Hakerzy mogą złamać twoje hasło analizując... ruch smartfona

Czasami proste rozwiązania są równocześnie tymi najlepszymi. Tak jednak nie jest w przypadku wirtualnych zabezpieczeń. Kod PIN da się łatwo złamać na wiele sposobów. Naukowcy odkryli, że wystarczą do tego dane przechwycone z żyroskopu i akcelerometru. Czy jest się czego bać?

Większość użytkowników boi się, że anteny GPS i kamerki smartfona mogą zagrażać ich prywatności. Mają oni oczywiście rację, co nie znaczy, że inne zagrożenia nie istnieją. Jest wręcz przeciwnie.

Niebezpieczeństwo kryje się nawet w czujnikach i sensorach ukrytych we wnętrzu urządzenia. Tak się składa, że nie wymagają one zgody użytkownika na zbieranie danych, więc wszystkie procesy mogą zachodzić bez jego wiedzy, w tle.

Zapytacie się teraz, co mogą o was powiedzieć dane zebrane z żyroskopu czy akcelerometru? Pozornie wydaje się, że nic. Co najwyżej reklamodawcy dowiedzą się, czy jesteście aktywni sportowo, czy jednak popołudnia wolicie spędzać na kanapie. Wykorzystają oni te dane, aby wyświetlić wam lepiej dopasowane reklamy, a więc pośrednio - zwiększyć zyski ze sprzedaży dóbr.

Okazuje się jednak, że czujniki wykrywające ruch i nachylenie smartfona mogą okazać się w niektórych przypadkach zaskakująco zdradzieckie. Naukowcy z Newcastle University w Wielkiej Brytanii przeprowadzili serię eksperymentów, z których wynikło, że dane z akcelerometru, żyroskopu i magnetometru w zupełności wystarczą do odgadnięcia 4-cyfrowego kodu PIN.

Skuteczność algorytmu łamiącego kod jest imponująca. Przy pierwszej próbie szansa na poprawne odgadnięcie wynosi aż 74 proc. Przy trzeciej wzrasta ona do 94 proc., a przy piątej jest już po ptakach - kod na 100 proc. zostanie odkryty.

Zasada działania jest bardzo prosta. Tapnięcie w określonym miejscu ekranu wywołuje "drgnięcie" smartfona w określony sposób. Okazuje się, że analizując dane z czujników ruchu, bez problemu można wykryć miejsca dotknięć, a nawet muśnięcia czy przytrzymania palcem.

Odkrycie to jest bardzo niepokojące, gdyż tak jak wspomniałem, czujniki ruchu nie wymagają zgody użytkownika na zbieranie danych, które mogą w bardzo prosty sposób trafić w niepowołane ręce. Wystarczy, że w przeglądarce internetowej otworzymy zawirusowaną stronę, której algorytmy będą zapisywały dane z czujników. Dopóki nie zamkniemy pechowej karty, smartfon będzie udostępniał wszystkie informacje - nawet gdy jest on wygaszony.

Sam proces tworzenia algorytmu łamiącego opierał się na uczeniu maszynowym. Naukowcy "pokazali" smartfonowi kilka kodów, a ten, dzięki sztucznym sieciom neuronalnym nauczył się ogólnej metody ich rozpoznawania.

Jakie z tego wszystkiego wnioski? Po pierwsze, warto zamykać nieużywane karty. Zminimalizujemy w ten sposób ryzyko trafienia na złośliwe algorytmy.

Po drugie, PIN nie jest dobrym sposobem na zabezpieczenie smartfona. I nie chodzi mi tutaj wyłącznie o dzisiejsze rewelacje. Jest to zabezpieczenie, które łatwo złamać, chociażby obserwując użytkownika smartfona. Prostym sposobem jest też zastosowanie kamery termicznej, która pokazuje, których cyferek dotknęliśmy i w jakiej kolejności.

Ponarzekaliśmy na PIN, a jakby nie patrzeć, ciężko znaleźć zabezpieczenie w 100 proc. skuteczne. Weźmy chociażby taki czytnik linii papilarnych. Zasadę jego działania przedstawiłem wam jakiś czas temu w osobnym artykule.

Wiele skanerów można oszukać, tworząc odlew palca lub po prostu specjalny wydruk.

Nie lepiej jest z rozpoznawaniem twarzy. Często zdarza się, że do złamania zabezpieczenia wystarczy zwykłe zdjęcie.

Nie chodzi tu nawet o takie zaawansowane rozwiązania jak skanery tęczówki.

W jednym z odcinków Appshakera prezentowałem wam chociażby aplikację PIN Genie Locker, która powoduje, że ten sam 4-cyfrowy kod PIN staje się wielokrotnie bezpieczniejszym zabezpieczeniem. Jakim cudem?

Aplikacja zamiast tradycyjnych pól z cyframi wyświetla dynamiczne okręgi, na których mieści się po kilka cyfr. Musimy dotknąć tego, w którym znajduje się dana cyfra naszego kodu. Po każdym tapnięciu cały układ się zmienia, więc ani kamera termowizyjna, ani żadne czujniki ruchu nie będą w stanie wykryć naszego PIN-u. Jest to bardzo proste rozwiązanie, ale zaskakująco skuteczne.

A jaki sposób zabezpieczenia smartfona stosujecie wy? Pochwalcie się w komentarzach. Warto jednak pamiętać, że niezależnie od wybranego zabezpieczenia, nie warto przechowywać na smartfonie bardzo wrażliwych i prywatnych danych. Hakerzy co chwilę wynajdują coraz bardziej wymyślne i zaskakujące sposoby na ich wykradanie.