Хакер #305. Многошаговые SQL-инъекции
Ученые, занимающиеся компьютерной техникой, разработали приложение для
Android, которое записывает нажатия клавиш, используя сенсоры смартфона для
определения места на сенсорной панели, до которого дотрагивается пользователь.
Демо-версия данного приложения, получившего название TouchLogger, позволила
своим создателям в калифорнийском университете Дэвиса продемонстрировать
уязвимость смартфонов и планшетных компьютеров, на которую раньше мало кто
обращал внимание: хотя у большинства из этих девайсов отсутствует клавиатура,
которая, как давно известно, может практически свободно разглашать вводимую
пользователем информацию, они также остаются уязвимыми для отслеживания через
сходные атаки побочных каналов ввода данных.
Подслушивающие обычно измеряют звук и электромагнитное излучение, чтобы
получить информацию, вводимую с помощью обычных клавиатур, но они также могут
отслеживать движение девайса для достижения того же результата с сенсорной
панелью.
"Наше открытие заключается в том, что датчики движения, такие как
акселерометры и гироскопы, могут быть использованы для распознавания нажатия
клавиш", - пишут исследователи в
отчете, представленном на прошлой неделе на семинаре HotSec'11 в
Сан-Франциско. "Когда пользователь печатает что-либо на сенсорной клавиатуре
своего смартфона (и особенно когда держит его в руке, а не на какой-то
поверхности), телефон вибрирует. Мы обнаружили, что вибрация от нажатия клавиш
на сенсорной панели во многом связана с нажимаемыми клавишами".
Приложения типа TouchLogger могут быть значимыми, потому что они обходят
системы защиты, выстроенные в Android и Apple для предупреждения перехвата
информации с экранной клавиатуры. Приложение было разработано для работы на
смартфоне HTC Evo 4G. Точность его работы достигает 70% информации, вводимой на
цифровой сенсорной клавиатуре телефона. Приложение работает используя
акселерометр телефона для измерения движения прибора при каждом нажатии
сенсорной клавиши.
С минимальными изменениями исследователи надеются улучшить эффективность
TouchLogger, а также расширить список девайсов, на которых программа будет
работать.
"У планшетов экран больше, так что мы надеемся, что сможем получить более
высокую точность на стандартной клавиатуре", - объясняет Лианг Кай, аспирант
факультета вычислительной техники калифорнийского университета Дэвиса, который
работал со своим руководителем Хао Чен. "Хотя мы не испытывали данное приложение
на большом количестве приборов".
Кроме отслеживания приборов с большими сенсорными панелями, исследователи
утверждают, что TouchLogger может быть улучшен с помощью использования других
датчиков, встроенных в приборы. Главными кандидатами для этой роли выступают
гироскопы для измерения степени вращения и камеры для дальнейшего улавливания
движения. Ученые также отмечают, что W3C недавно опубликовала подробное описание
для получения приложениями доступа к сенсорам акселерометра и гироскопа через
JavaScript. Сейчас они занимаются расширением своей работы до полноценного
исследовательского проекта.
Пока ученые сообщили лишь о том, что данные о движении, полученные
собственными сенсорами устройств, могут предоставить крайне ценную информацию,
разглашая такие данные, как пароли, номера социального страхования, а также
номера кредитных карт.
"Мы надеемся повысить осведомленность о сенсорах движения как о потенциально
опасном побочном канале утечки конфиденциальной информации", - пишут они.
