Сёрфинг через плечо (компьютерная безопасность)
Тип социальной инженерии

В компьютерной безопасности , подглядывание через плечо — это тип техники социальной инженерии, используемой для получения информации, такой как персональные идентификационные номера (ПИН-коды) , пароли и другие конфиденциальные данные, путем заглядывания через плечо жертвы. Неавторизованные пользователи наблюдают за нажатиями клавиш, вводимыми на устройстве, или слушают конфиденциальную информацию, которая произносится, что также известно как подслушивание . [1] [2]

Методы и история

Эта атака может быть выполнена как с близкого расстояния (непосредственно глядя через плечо жертвы), так и с большего расстояния, например, с помощью бинокля или аналогичного оборудования. [3] Злоумышленникам не нужны никакие технические навыки для выполнения этого метода, и достаточно внимательного наблюдения за окружением жертвы и шаблоном набора текста. В начале 1980-х годов серфинг через плечо практиковался возле общественных телефонов-автоматов, чтобы украсть цифры телефонных карт и совершать междугородние звонки или продавать их на рынке по более низким ценам, чем заплатил первоначальный покупатель. Однако появление современных технологий, таких как скрытые камеры и секретные микрофоны, упрощает серфинг через плечо и дает злоумышленнику больше возможностей для выполнения серфинга через плечо на большом расстоянии. Скрытая камера позволяет злоумышленнику запечатлеть весь процесс входа в систему и другие конфиденциальные данные жертвы, что в конечном итоге может привести к финансовым потерям или краже личных данных . [4] серфинг через плечо чаще происходит в людных местах, потому что легче наблюдать за информацией, не привлекая внимания жертвы. [5] Существует два типа атак с использованием плечевого серфинга: атаки прямого наблюдения, в которых информация об аутентификации получается человеком, который напрямую отслеживает последовательность аутентификации, и атаки с записью, в которых информация об аутентификации получается путем записи последовательности аутентификации для последующего анализа с целью открытия устройства. Помимо угроз паролю или вводу PIN-кода, плечевой серфинг также происходит в повседневных ситуациях для раскрытия личного контента на портативных мобильных устройствах; было обнаружено, что визуальный контент плечевого серфинга приводит к утечке конфиденциальной информации пользователя и даже личной информации о третьих лицах. [6]

Контрмеры

Ввод пароля с помощью взгляда

Основная процедура ввода пароля на основе взгляда похожа на обычный ввод пароля, за исключением того, что вместо нажатия клавиши или прикосновения к экрану пользователь смотрит на каждый нужный символ или область триггера последовательно (так же, как при наборе текста глазами). Таким образом, этот подход может использоваться как с паролями на основе символов с использованием экранной клавиатуры, так и с графическими схемами паролей, как описано в. [7] Для обеспечения удобства использования и безопасности важны различные соображения. Технология отслеживания глаз значительно продвинулась с момента своего появления в начале 1900-х годов. [8] Современные устройства отслеживания глаз предлагают необременительное удаленное отслеживание глаз на основе видео с точностью до 1˚ угла зрения. Устройства отслеживания глаз являются специализированным приложением компьютерного зрения. Для наблюдения за глазами пользователя используется камера. Один или несколько источников инфракрасного света освещают лицо пользователя и создают блик — отражение источника света на роговице. Когда пользователь смотрит в разных направлениях, зрачок перемещается, но местоположение блика на роговице остается фиксированным. Относительное движение и положение центра зрачка и блика используются для оценки вектора взгляда, который затем сопоставляется с координатами на плоскости экрана.

Исследователи предложили способы противодействия серфингу плечом на мобильных устройствах, используя фронтальную камеру для ввода пароля на основе взгляда. Например, GazeTouchPIN [9] и GazeTouchPass [10] объединяют ввод взглядом в виде движений глаз влево/вправо и сенсорный ввод путем нажатия на экранные кнопки. Эти методы более безопасны, чем традиционный сенсорный ввод (например, PIN-код и шаблоны блокировки), поскольку они требуют, чтобы серферы плечом (1) наблюдали за глазами пользователя, (2) наблюдали за сенсорным вводом пользователя и (3) объединяли наблюдения.

