奇葩攻击方法：手机传感器可能暴露你的密码

一位研究者最近公布了一种奇葩的破解手机 PIN 码手法，据称有74%的概率可以判断出用户输入的四位数 PIN 码—— 利用你的智能手机里的各种传感器。

据雷锋网了解，这位来自英国纽卡斯尔大学的研究人员制造了一种名叫“PINlogger.js”的程序脚本，它可以访问手机中各种传感器中的数据，包括 GPS定位 、摄像头、麦克风、重力感应器、陀螺仪、磁力计、NFC感应等等，各类手机传感器通吃。

在攻击演示中，用户被引诱打开一个网页。该网页将自动运行这段程序脚本，通过网页浏览器捕捉手机传感器的数据。这个脚本的厉害之处在于，它不需要用户授权网站或浏览器程序采集相关数据，也就是说在不知不觉的情况下，用户的数据就已经被全部偷走。

研究人员在报告中写道：

当用户通过 iframe 的形式（一种网页标签形式）加载了网页内容，攻击代码就已经开始监听用户通过手机传感器输入的数据。

据雷锋网了解，在上周公布的报告中，研究人员表示，基于手机浏览器内的 JavaScript (脚本）攻击完全可以对使用者造成安全威胁。不同于那些依赖手机应用程序的攻击方式，这种攻击方式不需要受害者安装任何程序，也不需要用户授权。

在演示中，研究人员通过上述方式，首次尝试就有74%的概率能获取，如果用户反复输入，盗取密码的成功率将在后两次尝试中上升到 86% 和 94%。研究人员说，这个概率取决于我们拿手机输入密码的方式：

• 有可能单手拿着，拇指输入

• 有可能一只手拿着，另一只手输入

• 可能双手一起输入
  

不过无论使用哪种方式，无论是滑动输入还是点击输入，都可以记录下用户的触屏数据。

研究人员指出，大部分人只关心一些比较敏感的传感器安全，比如摄像头、GPS，其实一些不太明显的传感器也可能成为一种威胁。如果用户打开了带有这种恶意脚本的网页没有关闭，然后在手机上输入了网银的账号密码，那么就有可能导致网银被盗。

据雷锋网了解，研究人员在公布成果之前，已经和各大浏览器厂商取得了联系，提醒防范可能存在的攻击方式。

事实上，在此之前浏览器厂商也注意到了手机传感器可能带来的安全隐患。火狐浏览器已经在2016四月发布的版本更新中，就对浏览器中 JavaScript 脚本访问运动和方向传感器进行了限制。苹果也早在iOS 9.3 发布时就对定位、螺旋仪等传感数据进行了限制。但目前谷歌方面还未发布任何说明，表明已经对该问题采取了相关措施。

最后在该安全报告中，研究人员建议用户在不使用应用程序或浏览器的时候，尽量关闭它们，以防万一。

via threat post