Методи ідентифікації користувача за допомогою смарт девайсів

Чи правда, що 2 гаджети з’єднаних у пару можуть видати ваші дані?

Як це працює ? Два пристрої, що з’єднуються через Bluetooth, розпізнають один одного, обмінюючись інформацією, яку можна розглядати як адресу. Більшість пристроїв регулярно змінюють її, наприклад, коли з’єднання відновлюється або коли батареї розряджаються. Але деякі пристрої, такі як фітнес-трекери, зберігають ту саму адресу, незважаючи ні на що. Зловмисники можуть використовувати його як унікальний ідентифікатор. Найгірше, такі пристрої постійно передають цей сигнал, щоб залишатися на зв’язку з телефоном та надавати точні результати в режимі реального часу. Два пристрої, що з’єднуються через Bluetooth, повинні обмінюватися криптографічними ключами для встановлення безпечного з’єднання. Але не всі пристрої підтримують довгі та безпечні ключі шифрування. Тому необхідно «поговорити» один з одним, щоб визначитися з довжиною ключа. Зловмисники перехоплюють цей процес і змушують один із пристроїв «запропонувати» використовувати слабкий ключ шифрування, який може бути коротшим за 1 байт. Як тільки таке з’єднання буде встановлено, можна буде використовувати просту «атаку грубої сили», щоб зламати шифрування та почати спостерігати за трафіком, яким обмінюються пристрої.

      1. Bluetooth

Bluetooth є універсальним протоколом мінімальної потужності, працює на частоті в діапазоні від 2,4 до 2,485 ГГц. Bluetooth-пристрої створюють так звану пікомережу або дуже маленьку мережу. У пікомережі є один майстер і до семи активних підлеглих. Оскільки Bluetooth використовує стрибкоподібну перебудову частоти (частоти змінюються до 1600 разів на секунду), то комунікація цих пристроїв не заважає один одному, оскільки шанси двох пристроїв використовувати одну й ту саму частоту надзвичайно малі. Мінімальна специфікація діапазону Bluetooth становить 10 метрів, але обмежень на діапазон покриття, який виробники можуть реалізувати на своїх пристроях, не існує. Багато пристроїв мають діапазон покриття до 100 метрів. За допомогою спеціальних антен ми можемо розширити діапазон ще далі.

Як захиститися?

2. GPS

Не знаємо, чи варто тут багато чого розписувати. GPS можна зустріти не тільки в GPS-трекерах, а й в смарт годинниках, фітнес трекерах.

Способи відстеження за допомогою GPS інтуїтивно зрозумілі навіть тим користувачам, які не особливо пов’язані з кібербезпекою. Сенс полягає в тому, що більшість програм встановлених на вашому телефоні або іншій техніці, у фоновому режимі зчитують ваші GPS дані. Визначення місця, де знаходиться телефон, шляхом передачі сигналу супутнику, який повертає точні географічні координати на Google картах. Таким чином, великі корпорації збирають про вас величезну кількість даних і зберігають їх у себе на серверах.

В ідеальному світі ці дані повинні бути строго конфіденційними і не повинні виходити за рамки компаній, які їх збирають. Але ідеального світу не існує і ми чудово розуміємо, що є безліч варіантів, як ці дані можуть випадково опинитися не в тих руках. Приклад – компанія Yandex співпрацює з Російським ФСБ, і вона із задоволенням передасть всі можливі дані про будь-якого користувача при першому ж запиті. Це лише один приклад, є й інші способи, починаючи від банального підкупу співробітника, закінчуючи зломом та викачуванням всіх даних цих компаній. Так чи інакше особисто я не дуже хотів би, щоб товариш майор або будь-які інші “доброзичливці” знали де я живу, працюю, тренуюсь або п’ю пиво ввечері з друзями. Як цьому протидіяти? Думаю ви вже здогадалися, ви просто ручками вимикаєте відстеження геолокації в кожному додатку, починаючи від телеграма, закінчуючи додатком для вивчення англійської і включаєте тільки в разі потреби.

3. Акселерометр, гіроскоп та мікрофони

Група дослідників з Інституту інженерів електротехніки та електроніки (IEEE) розробила систему PinMe, що дозволяє на основі відкритих даних та інформації від різних датчиків смартфона відстежувати його місцезнаходження з точністю, порівняною з GPS. У зв’язку з цим дослідники закликають виробників гаджетів додати програмне рішення, що відключає роботу всіх датчиків, а не лише GPS. Вчені виявили пролом у безпеці смартфонів. Зіставляючи інформацію з акселерометра та гіроскопа з відкритими даними – картами та звітами про погоду, вони змогли визначити місцезнаходження людини, її маршрут та вид транспорту. Для початку PinMe зчитував інформацію про останню IP-адресу смартфона і статус мережі, щоб визначити останнє підключення до Wi-Fi – так програма отримувала відправну точку для подальшої роботи. Потім додаток використовував алгоритм, якому його «натренували» за допомогою машинного навчання, щоб розпізнати різницю між ходьбою, кермом, польотом та іншими способами пересування. Для цього використовувалися дані з сенсорів – напрямок та швидкість руху, періодичність зупинок, а також висота над рівнем моря.

Після визначення способу пересування PinMe включало новий алгоритм та починало складати маршрут користувача. Сервіс OpenStreetMaps використовувався для отримання навігаційних даних. Google Maps допомагала визначати розташування завдяки зіставленню з картою висот над рівнем моря. Щоб уточнити маршрут, програма використовувала метеосервіс Weather Channel: точна інформація про температуру та тиск повітря допомагає нівелювати вплив погодних умов на зібрану датчиками інформацію.

SonarSnoop – техніка відстеження руху пальців для визначення коду розблокування телефону, заснована на принципі роботи сонара – верхній та нижній динаміки смартфона генерують нечувані коливання, а вбудовані мікрофони вловлюють їх для аналізу наявності відбитих від руки коливань.
Акселерометр – це датчик, який вимірює прискорення (величину зміни швидкості).
Гіроскоп у телефоні – спеціальний датчик. Він призначений для того, щоб визначати положення апарату у просторі.

      Акселерометр допоможе дізнатися пароль, який ви набираєте на комп’ютері. Уявіть, що ви набираєте текст на клавіатурі (не сенсорної, а звичайної), а телефон поклали поруч стіл. Акселерометр телефону (датчик прискорення) може вловити вібрації від натискання клавіш. Гіроскоп може очистити ці дані від шумів. За допомогою спеціальної програми можна проаналізувати вібрації та встановити, до яких клавіш вони належать. Програма попарно порівнює вібрації і розуміє, яка клавіша розташована далі від телефону, а яка ближче до нього, і таким чином «відновлює» всю або більшу частину клавіатури. Як бачимо, звичні всім гаджети які розширюють та доповнюють функціонал нашого смартфону теж можуть бути джерелами «зливу» персональних даних. Так, в нас є технологія передачі даних яка не є самою надійною. В нас є безліч датчиків які можуть нам допомагати як нам так і зловмиснику. Але ми можемо знизити ризик: оновлюємо ПЗ, використовуємо складні паролі та змінюємо їх періодично, вимикаємо активний пошук Wi-fi та Bluetooth, відслідковуємо дозволи застосувань та програм і не забуваємо за власну інформаційну гігієну.

Слава Україні!