Новая техника слежения за пользователями мобильных устройств на Android и iOS позволяет отслеживать людей в разных приложениях и сайтах, используя данные о калибровке сенсоров устройств.
Атака была создана экспертами из Кембриджского университета, получила название SensorID и работает за счет того, что любой сайт или приложение могут без каких-либо специальных разрешений получить доступ к заводским данным о калибровке таких сенсоров: гироскоп и магнитометр для iOS; и акселерометр, гироскоп и магнитометр для Android. Извлечение этих данных занимает не больше одной секунды, причем положение и ориентация устройства на это не влияют. Эксперты пишут, что пытались даже измерить показания сенсоров в разных местах и при разных температурах, но это тоже никак не повлияло на атаку SensorID.
Исследователи отмечают, что проблема SensorID более актуальна для устройств на iOS, так как Apple, как правило, калибрует все устройства iPhone и iPad на своих заводах, тогда как производители Android-устройств часто опускают этот этап, не заботятся об улучшении точности сенсоров и не встраивают данные калибровки в прошивки гаджетов для компенсации систематических ошибок изготовления.
Данные калибровки могут стать уникальным идентификатором устройства, который рекламные или аналитические компании смогут использовать для отслеживания пользователя в интернете, в том числе при переключении между разными браузерами и сторонними приложениями. Дело в том, что данные калибровки — это постоянная, которая не изменяется даже после сброса устройства к заводским настройкам, то есть идентификатор получается надежным и неизменным, как IMEI.
Эксперты уведомили представителей Apple и Google о проблеме SensorID в августе и декабре 2018 года.
В итоге инженеры Apple присвоили уязвимости идентификатор CVE-2019-8541 и устранили ее с релизом iOS 12.2, в марте текущего года. Кроме того, текущей весной компания запретила сайтам извлекать данные о калибровке устройств через мобильный Safari.
Специалисты Google, в свою очередь, до сих пор занимаются изучением проблемы и не торопятся выпускать патчи. Но, как уже было сказано выше, атаки SensorID прежде всего опасны для устройств на базе iOS, тогда как в экосистеме Android куда больше бюджетных продуктов с неоткалиброванными сенсорами. Впрочем, тестирование флагманских Android-устройств (таких как Pixel 2 и Pixel 3) выявило, что против них SensorID отлично работает.
На специальной демо-странице, созданной экспертами, пользователи могут проверить свои устройства на уязвимость перед атакой SensorID.
