Bạn có biết chiếc SmartPhone của bạn có bao nhiêu loại cảm biến có sẵn không? Và nó thu thập được những dữ liệu gì từ các hoạt động thể chất và hoạt động công nghệ số của bạn?
Một chiếc SmartPhone bình thường hiện nay đều bao gồm một loạt các loại cảm biến như GPS, máy ảnh, micro, cảm biến gia tốc kế, cảm biến từ kế, cảm biến tiệm cận, con quay hồi chuyển, cảm biến đo bước, công nghệ kết nối không dây trong phạm vi ngắn (NFC), và một số loại cảm biến chưa được kể hết.
Hiện nay, theo 1 nhóm các nhà khoa học từ Đại học Newcastle ở Anh, các tin tặc có thể đoán được mã pin và mật khẩu mà bạn đăng nhập vào trang web ngân hàng, các ứng dụng hay màn hình khóa điện thoại của bạn, với độ chính xác đáng kinh ngạc bằng cách theo dõi cảm biến điện thoại của bạn, ví dụ như thông qua góc và chuyển động của điện thoại trong khi bạn gõ.
Nguy cơ xảy ra vấn đề đó là do các web và ứng dụng độc hại truy cập hầu hết các cảm biến nội bộ của SmartPhone mà không yêu cầu bất kỳ quyền truy cập nào, thậm chí kể cả khi bạn đang truy cập vào trang web an toàn trên HTTPS để nhập mật khẩu của bạn.
Điện thoại của bạn không hạn chế ứng dụng truy cập dữ liệu của bộ cảm biến
Các ứng dụng từ chiếc SmartPhone của bạn thường yêu cầu quyền truy cập của bạn để truy cập vào các cảm biến như GPS, máy ảnh và micro.
Tuy nhiên, do sự bùng nổ của các ứng dụng trò chơi cũng như các ứng dụng về sức khỏe trong vài năm gần đây, hệ điều hành di động không hạn chế các ứng dụng đã cài đặt truy cập dữ liệu từ rất nhiều bộ cảm biến chuyển động như cảm biến gia tốc kế, con quay hồi chuyển, NFC và cảm biến tiệm cận.
Bất kì ứng dụng độc hại nào cũng có thể sử dụng những dữ liệu này vào các mục đích bất chính. Điều này cũng tương tự với các trang web không đúng định dạng.
“Hầu hết các điện thoại SmartPhone, máy tính bảng và các thiết bị có thể nghe khác, đều được trang bị nhiều bộ cảm biến, từ hệ thống GPS phổ biến, máy ảnh và micro đến các thiết bị như con quay hồi chuyển, cảm biến tiệm cận, NFC hay cảm biến xoay và cảm biến gia tốc kế”, theo như nhà nghiên cứu chính của bài báo, ông Maryam Mehrnezhad công bố trong quá trình nghiên cứu.
“Tuy nhiên, bởi vì các ứng dụng di động và các trang web không yêu cầu quyền truy cập, nên các chương trình độc hại có thể bí mật “lắng nghe” dữ liệu cảm biến của bạn và sử dụng nó để khám phá một loạt thông tin nhạy cảm về bạn như thời gian gọi điện thoại, hoạt động thể chất và thậm chí là cả hành động cảm ứng khi bạn nhập mã PIN và mật khẩu của bạn.”
Các nhà khoa học thậm chí đã chứng minh một cuộc tấn công có thể ghi dữ liệu từ khoảng 25 loại cảm biến trong chiếc SmartPhone. Họ cũng đã cung cấp một cuộc trình diễn video về cuộc tấn công, nó cho thấy cuộc tấn công độc hại của họ đang thu thập dữ liệu cảm biến từ thiết bị iOS.
Nhóm nghiên cứu đã viết một tệp JavaScript độc hại với khả năng truy cập các bộ cảm biến này và đăng nhập dữ liệu thông dụng của họ. Tập lệnh độc hại này có thể được nhúng trong ứng dụng dành cho thiết bị di động hoặc được tải lên các trang web mà bạn không biết.
Việc cần làm bây giờ của những kẻ tấn công là lừa các nạn nhân cài đặt các ứng dụng độc hại hoặc truy cập vào các trang web giả mạo.
Một khi điều này xảy ra, bất kể nạn nhân nào đang sử dụng thiết bị của họ trong khi các ứng dụng độc hại hay các trang web vẫn chạy ngầm trong điện thoại thì đoạn mã độc hại sẽ tiếp tục truy cập dữ liệu từ các cảm biến khác nhau và ghi lại thông tin cần thiết để đoán mã PIN hoặc mật khẩu và sau đó gửi nó đến máy chủ của kẻ tấn công.
Dự đoán mã PIN và mật khẩu với độ chính xác cao
Các nhà nghiên cứu đã đoán được mã PIN có bốn chữ số ở lần thử đầu tiên với độ chính xác 74% và ở lần thử nghiệm thứ năm có độ chính xác là 100% dựa trên dữ liệu được ghi lại từ 50 thiết bị bằng cách sử dụng dữ liệu thu thập được từ cảm biến chuyển động và cảm biến định hướng, đây là những cảm biến không yêu cầu sự cho phép đặc biệt nào để truy cập.
Các nhà khoa học thậm chí còn có thể sử dụng dữ liệu đã thu thập để xác định nơi người dùng đang gõ và chạm vào, đó là tất cả những gì họ đang gõ ở một trang web di động và phần nào của trang mà họ nhấp chuột vào.
Các nhà nghiên cứu cho biết nghiên cứu của họ chỉ nhằm nâng cao nhận thức cho những bộ cảm biến không yêu cầu quyền truy cập của SmartPhone, và cho những nhà cung cấp chưa tính đến bất kỳ sự hạn chế nào trong mô hình quyền truy cập theo tiêu chuẩn của họ.
Ông Mehrnezhad nói rằng : “Mặc dù tồn tại những rủi ro rất thực tế, khi chúng tôi hỏi mọi người về loại cảm biến mà họ quan tâm nhất, chúng tôi đã tìm ra mối tương quan trực tiếp giữa sự hiểu biết và sự nhận thức về rủi ro. Do đó mà mọi người quan tâm nhiều hơn đến máy ảnh và GPS hơn là về những loại cảm biến im lặng.”
Ông Mehrnezhad cho biết nhóm nghiên cứu đã cảnh báo các nhà cung cấp trình duyệt hàng đầu như Google và Apple về những rủi ro, trong khi một số khác, bao gồm Mozilla và Safari, đã sửa một phần vấn đề, nhóm nghiên cứu vẫn đang làm việc với ngành công nghiệp này để tìm ra một giải pháp lý tưởng.
Các bạn có thể tìm thấy thông tin chi tiết về vấn đề kỹ thuật trong báo cáo nghiên cứu đầy đủ, có tiêu đề “Trộm cắp mã PIN thông qua bộ cảm biến di động: thực tế với nhận thức của người dùng”, đăng trên Tạp chí Quốc tế về An toàn thông tin.
