स्मार्टफोन ब्राउज़र के माध्यम से एक पिन कोड चोरी करने के लिए एक स्क्रिप्ट विकसित की गई है

विभिन्न इनपुट विधियां झुकाव कोणों को प्रभावित करती हैं, लेकिन तंत्रिका नेटवर्क किसी भी मामले में स्क्रिप्ट द्वारा डेटा संग्रह के बाद पिन कोड को पहचानता है

जैसा कि आप जानते हैं, किसी भी स्मार्टफोन में कई सेंसर होते हैं - जीपीएस, लाइट, ओरिएंटेशन सेंसर, मूवमेंट सेंसर और लगभग 20 और सेंसर - ये सभी लगातार डेटा प्रदान करते हैं ताकि स्मार्टफोन आसपास की भौतिक दुनिया के साथ बातचीत कर सके। आधिकारिक जावास्क्रिप्ट एपीआई के अनुसार, डेवलपर्स के पास इन सेंसर से जानकारी तक पहुंचने के कई तरीके हैं, जिसमें एक मोबाइल ब्राउज़र के माध्यम से भी शामिल है ।

यह विधि रिमोट हैकिंग के लिए संभावनाओं का एक विस्तृत क्षेत्र खोलती है। उदाहरण के लिए, न्यूकैसल विश्वविद्यालय में स्कूल ऑफ कंप्यूटर साइंस के विशेषज्ञों ने Pinlogger.js स्क्रिप्ट विकसित की है, जिसके साथ आप यह निर्धारित कर सकते हैं कि कौन सा बटन एक ब्राउज़र के माध्यम से ऑन-स्क्रीन कीबोर्ड पर क्लिक करता है। स्क्रिप्ट प्रत्येक क्लिक के साथ मोबाइल डिवाइस के झुकाव सेंसर से जानकारी पढ़ती है। हैरानी की बात है कि कुछ ब्राउज़रों (सफारी) में, ब्राउज़र में लॉन्च की गई स्क्रिप्ट लॉक स्क्रीन से भी डेटा एकत्र करना जारी रखती है। यह उसी तरह से काम करता है, अगर पड़ोसी टैब पर आप पिछले टैब को बंद किए बिना ऑनलाइन बैंकिंग में पासवर्ड टाइप करते हैं।

यह विधि एक स्क्रिप्ट के साथ दुर्भावनापूर्ण वेबसाइट के माध्यम से और किसी भी मोबाइल एप्लिकेशन से, जिसमें सेंसर से जानकारी तक पहुंच है, दोनों के लिए पिन कोड चोरी करने के लिए उपयुक्त है। पिन अंकों की मान्यता सटीकता काफी अधिक है। एक चार अंकों के पिन कोड को 70% की संभावना के साथ पहले प्रयास पर, दूसरे पर - 86%, तीसरे पर - 94% और पांचवें प्रयास पर - विभिन्न उपयोगकर्ताओं के लिए 98% या एक उपयोगकर्ता के लिए 99% की संभावना के साथ मान्यता प्राप्त है।


पड़ोसी टैब से हमला करने वाले वैक्टर (बी) केवल आईओएस के लिए क्रोम और डॉल्फिन में काम करते हैं, और फ्रेम से (ए) सफारी, क्रोम, फ़ायरफ़ॉक्स, ओपेरा और डॉल्फ़िन सहित सभी लोकप्रिय ब्राउज़रों में काम करते हैं।

हमले के व्यावहारिक प्रदर्शन के लिए, चार अंकों के पिन कोड दर्ज करने के लिए एक विशेष इंटरफ़ेस विकसित किया गया था। क्लाइंट पार्ट को ओरिएंटेशन और मोशन सेंसर की सर्वर रीडिंग के लिए भेजा जाता है। सर्वर भाग Node.js पर लागू किया गया था, और सेंसर रीडिंग MobgoLab डेटाबेस में संग्रहीत किए गए थे।

इस डेमो में, शोधकर्ताओं को ऑनकीडाउन इवेंट का उपयोग करके कीबोर्ड घटनाओं की पहचान करना आसान था। वैज्ञानिक कार्य के लेखक इस तथ्य पर ध्यान आकर्षित करते हैं कि सेंसर, टचलॉगर और टैपलॉगर जैसी जानकारी के लिए पिन कोड एकत्र करने के लिए अन्य कार्यक्रमों में एक समान दृष्टिकोण का उपयोग किया जाता है। यदि आपको लॉक स्क्रीन पर क्लिक का पता लगाने की आवश्यकता है, तो आपको डेटा के आवश्यक टुकड़ों को अलग करने के लिए सेंसर डेटा को विभाजित करने के लिए अधिक जटिल परिदृश्य की आवश्यकता हो सकती है। उदाहरण के लिए, यह सिग्नल के चरम आयामों को मापने और अतिरिक्त सेंसर का उपयोग करके किया जा सकता है, जैसा कि पिछले वैज्ञानिक पत्रों में दिखाया गया है। डेटा दर्ज करने के लिए कोड GitHub पर प्रकाशित किया गया है ।

