- Έρευνα δείχνει ότι ηλεκτρομαγνητικά σήματα από smartwatch με κυψελοειδή σύνδεση μπορούν να συλλεχθούν και να αποκαλύψουν συμπεριφορά, δραστηριότητες και πιθανές ενδείξεις υγείας.
- Το πρωτότυπο σύστημα MagWatch αναγνώρισε εφαρμογές και ενέργειες μέσα σε αυτές, αν και λειτούργησε αξιόπιστα μόνο σε πολύ μικρή απόσταση, περίπου 5 ίντσες.
- Οι ερευνητές ζητούν ενημέρωση και μέτρα προστασίας, όπως ρύθμιση συλλογής δεδομένων, θωράκιση συσκευών ή τεχνολογίες παρεμβολής.
Μερικές φορές, η κυβερνοασφάλεια δεν έχει να κάνει με κωδικούς πρόσβασης, τσιπ ή δίκτυα, αλλά με αυτό που φοράμε στον καρπό μας καθημερινά.
Νέα έρευνα με επικεφαλής μέλη ΔΕΠ και φοιτητές του Worcester Polytechnic Institute (WPI) δείχνει ότι ηλεκτρομαγνητικά σήματα από smartwatches που συνδέονται με κυψελοειδή δίκτυα μπορούν να συλλεχθούν.
Με βάση αυτά τα σήματα, είναι δυνατό να εξαχθούν συμπεράσματα για τη συμπεριφορά ενός χρήστη, τις δραστηριότητές του και ακόμη και για στοιχεία που σχετίζονται με την υγεία του.
Τα ευρήματα δημοσιεύθηκαν στη σειρά Lecture Notes in Computer Science, με συγγραφείς από WPI και Florida International University.
Τι έδειξε η επίδειξη και ποιος είναι ο βασικός περιορισμός
Η έρευνα βρίσκεται ακόμη σε πρώιμο στάδιο, και η ομάδα σημείωσε ότι το σύστημα συλλογής σημάτων που ανέπτυξε λειτούργησε με ακρίβεια μόνο όταν τα smartwatches βρίσκονταν σε απόσταση περίπου 5 ιντσών από τις συσκευές συλλογής.
Παρόλα αυτά, η επίδειξη ανέδειξε μια πιθανή ευπάθεια ασφάλειας που μέχρι σήμερα έχει λάβει μικρή προσοχή, σύμφωνα με τη Xiaoyan (Sherry) Sun, αναπληρώτρια καθηγήτρια στο Τμήμα Επιστήμης Υπολογιστών.
Στο πρωτότυπο πείραμα, το αποτελεσματικό εύρος συλλογής ήταν περίπου 5 ίντσες, δηλαδή γύρω στα 12,7 cm.
Γιατί τα smartwatch είναι ελκυστικός στόχος για profiling
«Οι άνθρωποι χρησιμοποιούν smartwatches για να παρακολουθούν καρδιακούς παλμούς, να στέλνουν μηνύματα και emails, να κάνουν streaming μουσικής και πολλά ακόμη», λέει η Sun.
«Είναι πιθανό να παρακολουθηθεί αυτή η δραστηριότητα και να χτιστεί ένα προφίλ του χρήστη, ίσως για στοχευμένη διαφήμιση ή ακόμη και για εγκληματικές ενέργειες», προσθέτει.
Η ανησυχία δεν αφορά μόνο το περιεχόμενο μιας συνομιλίας, αλλά και τα μοτίβα χρήσης που μπορούν να αποκαλύψουν ρουτίνες, συνήθειες και στιγμές αυξημένης ευαλωτότητας.
Τι είναι η «side-channel» ανάλυση και πού βασίζεται το MagWatch
Οι ερευνητές ανέφεραν ότι ανέπτυξαν ένα σύστημα, με όνομα MagWatch, για να διερευνήσει «side-channel» αδυναμίες στα smartwatches.
Η side-channel ανάλυση συλλέγει πληροφορίες που διαρρέουν ακούσια από ένα υπολογιστικό σύστημα, όπως ενδείξεις από κατανάλωση ισχύος ή ηλεκτρομαγνητικές εκπομπές, ώστε να εξαχθούν «μυστικά» ή συμπεράσματα.
Το MagWatch περιλαμβάνει έναν μικρό αισθητήρα για σύλληψη και επεξεργασία ηλεκτρομαγνητικών σημάτων από το hardware του ρολογιού, έναν αλγόριθμο ενίσχυσης των σημάτων και εργαλεία τεχνητής νοημοσύνης για ανάλυση.
Η side-channel επίθεση συχνά δεν «σπάει» κρυπτογράφηση, αλλά παρακάμπτει την ανάγκη πρόσβασης, αξιοποιώντας ακούσιες εκπομπές του hardware.
