này xác định khi bạn nhập dữ liệu nhạy cảm và hiển thị bàn phím ngẫu nhiên cho điện thoại Android. Sơ đồ dựa trên tầm nhìn của họ đưa ra các giả định nhất định về bố trí bàn phím. Chỉ cần thay đổi bàn phím và cuộc tấn công sẽ không hoạt động.

Một hạn chế khác của cuộc tấn công là kiến ​​thức về thiết bị và hình dạng của bàn phím. Có lẽ người dùng iPad sẽ không cảm thấy quá tệ về các thiết bị loại bỏ.

Nếu tất cả những điều đó nghe có vẻ không đủ để giữ an toàn cho bản thân, Yue đã có một vài lời khuyên đơn giản, thiết thực. Ông đề nghị nhập thông tin cá nhân ở chế độ riêng tư hoặc đơn giản là che màn hình của bạn trong khi gõ.