通过手机传感器嗅探用户输入的密码 | 内附攻击视频

通过手机传感器嗅探用户输入的密码 | 内附攻击视频

话不多说，我们直接上攻击演示视频吧！

最近，研究人员发现了一个恶意文件。 此恶意 JS 文件可以在用户不知情的情况下悄悄加载到网站或应用程序中。 当用户使用智能手机访问网站或应用程序时，可以通过后台的各种手机传感器访问和收集用户的手机。 攻击者将能够使用这些收集到的数据来破解用户的密码或 PIN 码。

这种新的攻击技术是由英国纽卡斯尔大学的安全研究团队发现的。 研究人员表示，这个恶意脚本可以使用 25 个不同的传感器来收集数据。 整合收集到的数据后，攻击者将能够推断目标用户在手机上输入的内容。

并非所有传感器都受到操作系统权限的约束

这种攻击技术的存在主要是因为某些应用程序，例如网络浏览器，不会受到手机操作系统权限的限制，并且此类应用程序将能够访问手机上的所有传感器数据。

根据目前智能手机内置的权限模型，当App需要访问GPS、摄像头、麦克风等传感器时，手机会要求用户授权相应的操作。 然而，当App访问手机的加速计、陀螺仪、NFC和重力传感器等设备的数据时，手机不会向用户发出权限请求。 由于硬件成本低廉，这些传感器正在成为现代智能手机的标准功能。 然而手机操作系统更新升级的步伐却没有跟上，才导致了这个问题的出现。

该攻击依赖于恶意代码

为了验证这种攻击，研究人员编写了一个名为.js的文件，该文件可以访问这些不受系统权限控制的传感器，并获取传感器使用日志等数据。

如果用户允许浏览器或受感染的应用程序在手机后台运行，则 .js 脚本将在用户使用其他应用程序时继续收集传感器数据。 这时，用户任何时候输入的PIN码和密码都会被.js记录下来，这些数据会被发送到攻击者控制的服务器上。 随着手机配备的传感器越来越多，攻击者能够收集的数据量会更大，这也将导致攻击者破译用户输入的成功率更高。

“这就像玩拼图游戏。你获得的信息越多，你就能越快地拼凑出完整的图片，”一位博士说。 来自研究团队。

攻击者以非常高的准确度猜测 PIN 码

研究人员表示，他们训练了一个人工智能网络，只需监听手机运动和方向传感器的数据流即可破解用户密码，而无需特殊的访问权限。 据了解，他们总共测试了50多台用户设备，在第一次测试中，破解四位数PIN码的成功率高达74%。 经过神经网络的进一步训练，第二次和第三次测试的成功率分别提高到86%和94%。 此外，研究人员还升级了破解算法，现在可以处理字母和数字混合的密码。

根据研究人员透露的信息，他们研究的目的是提高制造商和用户对智能手机传感器访问权限的关注，因为当前移动操作系统制造商尚未建立标准的权限控制模型来管理智能手机传感器访问权限。 访问权限。

一些浏览器供应商已经修复了这个问题

研究团队已向多家浏览器制造商报告此问题。 根据该公司的公告， 从 46 版本开始限制了对手机运动和方向传感器的脚本访问。此外，苹果在 iOS 9.3 浏览器中也采用了类似的限制。 但需要注意的是，这个问题在当前的浏览器中仍然存在。

对此，研究人员表示，希望未来看到厂商从系统层面解决这个问题，而不是仅仅在应用程序中设置相应的权限限制。

后记

这项研究的完整报告已发表在《国际信息安全杂志》上。 有兴趣的同学可以去看看

*参考来源：，FB编辑编译，转载请注明出处来自.COM