"Умные" часы могут считать ПИН-коды банковских карт?

Уже давно возникла озабоченность по поводу безопасности смарт-часов, фитнес-трекеров и других подключенных к Интернету носимых аксессуаров, которые собирают конфиденциальную информацию, например, в какое время суток пользователь покидает свой дом. Для того, чтобы определить данные, вводимые пользователем на клавиатуре, в последних кибер-исследованиях в области безопасности для наблюдения за траекторией движения руки над клавиатурой были использованы камеры, или применялись методы машинного обучения, чтобы научить программу выявлять движения пользователя.

Теперь, «шпионить» за ПИН-кодами стало намного легче, благодаря датчикам, измеряющим ускорение, ориентацию и направление в наших наручных устройствах. Группа исследователей Технологического института Стивенса (Хобокен, Нью-Джерси) под руководством Чэнь Ван (Chen Wang) и Ингин Чэнь (Yingying Chen) провели 5000 испытаний ввода на трех различных клавиатурах – съемной клавиатуре банкомата, клавиатуре банкоматного устройства и компьютерной клавиатуре. Тесты проводили двадцать взрослых людей, носящих одно из трех различных устройств: смарт-часы LG W150, Moto360 или трекер движений InvenSense MPU-9150.

Группа экспериментаторов в ходе тестов загружала данные датчиков, которые записывали движения рук вплоть до миллиметра. Используя алгоритм, который они назвали «Backward PIN-sequence Inference Algorithm», ученые смогли взломать и определить коды с пугающей точностью.

Наиболее сложным было устранить ошибки, которые возникают при попытке вычислить величину перемещения на основе ускорения, говорят эксперты.

Этот метод не требует присутствия атакующего где-то рядом с клавиатурой банкомата или другого устройства ввода (например, электронный дверной замок или клавиатура компьютера). Вместо этого, данные могут быть похищены либо с беспроводного анализатора, расположенного рядом с клавиатурой для захвата пакетов Bluetooth, посылаемых носимым устройством на смартфон, или посредством установки вредоносного ПО на носимое устройство или смартфон для перехвата данных и отправки их на сервер злоумышленника.

Для устранения этого слабого места в обеспечении безопасности, производители носимых аксессуаров могли бы лучше защищать данные, или даже просто добавить шумы, чтобы затруднить трансляцию данных в физические движения рук. А пока вы можете «спрятать» свои собственные данные, делая кистью случайные движения между нажатием клавиш при вводе ПИН-кода. «Это может выглядеть странно, но это помогает, - говорит эксперт по вопросам кибербезопасности и мобильным системам Ян Ван (Yan Wang). - Если вы просто переходите от клавиши к клавише, мы можем это отследить».

По материалам Spectrum, PLUSworld.ru