Механизм альбома для рисования

Механизм альбома для рисования — это механизм антисерфинга плечом, который обладает характеристиками как отзыва, так и распознавания графических методов . Вместо использования обычного PIN-кода или пароля, включающего буквенно-цифровые символы, пользователи выбирают последовательность цветов или изображений, чтобы разблокировать систему. Порядок цветов и изображений, выбранных во время процесса входа в систему, должен совпадать с порядком при регистрации. [11] Этот метод безопасности антисерфинга плечом был разработан на основе результатов опроса о предпочтениях пользователей в выборе, [12] и посредством наблюдения за тем, как дети рисуют картинки. Результирующий механизм был разработан на основе опроса о выборе пользователей, и в результате были созданы три схемы ввода, названные Swipe Scheme, Colour Scheme и Scot Scheme. Swipe Scheme реализован в Microsoft Windows 8 , а в более поздних версиях он известен как Picture Password; однако он вызвал критику за то, что требовал от пользователя использовать достаточно безопасный жест. [13]

Схемы вводаМетоды ввода
Схема смахиванияПроведите пальцем по картинкам
Цветовая схемаНажмите на картинку, затем выберите цветные поля.
Шотландская схемаПроведите пальцем по картинке, коснитесь ее и выберите цветные поля одновременно.

Секретный метод подслушивания

Для доступа к конфиденциальной информации с низким риском подглядывания через плечо метод секретного нажатия представляет собой технику, которая не раскрывает информацию об аутентификации во время ввода, даже если другие лица пытаются просмотреть процесс ввода. Кроме того, риск записей с камер также представляет угрозу . Поэтому необходимо сделать процесс аутентификации более сложным, чтобы предотвратить кражу информации об аутентификации. Например, смартфоны используют биометрические данные, такие как сканирование отпечатков пальцев или распознавание лиц, которые не могут быть воспроизведены подглядывающим через плечо.

Метод аутентификации секретного касания может использовать значки или какую-либо другую форму системы. Цели системы секретного касания:

  • Устойчивость к скрытому наблюдению : поддерживать уровень устойчивости на уровне, который не допускает раскрытия информации об аутентификации другим лицам, даже если операция аутентификации выполняется многократно.
  • Устойчивость к атакам с записью : поддерживайте уровень устойчивости на уровне, который не позволяет другим лицам анализировать информацию аутентификации, даже если операция аутентификации полностью записана.
  • Устойчивость к атакам методом подбора : Поддерживайте уровень устойчивости на уровне, который предотвращает более легкий взлом процесса аутентификации, чем при атаке методом подбора на четырехзначный PIN-код. Эта политика соответствует стандарту, изложенному в ISO 9564-1. [7]
  • Удобство использования : Поддерживайте уровень удобства использования, позволяющий операторам легко выполнять операцию аутентификации.

Сравнение рисков буквенно-цифровых и графических паролей

Основным преимуществом графических паролей по сравнению с буквенно-цифровыми паролями является улучшенная запоминаемость. Однако потенциальным недостатком этого преимущества является повышенный риск серфинга через плечо. Графические пароли, которые используют графику или изображения [14], такие как PassFaces, Jiminy, [15] VIP, Passpoints [14] или комбинацию графики и звука, такие как AVAP, вероятно, все подвержены этому повышенному риску, если каким-то образом не смягчены при реализации. Результаты указывают на тот факт, что как буквенно-цифровые, так и графические механизмы аутентификации на основе паролей могут иметь значительную уязвимость к серфингу через плечо, если не приняты определенные меры предосторожности. Несмотря на распространенное мнение, что несловарные пароли являются наиболее безопасным типом аутентификации на основе паролей, результаты показывают, что это, по сути, самая уязвимая конфигурация к серфингу через плечо.

