IT業界社群及資訊平台

【暗黑技能】黑客可憑肩膊動態偷取密碼

University of Texas 與 University of Oklahoma 最近聯合發表論文 “Zoom on the Keystrokes: Exploiting Video Calls for Keystroke Inference Attacks.”,團隊運用自行研發程式,可以透過 Zoom 捕捉用戶打字記錄,若是密碼,只要比對密碼數據庫,就能推斷密碼組合。

當然大家會問 Zoom 期間黑客亂入,誘惑用戶在視像中輸入密碼的機會率有多大。的確,研究團隊要用指定 Web Cam、座椅與鍵盤等,才可將準繩度提高至 75%(最高 93%),換了密碼的準繩度將更低,非設定環境下,只徘徊在 20%。再者,實驗所用的感測程式,由兩所大學開發,暫未流出市面,所以說刻下風險很低並無不妥,但是否可以因此 Downplay 潛在風險?資安研究的初心,就是在受害者出現前警剔大眾,事實上,這次團隊所發現的 Keystroke Inference Attack 進化可能,出奇不意,毋須直接觀察手指,單靠肩膊動態也能獲取情報。Video Call 在後疫情下擠身主流通訊渠道,有誰想到露出頭肩頸會有這個風險?

根據兩所大學的研究論文,研究中開發的程式,並非觀察用家手指敲按鍵,相反,程式分析肩膊肌肉與關節化解指尖敲擊鍵盤後的 Action Reaction Force,因為每個人的打字姿勢受坐姿、力道、慣用手等因素影響,可以千變萬化,相對身體在處理 Action Reaction Force 的方式則較為統一。手指透過不同指骨連接手腕,每隻手指敲打鍵盤後所產生的反作用力,令手臂肩膊肌肉與關節出現細微變化差別,研究程式能因此記錄手指敲擊的鍵盤範圍、移動幅度等,並與字典比對,重組用戶輸入的文字。

要發動新型 Keystroke Inference Attack,黑客需要與目標進行 Video Call,又或入侵其 Video Call,而 Video Call 需要較高解像度,程式才能進行分析。論文同時指出,如目標使用的 Password 與數庫據內一百萬個常見 Password 相同,程式準繩度可達 75%,若用戶密碼由數字文字符號組成,又或由軟件隨意生成,程式準繩度則大幅下降至 18.9%。研究團隊指,程式測試範圍暫時只限視覺資訊,如果加入聲音,一定會提高準確性。

最後,到底用戶可以怎樣保護自己?Video Call 內不展示肩膊、留長頭髮、戴上古怪耳機、轉換背景光、與及不斷移動身體,均能妨礙程式分析。不過最實際,還請選用難拆解的密碼、2FA、Biometrics Password,此舉能夠抵禦的可不只 Keystroke Inference Attacks,帶來更全面保障。

資料來源:https://bit.ly/2IsBF6i

Privacy Preference Center