Pomimo tego, że coraz więcej smartfonów zabezpieczanych jest za pomocą odcisku palca, to stosowanie kodu PIN, który chroni urządzenie w razie braku możliwości skorzystania z odcisku linii papilarnych, jest dalej wymagane. Jest to mądra decyzja, jednak niesie za sobą sporo potencjalnych zagrożeń. Okazuje się bowiem, że cyberprzestępcy są w stanie poznać Wasz kod PIN za pomocą praktycznie dowolnej aplikacji zainstalowanej na Waszym urządzeniu. Jakim sposobem? To przedstawię Wam w tym artykule.
Czujniki w smartfonie mogą posłużyć również do innych celów
Z metodami wykradania haseł zazwyczaj kojarzymy kilka popularnych sposobów, które stosowane są przez cyberprzestępców – w większości wypadków są to keyloggery lub aplikacje phishingowe. Okazuje się jednak, że do niecnych celów mogą posłużyć również potencjalnie bezpieczne elementy każdego smartfona, takie jak czujniki – mowa tu głównie o sensorach światła czy pola elektromagnetycznego.
Zobacz też: Aplikacje na Twoim telefonie mogą Cię nagrywać dla reklamodawców
Badacze z singapurskiego Uniwersytetu Technologicznego przygotowali specjalną aplikację, która bez podejrzeń użytkownika zbierała dane z sześciu najważniejszych czujników znajdujących się w telefonie – akcelerometru, żyroskopu, magnetometru, sensora zbliżeniowego, barometru oraz czujnika światła. Co przerażające, okazało się, że połączenie zebranych danych z nauczaniem maszynowym pozwoliło badaczom na uzyskanie skuteczności łamania hasła wynoszącej 99.5% przy trzech próbach (badacze wzięli pod uwagę 50 najpopularniejszych haseł PIN, jednak przedstawiona przeze mnie poniżej metoda może być stosowana na wszystkich kombinacjach liczbowych, jednak z mniejszą skutecznością). Warto pamiętać, że poprzedni najlepszy wynik oscylował w granicach 74%.
Na jakiej zasadzie zbierane były dane z czujników?
Badacze w swoim eksperymencie skorzystali ze sprytnej metody zbierania danych, która polegała na początkowym przeszkoleniu algorytmu pod względem reakcji czujników na wpisywanie kodów PIN. W tym celu na urządzeniu zarejestrowane zostało 70 losowych kodów odblokowujących, co pozwoliło przygotować aplikację do rozpoznawania wciskanych cyfr. Program pod uwagę brał dane takie jak kąt, w którym użytkownik trzyma smartfona czy ilość światła blokowanego przez jego palce – okazuje się, że dla każdej cyferki jest ona minimalnie inna. Następnie wszystkie informacje przetwarzane były przez algorytm bazujący na nauczaniu maszynowym, który weryfikował dane i odrzucał te najmniej potrzebne, tak, by nie zakłócały generacji najbardziej prawdopodobnych kodów PIN, z których może korzystać użytkownik.
Odgadnięcie kodu PIN może mieć poważne konsekwencje
Warto pamiętać, że odgadnięcie kodu PIN przez złośliwą aplikację nie tylko pozwala przestępcom na fizyczny dostęp do Waszego urządzenia, lecz także umożliwia innym złośliwym aplikacjom nadanie sobie ważnych uprawnień systemowych, które zazwyczaj autoryzowane są za pomocą kodu odblokowującego urządzenie. Jak na razie nie odkryto przypadków wykorzystania tego sposobu przez cyberprzestępców, ale warto zachować ostrożność – być może przyszłe wersje Androida dadzą użytkownikowi większą kontrolę nad czujnikami w smartfonie.
Źródło: NTU