האקרים מצאו דרך חדשה ומפתיעה לגניבת טביעות אצבע של משתמשים

This post is also available in: English (אנגלית)

כיום, טביעות אצבעות הן אחת מדרכי הזיהוי הפופולריות ביותר, ומשתמשות לפתוח את נעילת הטלפון הנייד, לאשר תשלומים מקוונים, לנהל בקרת גישה, ועוד שימושים רבים. משמעות הדבר היא שדליפה של מאגרי טביעות אצבע עלולה לגרום לנזק עצום.

חוקרים מסין ומארה"ב הצליחו לגנוב 27.9% של טביעות אצבע חלקיות ו-9.3% של טביעות אצבע מלאות תוך חמישה ניסיונות בלבד, והם עשו זאת באמצעות PrintListener. זוהי שיטת התקפה שממנפת את הסאונד שנוצר מחיכוך אצבעות המשתמשים על מסך הטלפון.

"תרחיש ההתקפה של PrintListener הוא נרחב וסמוי. הגורם הזדוני צריך רק להקליט את קולות החיכוך של קצה האצבע של המשתמש, וניתן להשתמש בו על מגוון רחב של פלטפורמות מדיה חברתית", כך נכתב במאמר שפורסם על ידי החוקרים.

לפי Cybernews, החוקרים החלו את המחקר בהקלטת קולות החיכוך של אצבעות תשעה משתתפים נגד טלפון עם מגן מסך מחוספס (matte). לאחר מכן הם עברו לכ-65 משתתפים בגילאי 18 עד 30 וניסו לחלץ מידע חשוב מהאודיו של חיכוך האצבעות על המסך.

כאשר האצבע מחליקה על המסך היא יוצרת רעש חספוס שהפקתו כרוכה בשלושה גורמים: החיכוך בין קצות האצבעות לבין מסך הטלפון שמגביר רטטים, הדינמיקה של הרטטים בין האצבע למסך, וצליל החספוס המקרין מהאצבע אל פני השטח של הטלפון ומתפשט דרך האוויר.

מחקר זה מרחיב מחקרים קודמים שהדגימו את הפגיעות והחולשות של מערכות זיהוי טביעות אצבע, במיוחד כאשר לתוקף יש אפילו מידע חלקי של טביעות האצבע של המשתמשים. יתר על כן, האזנה למגע של אצבע על מסכי טלפון מעניקה לתוקפים יתרון מכיוון שהם יכולים להיות חשאיים, להשתמש באפליקציות הפופולריות ביותר ובמיקרופונים פשוטים של מכשירים, ולא דורשת הכשרה מקיפה.

לסיכום, החוקרים סיפקו מספר פתרונות כדי להגן מפני התקפות כאלה, כולל שימוש במגן מסך חלק שמייצר פחות רעש ויוצר פחות חיכוך, או לנסות לא להרבות לגעת במסך הטלפון בזמן הקלטת וידאו/אודיו. הם בנוסף העלו הצעה לאפליקציות עצמן, שישתמשו בטכנולוגיית ביטול רעשים כדי להשמיד את קולות חיכוך האצבע על המסך באופן אוטומטי, או להקפיץ הודעות כדי להזהיר את המשתמשים מלגעת יותר מידי במסך כשהמיקרופון נמצא בשימוש.