डेटाबेस दबाव के समय क्लिक और सेंसर रीडिंग के बारे में जानकारी जमा करता है। 10 स्वयंसेवकों में से प्रत्येक ने पांच बार 50-अंकीय पिन कोड दर्ज किए (कुल 2488 सही ढंग से पिन कोड दर्ज किए गए)। यह डेटा सेट तब लक्षणों को निकालने और फिर तंत्रिका नेटवर्क को प्रशिक्षित करने के लिए इस्तेमाल किया गया था (70% डेटा का उपयोग प्रशिक्षण के लिए किया गया था, परीक्षण के लिए 15% और परीक्षण के लिए 15%)।

तुलनात्मक परीक्षणों के परिणामों को देखते हुए, Pinlogger.js मोशन सेंसर से सूचनाओं से पिन कोड को पहचानने में बहुत बेहतर है, जैसे कि समान विकास। इसके अलावा, यह एक ब्राउज़र के माध्यम से पिन कोड चोरी करने के लिए पहली प्रणाली है, न कि स्मार्टफोन पर इंस्टॉल किए गए एप्लिकेशन के माध्यम से।



शोधकर्ताओं ने ध्यान दिया कि अधिकांश उपयोगकर्ता सेंसर से डेटा लेकर व्यक्तिगत डेटा के रिसाव के खतरे से अवगत नहीं हैं। एक उपयोगकर्ता सर्वेक्षण से पता चला है कि उनमें से अधिकांश जीपीएस या कैमरे में खतरे को देखते हैं, और न कि किस तरह के वास्तविक खतरे को देखते हैं - गति, झुकाव और अन्य के आंतरिक सेंसर में। संख्या 25 आकस्मिक नहीं है: यह सिर्फ इतने सारे सेंसर थे कि शोधकर्ताओं ने एक मानक स्मार्टफोन में गिना। नीचे दिए गए आरेख सर्वेक्षण के परिणामों को दर्शाता है - जिसमें 25 सेंसर उपयोगकर्ता सबसे बड़ा खतरा देखते हैं।



उपयोगकर्ता न केवल खतरे से अनजान हैं। कई को यह भी समझ में नहीं आता है कि 25 सेंसर में से अधिकांश किस तरह की जानकारी एकत्र करते हैं। कुछ सेंसर के बारे में लोगों ने सुना भी नहीं है।



समस्या यह है कि यह जानकारी ऑपरेटिंग सिस्टम स्तर पर संरक्षित नहीं है। यह एप्लिकेशन के लिए और ब्राउज़र के माध्यम से किसी भी साइट के लिए आसानी से उपलब्ध है - बिना अनुमति के। केवल कुछ सेंसर को एक कैमरा और जीपीएस सहित जानकारी प्रदान करने के लिए स्पष्ट अनुमति की आवश्यकता होती है। बाकी जानकारी पूरी तरह से खुले तौर पर प्रदान करते हैं।

इस खुले डेटा का उपयोग करके, आप न केवल पिन कोड और पासवर्ड एकत्र कर सकते हैं, बल्कि उपयोगकर्ता की निगरानी भी कर सकते हैं। कोई भी साइट यह निर्धारित कर सकती है कि कोई व्यक्ति कब कॉल प्राप्त करता है और लटकाता है,



... जब कोई व्यक्ति बैठता है, चलता है या दौड़ता है।



फिर, यह सभी जानकारी किसी भी साइट और किसी भी आवेदन पर बिना किसी अनुमति के उपलब्ध है। साइटें इसे मानक जावास्क्रिप्ट का उपयोग करके प्राप्त करती हैं।

मोबाइल उद्योग में सुरक्षा विशेषज्ञ और प्रमुख खिलाड़ी इस सुरक्षा समस्या के बारे में अच्छी तरह से जानते हैं, लेकिन अभी तक वे इसे हल करने के तरीके पर एकमत नहीं आए हैं।

यह वैज्ञानिक कार्य 7 अप्रैल, 2017 को इंटरनेशनल जर्नल ऑफ इंफॉर्मेशन सिक्योरिटी (doi: 10.1007 / s10207-017-0369-x), सार्वजनिक डोमेन में प्रकाशित हुआ था।