Ποιες συσκευές εξετάστηκαν και ποιες όχι
Η έρευνα δεν περιλάμβανε smartwatches που λειτουργούν μόνο με Bluetooth, καθώς αυτά εκπέμπουν λιγότερες ηλεκτρομαγνητικές πληροφορίες από τα ρολόγια που είναι συνεχώς συνδεδεμένα σε κυψελοειδή δίκτυα.
Στα πειράματα, η ομάδα τοποθέτησε μια συσκευή συλλογής κάτω από ένα γραφείο και κατέγραψε σήματα από κοντινά Android και Apple smartwatches.
Τι μπορούσε να αναγνωριστεί από τα σήματα
Τα τεστ έδειξαν ότι το σύστημα μπορούσε να αντιστοιχίσει σήματα που εξέπεμπαν τα smartwatches με εφαρμογές για μουσική, βίντεο, social media, πλοήγηση, υγεία και τραπεζικές υπηρεσίες.
Επιπλέον, τα σήματα μπορούσαν να αντιστοιχιστούν με δραστηριότητες μέσα στις εφαρμογές, όπως η ηχογράφηση ενός φωνητικού μηνύματος ή η αποστολή μηνύματος κειμένου.
Αυτό το σημείο το τονίζει ο Jun Dai, αναπληρωτής καθηγητής στο Τμήμα Επιστήμης Υπολογιστών.
Παραδείγματα αντιστοίχισης εφαρμογών και ενεργειών
| Κατηγορία εφαρμογής | Τι ισχυρίζεται ότι αναγνώρισε το σύστημα | Πιθανή χρήση από κακόβουλο παράγοντα |
|---|---|---|
| Υγεία | Χρήση εφαρμογών σχετικών με παρακολούθηση | Εξαγωγή ρουτίνας και συνηθειών παρακολούθησης |
| Πλοήγηση | Ενεργοποίηση/χρήση υπηρεσιών πλοήγησης | Συμπεράσματα για μετακινήσεις χωρίς άμεσο GPS δεδομένο |
| Μηνύματα/φωνή | Αποστολή κειμένου ή ηχογράφηση φωνητικού | Χρονισμός επιθέσεων κοινωνικής μηχανικής |
| Τραπεζικές υπηρεσίες | Χρήση εφαρμογών banking | Στοχευμένο phishing όταν ο χρήστης είναι «ενεργός» οικονομικά |
Γιατί αυτό σχετίζεται με κοινωνική μηχανική και στοχοποίηση
«Στην κυβερνοασφάλεια μιλάμε για κοινωνική μηχανική, που περιλαμβάνει τη συλλογή πληροφοριών για ένα άτομο και την απόκτηση εμπιστοσύνης ώστε να παραδώσει ευαίσθητες πληροφορίες», λέει ο Dai.
«Μια side-channel επίθεση σε smartwatch θα μπορούσε να επιτρέψει σε έναν κακόβουλο παράγοντα να συλλέξει πολλές συμπεριφορικές πληροφορίες, οι οποίες μπορούν να χρησιμοποιηθούν για profiling και στοχοποίηση», συμπληρώνει.
Ποιοι συμμετείχαν και πως συνδέεται με ευρύτερα προγράμματα
Εκτός από τη Sun και τον Dai, στην ομάδα συμμετείχαν ο Haowen Xu, υποψήφιος διδάκτορας στο εργαστήριο της Sun, καθώς και ο υποψήφιος διδάκτορας Tianya Zhao και ο επίκουρος καθηγητής Xuyu Wang από το Florida International University.
Η Sun και ο Dai είναι ερευνητές κυβερνοασφάλειας, με έργο που έχει υποστηριχθεί από το National Science Foundation.
Στο WPI, ηγούνται επίσης του προγράμματος DRIFT, μιας πρωτοβουλίας πέντε ιδρυμάτων ύψους 2,5 εκατ. δολαρίων, από κοινού με το Oakland University.
Το πρόγραμμα εστιάζει στην εκπαίδευση ανθρώπινου δυναμικού για ενίσχυση της κυβερνοασφάλειας στη βιομηχανία αυτοκινήτου.
Τι εξετάζουν ως επόμενο βήμα και τι μέτρα προτείνονται
Η Sun αναφέρει ότι το επόμενο βήμα μπορεί να είναι η εξέταση του πώς η κίνηση του χρήστη ή τα ηλεκτρομαγνητικά σήματα του περιβάλλοντος επηρεάζουν την αποτελεσματικότητα των side-channel επιθέσεων.
