Một nghiên cứu của các nhà khoa học Singapore chỉ ra, hệ thống cảm biến ánh sáng, gia tốc, con quay hồi chuyển,… trên smartphone có thể trở thành “tay trong” hoàn hảo cho hacker đánh cắp mã PIN của bạn.
Nhóm nghiên cứu từ ĐH. Kỹ thuật Nanyang, Singapore (NTU Singapore) vừa đưa ra tuyên bố khẳng định, hệ thống cảm biến trong smartphone như cảm biến gia tốc, con quay hay cảm biến ánh sáng đang trở thành nguy cơ tiềm tàng khiến người dùng bị hack mã PIN.
Theo Phys, dựa trên dữ liệu kết hợp từ 6 cảm biến trên smartphone, sau đó áp dụng thuật toán deep learning, nhóm nghiên cứu đã mở khóa thành công những chiếc smartphone Android với độ chính xác lên tới 99,5% chỉ sau ba lần thử. Đáng chú ý, mã PIN được tìm thấy nằm trong danh sách 50 mã PIN phổ biến nhất.
Đây là một tỷ lệ đáng lo ngại bởi trước đó những nỗ lực thử phá mã PIN khác hầu hết chỉ đạt tỷ lệ thành công 74%.
Phương pháp tiếp cận của nhóm NTU có thể ứng dụng để dự đoán khoảng 10 ngàn kiểu kết hợp mã PIN khác nhau, gồm 4 chữ số. Theo tiến sỹ Shivam Bhasin, thuộc phòng thí nghiệm Temasek tại NTU, nhóm đã sử dụng dữ liệu từ hệ thống cảm biến để mô hình hóa mã PIN do người dùng thao tác trên màn hình.
Tiến sỹ Shivam Bhasin cùng các cộng sự đã hack thành công mã PIN điện thoại bằng dữ liệu từ cảm biến
Đó có thể là cách người dùng nghiêng điện thoại hay ánh sáng bị chặn như thế nào bởi ngón cái hoặc các ngón tay khác. Tất cả dữ liệu này đều được cảm biến ghi lại thành những bản log khá chi tiết.
Điều đáng nói, đây là một lỗ hổng bảo mật rất nghiêm trọng vì dữ liệu của bộ cảm biến này gần như có thể truy cập trái phép dễ dàng. Bởi lẽ, chúng không yêu cầu người dùng cần có quyền truy cập.
Dữ liệu từ cảm biến có thể phơi bày toàn bộ hoạt động cá nhân của bạn
Thử nghiệm của nhóm nghiên cứu bắt đầu bằng việc cài đặt một ứng dụng tùy chỉnh lên smartphone Android. Ứng dụng này sẽ có nhiệm vụ thu thập dữ liệu từ 6 bộ cảm biến: gia tốc, con quay, từ kế, khoảng cách, áp suất và ánh sáng.
Tiến sĩ Bhasin tiết lộ: “Khi bạn giữ smartphone và nhập mã PIN, cách điện thoại di chuyển khi bạn nhấn phím 1,5 hoặc 9 sẽ rất khác. Tương tự như vậy, khi bạn nhấn phím 1 bằng ngón cái trên bàn tay phải thì ánh sáng sẽ bị chặn lại nhiều hơn, so với việc bạn nhấn phím số 9”.
Tiếp đó, thuật toán dự đoán mã PIN sẽ được huấn luyện thông qua bộ dữ liệu thực hành của ba người. Những người này sẽ phải nhập 70 số PIN có bốn chữ số ngẫu nhiên trên smartphone. Ngoài việc ghi nhớ và học các dãy số, thuật toán sẽ liên tục ghi nhận các phản ứng của cảm biến liên quan tới cách người dùng nhập mã PIN.
Nhờ ứng dụng deep learning, thuật toán phân loại có thể đưa ra nhiều trọng số khác nhau đối với một loại cảm biến. Điều này giúp loại bỏ các yếu tố không quan trọng và tăng tỷ lệ phán đoán mã PIN cao hơn.
Biết rằng, mỗi người dùng lại có một mã PIN khác nhau. Tuy nhiên, các nhà khoa học nhận thấy, khi thuật toán được tiếp xúc với dữ liệu từ nhiều người dùng, tỷ lệ phán đoán thành công cũng sẽ cao hơn.
Như vậy, một ứng dụng chứa mã độc có thể không thể phán đoán được ngay lập tức mã PIN sau khi cài đặt. Nhưng nếu có sự hỗ trợ của máy học, nó có thể thu thập được dữ liệu từ hàng ngàn người và tìm hiểu cách họ nhập mã PIN. Lúc này, tỷ lệ đoán trúng mã PIN của hacker sẽ tăng lên đáng kể.
Giáo sư Gan Chee Lip, Giám đốc phòng thí nghiệm Temasek thuộc NTU tiết lộ thêm, các thiết bị bảo mật cao vẫn có nguy cơ bị tấn công thông qua kênh phụ. Điều này có nghĩa rằng, dữ liệu cảm biến có thể bị chuyển hướng thông qua các ứng dụng chứa mã độc.
Nhưng đáng lo ngại hơn cả theo GS. Gan, ngoài việc bị rò rỉ mã PIN, thông tin về cảm biến trên smartphone cũng sẽ phơi bày nhiều hành vi của người dùng. Hơn hết, người dùng cá nhân hoặc doanh nghiệp sẽ không muốn điều này xảy ra.
Trong kết luận nghiên cứu, tiến sỹ Bhasin đưa ra khuyến cáo với các nhà phát triển hệ điều hành. Nhóm cho rằng, đã đến lúc cần hạn chế quyền truy cập vào sáu bộ cảm biến này trong tương lai. Hơn hết, người dùng cần được trao quyền lựa chọn ứng dụng nào đáng tin cậy nhất có thể tiếp cận với dữ liệu cảm biến.
Hiện tại, để giữ thiết bị an toàn, tiến sỹ Bhasin khuyên người dùng cần tạo mã PIN dài hơn 4 chữ số, hoặc sử dụng các biện pháp xác thực khác như dấu vân tay hoặc nhận diện gương mặt.
Nghiên cứu trên đã được công bố trên tạp chí Cryptology ePrint Archive hồi đầu tháng 12.
Nguồn: VnReview
