资讯 政企安全
此为临时链接,仅用于文章预览,将在时失效

奇葩攻击方法:手机传感器可能暴露你的密码

作者:谢幺
2017/04/13 14:32

一位研究者最近公布了一种奇葩的破解手机 PIN 码手法,据称有74%的概率可以判断出用户输入的四位数 PIN 码—— 利用你的智能手机里的各种传感器。

据雷锋网了解,这位来自英国纽卡斯尔大学的研究人员制造了一种名叫“PINlogger.js”的程序脚本,它可以访问手机中各种传感器中的数据,包括 GPS定位 、摄像头、麦克风、重力感应器、陀螺仪、磁力计、NFC感应等等,各类手机传感器通吃。

在攻击演示中,用户被引诱打开一个网页。该网页将自动运行这段程序脚本,通过网页浏览器捕捉手机传感器的数据。这个脚本的厉害之处在于,它不需要用户授权网站或浏览器程序采集相关数据,也就是说在不知不觉的情况下,用户的数据就已经被全部偷走。

研究人员在报告中写道:

当用户通过 iframe 的形式(一种网页标签形式)加载了网页内容,攻击代码就已经开始监听用户通过手机传感器输入的数据。

据雷锋网了解,在上周公布的报告中,研究人员表示,基于手机浏览器内的 JavaScript (脚本)攻击完全可以对使用者造成安全威胁。不同于那些依赖手机应用程序的攻击方式,这种攻击方式不需要受害者安装任何程序,也不需要用户授权。

在演示中,研究人员通过上述方式,首次尝试就有74%的概率能获取,如果用户反复输入,盗取密码的成功率将在后两次尝试中上升到 86% 和 94%。研究人员说,这个概率取决于我们拿手机输入密码的方式:

  • 有可能单手拿着,拇指输入

  • 有可能一只手拿着,另一只手输入

  • 可能双手一起输入

不过无论使用哪种方式,无论是滑动输入还是点击输入,都可以记录下用户的触屏数据。

奇葩攻击方法:手机传感器可能暴露你的密码

研究人员指出,大部分人只关心一些比较敏感的传感器安全,比如摄像头、GPS,其实一些不太明显的传感器也可能成为一种威胁。如果用户打开了带有这种恶意脚本的网页没有关闭,然后在手机上输入了网银的账号密码,那么就有可能导致网银被盗。

据雷锋网了解,研究人员在公布成果之前,已经和各大浏览器厂商取得了联系,提醒防范可能存在的攻击方式。

事实上,在此之前浏览器厂商也注意到了手机传感器可能带来的安全隐患。火狐浏览器已经在2016四月发布的版本更新中,就对浏览器中 JavaScript 脚本访问运动和方向传感器进行了限制。苹果也早在iOS 9.3 发布时就对定位、螺旋仪等传感数据进行了限制。但目前谷歌方面还未发布任何说明,表明已经对该问题采取了相关措施。

最后在该安全报告中,研究人员建议用户在不使用应用程序或浏览器的时候,尽量关闭它们,以防万一。

via threat post

长按图片保存图片,分享给好友或朋友圈

奇葩攻击方法:手机传感器可能暴露你的密码

扫码查看文章

正在生成分享图...

取消
相关文章