Video: MyTrendyPhone / Køb det bedste tilbehør til din mobiltelefon og tablet! (Oktober 2024)
Keyloggers er grimme små programmer, der sidder på din pc og optager flittigt hvert eneste tastetryk. Hvis du vil stjæle nogens bankadgangskoder, er keyloggers det perfekte værktøj. Præsenteret på RSAC 2014, Square's Security Engineering Manager Nathan McCauley og Trustwaves senior sikkerhedskonsulent Neal Hindocha, viste, at det ikke er svært at gøre det samme på en touchscreen-smartphone.
Finde fingre
Den bedste måde at aflytte berøringsoplysninger på iOS er ved hjælp af "metodetvinkling." McCauley sagde, at dette var "som et mand-i-midten angreb til metodekald i operativsystemet." Hvis du ved, at der er en bestemt metode, der vil blive kaldt, forklarede McCauley, kan du indsætte et bibliotek, der afskærer og logger begivenheden, før du passerer begivenheden som normalt. Det praktiske resultat er, at du kan få fat i alle former for information - endda skærmbilleder - uden at påvirke telefonens ydelse.
Dette kræver typisk, at iPhone først bliver jailbroken. Præsentanterne anerkendte imidlertid forskning fra FireEye frigivet tidligere i ugen, som viste, at dette ikke nødvendigvis var tilfældet. Indtil Apple opdaterer iOS, kunne brugere potentielt overvåges, selvom deres enhed ikke er fængslet.
På rodfæstede Android-enheder er det endnu lettere. Hindocha brugte "getevent" -værktøjet, der findes på alle Android-enheder, til at logge X- og Y-koordinaterne for hver berøring. Han kunne også bruge getevent til at registrere svejse-bevægelser, og når der blev trykket på hardwareknapper.
For Androider, der ikke er rodfæstede, hvilket er de fleste af dem, kan du stadig bruge getevent. For at gøre det skal telefonen have USB-debugging aktiveret og være tilsluttet en computer. Ved hjælp af Android Debugging Bridge var Hindocha i stand til at få de forhøjede rettigheder, der kræves for at køre getevent.
Naturligvis er Android-enheder ikke i debugging-tilstand som standard (og vi anbefaler stærkt, at du aldrig aktiverer det). Fysisk adgang til en enhed begrænser også effektiviteten af dette angreb. Hindocha demonstrerede imidlertid, at det teoretisk er muligt at bruge en kombination af ondsindede levende tapeter - som ikke kræver særlige tilladelser til at se berøringsdata - og overlejre apps til at opfange touchinformation på enheder, der ikke er rodfæstede.
Du har touch
Når de først var klar over, hvordan de skulle få touchdata, var forskerne nødt til at finde ud af, hvad de skulle gøre med dem. Først antog de, at det ville være nødvendigt at fange skærmbilleder for at kortlægge berøringsoplysningerne til noget nyttigt. Men Hindocha sagde, at det ikke var tilfældet. ”Efterhånden som vi kom videre, indså jeg, at jeg ganske let kunne finde ud af, hvad der skete bare ved at se på prikkerne, ” sagde han.
Tricket var på udkig efter særlige ledetråde for at indikere, hvilken type input der foregik. Særlige bevægelser ved at trække og tappe kan være Angry Birds, mens fire haner og derefter en femte nederst til højre på skærmen sandsynligvis er en pinkode. Hindocha sagde, at de kunne fortælle, hvornår der blev skrevet e-mails eller tekstbeskeder, fordi det område, hvor backspace-nøglen befinder sig, blev ramt gentagne gange. ”Folk begår mange fejl, når de skriver e-mails, ” forklarede han.
Forbliver i sikkerhed
Forskerne bemærkede, at dette kun var en metode til at fange det, der blev indtastet i en smartphone. Ondsindede tastaturer, for eksempel, kunne lige så let stjæle dine bankadgangskoder.
iOS-brugere, der er bekymrede over touchlogging, bør undgå jailbreaking af deres enheder, skønt FireEye-forskningen antyder, at dette ikke er nok. Heldigvis, sagde McCauley, er det nemt for kyndige enhedsadministratorer at opdage metodeswizzling.
For Android er spørgsmålet lidt mere fyldigt. Igen, at rodfeste en enhed åbner dig for angreb. Aktivering af fejlsøgningstilstand giver angribere også en ind på din enhed. Disse findes normalt ikke på lager Android-telefoner, selvom McCauley præsenterede en vigtig undtagelse. Han sagde, at de i løbet af deres forskning opdagede, at telefoner, der blev sendt fra en navngivet producent, var konfigureret på en sådan måde, at det kunne give angribere adgang til getevent.
Selvom deres forskning har praktiske anvendelser, er den stadig stort set teoretisk. Vores vandhaner og swipes er i det mindste i øjeblikket sikre.