Πιθανά προστατευτικά μέτρα περιλαμβάνουν νέους κανονισμούς για συλλογή δεδομένων, προσθήκη θωράκισης στα smartwatches ή ανάπτυξη τεχνολογιών που παρεμβάλλουν συλλέκτες σημάτων.
«Ως ερευνητές, γνωρίζουμε ότι υπάρχουν κυβερνοαπειλές, και ότι οι βολικές τεχνολογίες μπορεί να είναι ευάλωτες σε hackers», λέει η Sun.
Στόχος τους είναι να αυξηθεί η επίγνωση για το πόση πληροφορία υπάρχει στις καθημερινές συσκευές και με ποιους τρόπους οι επιθέσεις μπορούν να τη συλλέγουν.
Πως να μειώσετε τον κίνδυνο από side-channel σήματα σε smartwatch
Παρότι το πείραμα λειτούργησε σε πολύ μικρή απόσταση, η αξία του είναι ότι περιγράφει μια κατηγορία κινδύνου που συχνά λείπει από τις συζητήσεις για wearables.
Ο σωστός τρόπος να το δείτε είναι ως «διαρροή μεταδεδομένων συμπεριφοράς», όπου ο επιτιθέμενος δεν χρειάζεται περιεχόμενο, αλλά απλώς ενδείξεις για το τι κάνετε και πότε.
Για χρήστες, η άμυνα ξεκινά από ρεαλιστικό threat model, δηλαδή από το αν βρίσκεστε σε χώρο όπου κάποιος μπορεί να τοποθετήσει διακριτικά συλλέκτη κοντά σας.
Τι μπορούν να κάνουν οι χρήστες σήμερα
- Απενεργοποιήστε την κυψελοειδή σύνδεση όταν δεν είναι απαραίτητη, ώστε να περιορίζετε τις συνεχείς εκπομπές που σχετίζονται με δίκτυο.
- Περιορίστε ειδοποιήσεις υψηλής συχνότητας, γιατί τα επαναλαμβανόμενα μοτίβα αλληλεπίδρασης είναι πιο εύκολο να αναγνωριστούν.
- Προσέξτε δημόσιους χώρους όπου ο καρπός είναι κοντά σε επιφάνειες, όπως γραφεία, πάγκοι ή μέσα μεταφοράς με σταθερά σημεία.
Τι μπορούν να κάνουν οι κατασκευαστές και οι ομάδες ασφαλείας
- Σχεδιασμός με θωράκιση σε ευαίσθητα υποσυστήματα, ώστε να μειώνεται η διαρροή ηλεκτρομαγνητικών «υπογραφών».
- Τεχνητός θόρυβος ή τυχαιοποίηση μοτίβων σε συγκεκριμένες λειτουργίες, όταν αυτό δεν επηρεάζει την ασφάλεια ή την κατανάλωση.
- Αξιολόγηση side-channel ως μέρος των δοκιμών ασφαλείας, όπως γίνεται ήδη για RF συμμόρφωση και ανθεκτικότητα.
Χαρτογράφηση μέτρων και επιπτώσεων
| Μέτρο | Τι μειώνει | Πιθανό κόστος |
|---|---|---|
| Θωράκιση hardware | Διαρροή σήματος προς το περιβάλλον | Βάρος, κόστος υλικών, επιπτώσεις σε θερμικά |
| Τυχαιοποίηση μοτίβων | Σταθερότητα «υπογραφών» εφαρμογών | Πολυπλοκότητα λογισμικού, δοκιμές |
| Περιορισμός κυψελοειδούς | Συχνότητα εκπομπών δικτύου | Λιγότερη ευκολία, πιθανή καθυστέρηση ειδοποιήσεων |
Ο πιο ρεαλιστικός στόχος βραχυπρόθεσμα είναι η μείωση της προβλεψιμότητας των εκπομπών, ώστε να δυσκολεύει η αντιστοίχιση με εφαρμογές και ενέργειες.
Για οργανισμούς, όπως εταιρείες με ευαίσθητες λειτουργίες ή ομάδες πρώτης απόκρισης, αξίζει να ενταχθεί η «ασφάλεια wearables» σε πολιτικές φυσικής ασφάλειας.
Ένα απλό βήμα είναι να αποφεύγεται η χρήση κυψελοειδών smartwatches σε χώρους όπου κάποιος μπορεί να τοποθετήσει κοντινό συλλέκτη, ακόμη κι αν η απειλή φαίνεται θεωρητική.
Η έρευνα υπενθυμίζει ότι η ιδιωτικότητα δεν εξαρτάται μόνο από εφαρμογές και άδειες, αλλά και από το φυσικό αποτύπωμα που αφήνει το hardware στο περιβάλλον γύρω μας.
