Újabb kreatív és olcsó módszerrel próbálnak ellopni jelszavakat

Számítógépes jelszavak, telefonos nyitókódok, de bankautomatán vagy kártyaterminálon beütött PIN-kódok is megszerezhetők azzal a módszerrel, amelyet a Glasgow-i Egyetem biztonsági szakértője vizsgált. A „hőtámadás” lényege, hogy a felhasználó érintésének nyomát fedik fel a felületen maradó hő segítségével.

A módszer nem bonyolult, a hőkamerával egy percen belül készített képen láthatóan világítanak a leütött billentyűk, amiből a teljesen laikus emberek is jó eséllyel ki tudják sakkozni a jelszót. Ráadásul a hőkamerák ára is olyan szintre csökkent, hogy nem jelent fenyegetően nagy befektetést a támadás alapvető kelléke.

A módszert kutató dr. Mohamed Khamis nem állhatja a kisstílűséget, ezért ThermoSecure néven 1500 fotón betanított egy gépi intelligenciát, ami leveszi a találgatás terhét a hacker válláról. A rendszer 86 százalékos sikerrel végzi a hőtámadást a jelszó begépelése után 20 másodperccel készített kép alapján, de a nyomok kihűlésével csökken a hatékonyság: fél perc után már csak 76 százalék, egy perc után 62 százalék.

A számok alapján a ThermoSecure nem tűnik irtó pontosnak, de nem árt tudni, hogy 67 százalékos sikert ér el 16 karakteres jelszavak ellen is, ami már a kigyúrtabb laikusoknak is túl nagy kihívás lenne. Tizenkét karakteres jelszónál 82 százalékos, nyolc karakteresnél 93 százalékos, hat karakteresnél 100 százalékos eredménnyel találgat a gép.

Jelszó a jelszavunk

Dr. Khamis elismeri, hogy a tolvaj elfogásához a tolvaj fejével kell gondolkodni. 

Szeretnénk a döntéshozók figyelmét felhívni a veszélyre, amit a hőtámadás jelent az adatbiztonságra nézve. A kockázat csökkentésének egyik módja lehet, ha illegálissá tennék a biztonsági szoftver nélküli hőkamerákat. Jelenleg egy olyan mesterséges intelligencia alapú rendszert fejlesztünk, amely megoldást jelent a problémára

– mondja.

A kutatásból kiderül továbbá, hogy a támadhatóság a körülményektől is nagyban függ. Az egyujjas betűvadász módjára gépelők jellemzően tovább tartanak lenyomva egy billentyűt, így az ő nyomaik tovább felismerhetők. A hő nyomai tovább megmaradtak a játékkockáknál is használt ABS műanyagokon, mint a hőszigetelésre használt PBT műanyagokon. A háttérvilágítással szerelt billentyűzetekről ugyancsak nagyon nehéz volt használható nyomot szerezni.

A kutatók továbbá felhívták a figyelmet, hogy a többfaktoros azonosítás, illetve az ujjlenyomat- vagy arcfelismerés-alapú autentikáció ellehetetleníti a kígyószemű hackelést, de a bináris jelszót használók is nyugodtan hátradőlhetnek – ha van hová.

(TechXplore)