Ввод ПИН-кода

Персональный идентификационный номер (или PIN-код для краткости) используется для аутентификации в различных ситуациях, при снятии или внесении денег с банкомата , разблокировке телефона, двери, ноутбука или КПК . Хотя этот метод аутентификации представляет собой двухэтапный процесс проверки в некоторых ситуациях, он уязвим для атак через плечо. Злоумышленник может получить PIN-код, либо напрямую заглянув через плечо жертвы, либо записав весь процесс входа в систему . На таких предметах, как мобильные телефоны со стеклянными, глянцевыми экранами, пользователь может оставить пятна на экране, раскрывая PIN-код. [16] Некоторые высокоразвитые атаки используют тепловые камеры, чтобы увидеть тепловую сигнатуру введенного PIN-кода. [17] Тепловые атаки используют тепловые отпечатки пальцев, остающиеся на ключах после того, как аутентифицируемое лицо завершило ввод секрета. [18] Таким образом, различные устойчивые к плечу методы ввода PIN-кода используются для обеспечения безопасности процесса аутентификации . [19] Примерами являются PIN-клавиатуры со встроенными защитными экранами. Другим примером, используемым в банкоматах и ​​некоторых системах входа, является использование металлических PIN-накладок, что делает атаки с использованием тепловизионной камеры практически невозможными из-за их материала, [20] экранирования, отражательной способности или внутреннего нагрева. [18] Передача тепла посредством протирания теплыми предметами или руками оказалась эффективной для противодействия термическим атакам в ходе экспериментов. [18]

Тестирование контрмер

В когнитивной игре-ловушке участвуют три группы: проверяющий-машина, доказывающий-человек и наблюдатель-человек. Цель каждой группы состоит в том, что доказывающий-человек должен ввести PIN-код, отвечая на вопросы, заданные проверяющим-машиной, в то время как наблюдатель пытается пробраться через PIN-код. Поскольку контрмеры по своей конструкции сложнее обойти, наблюдателю нелегко запомнить весь процесс входа в систему, если у него нет записывающего устройства. [21]

Виртуальная реальность

Пользователь может надеть гарнитуру виртуальной реальности , чтобы смягчить проблемы, связанные с серфингом плечом; однако управление жестами, нажатие кнопок и голосовые команды все равно могут быть атакованы. [22]

Смотрите также

Ссылки

  1. ^ "Shoulder surfing - определение shoulder surfing в ... (nd)". Архивировано из оригинала 20 декабря 2016 года . Получено 21 октября 2016 года .
  2. ^ «Что такое серфинг плеч?». www.experian.com . 2018-04-30 . Получено 2020-02-23 .
  3. ^ Ки, Джаред (28 апреля 2008 г.). «Социальная инженерия: манипулирование источником». Читальный зал Института информационной безопасности SANS . Получено 24 октября 2016 г.
  4. ^ Лонг, Джонни (2008). «Shoulder surfing». Никакого технологического хакинга: руководство по социальной инженерии, нырянию в мусорные баки и серфингу на плечах . Берлингтон, Массачусетс: Syngress. стр. 27–60.
  5. ^ Goucher, Wendy (ноябрь 2011 г.). «Оглянитесь: опасности серфинга через плечо». Computer Fraud & Security . 2011 (11): 17–20. doi :10.1016/s1361-3723(11)70116-6.
  6. ^ Эйбанд, Малин; Хамис, Мохамед; фон Цезшвиц, Эмануэль; Хуссманн, Генрих; Альт, Флориан (май 2017 г.). «Понимание серфинга на плече в дикой природе: истории пользователей и наблюдателей» (PDF) . Труды конференции CHI 2017 года по человеческому фактору в вычислительных системах . стр. 4254–4265. doi :10.1145/3025453.3025636. ISBN 9781450346559. S2CID  11454671 . Получено 3 мая 2018 г. .
  7. ^ ab Suo, X. и Y. Zhu. Графические пароли: обзор. В трудах Ежегодной конференции по приложениям компьютерной безопасности. Тусон, Аризона, США, 2005.
  8. ^ Якоб, Р. Дж. К. и К. С. Карн, Отслеживание глаз во взаимодействии человека с компьютером и исследования удобства использования: готовы выполнить обещания, в книге «Взгляд разума: когнитивные и прикладные аспекты исследования движения глаз», редакторы Дж. Хайона, Р. Радах и Х. Дойбель. Elsevier Science: Амстердам. стр. 573–605, 2003
  9. ^ Хамис и др. GazeTouchPIN: Защита конфиденциальных данных на мобильных устройствах с использованием безопасной мультимодальной аутентификации. В трудах 19-й Международной конференции ACM по мультимодальному взаимодействию (ICMI 2017) http://www.mkhamis.com/data/papers/khamis2017icmi.pdf
  10. ^ Хамис и др. GazeTouchPass: Мультимодальная аутентификация с использованием взгляда и касания на мобильных устройствах. В материалах 34-й ежегодной конференции ACM Extended Abstracts on Human Factors in Computing Systems (CHI 2016 EA) 2016. http://www.mkhamis.com/data/papers/khamis2016chi.pdf
  11. ^ Сенг, Лим Ках; Итнин, Норафида; Мамми, Хазинах Кутти (2012). «Механизм антисерфинга плеча и его тест на запоминаемость». Международный журнал безопасности и его применения . 6 (4): 87–96.
  12. ^ Л. К. Сенг, Н. Итнин и Х. К. Мамми, «Сродство пользователя к выбору: особенности механизма защиты от несанкционированного доступа в графической схеме паролей мобильных устройств», Международный журнал по проблемам компьютерной науки, т. 2, № 8, (2011) https://www.researchgate.net/publication/266183490
  13. ^ Спектор, Линкольн (14.03.2016). «Графический пароль Windows 10: сделайте собственные выводы о его безопасности». PCWorld . Получено 23.02.2020 .
  14. ^ ab RC Thomas, A. Karahasanovic и GE Kennedy, «Исследование показателей задержки нажатия клавиш как индикатора производительности программирования», представленное на Австралазийской конференции по компьютерному образованию 2005 г., Ньюкасл, Австралия, 2005 г.
  15. ^ Л. К. Сенг, Н. Итнин и Х. К. Мамми, «Сродство пользователя к выбору: особенности механизма защиты от несанкционированного доступа в графической схеме паролей мобильных устройств», Международный журнал по вопросам компьютерной науки, т. 2, № 8, (2011)
  16. ^ "Атаки с использованием грязевых частиц на сенсорные экраны смартфонов | Труды 4-й конференции USENIX по наступательным технологиям" (PDF) . dl.acm.org . Получено 25.07.2020 .
  17. ^ «Тепловизионные устройства могут украсть ваши PIN-коды и пароли». www.consumeraffairs.com . 2014-09-02 . Получено 2020-07-25 .
  18. ^ abc Фрич, Лотар; Мекалифф, Мари; Опдал, Катинка В.; Рундгрин, Матиас; Саксе, Торил (2022). Надежность факторов аутентификации, вводимых с клавиатуры, с термической очисткой от термографических атак. Общество по информатике eV ISBN 978-3-88579-719-7.
  19. ^ Ли, М. (2014, апрель). Понятия безопасности и усовершенствованный метод для защиты от взлома через плечо человека. Труды IEEE по информационной криминалистике и безопасности, 9(4), 695–708. doi:10.1109/tifs.2014.2307671
  20. ^ "Кража PIN-кодов банкоматов с помощью тепловизионных камер". Naked Security . 2011-08-17 . Получено 2020-07-25 .
  21. ^ Рот, В. и Рихтер, К. (2006). Как парировать серфинг с плеча. Журнал банковского дела и финансов, 30(6), 1727-1751. doi:10.1016/j.jbankfin.2005.09.010
  22. ^ Абдрабу, Ясмин и др. (6–10 июня 2022 г.). Понимание поведения и моделей атак серферов на плечах с использованием виртуальной реальности (PDF) . Труды Международной конференции 2022 года по передовым визуальным интерфейсам (AVI 2022), 6–10 июня 2022 г., Фраскати, Рим, Италия.
Взято с "https://en.wikipedia.org/w/index.php?title=Shoulder_surfing_(компьютерная_безопасность)&oldid=1252000736"