Thermanator攻擊：通過讀取鍵盤上的熱殘留竊取密碼

近日，加州大學歐文分校（UCI）的研究人員發表了題為Thermanator: Thermal Residue-Based Post Factum Attacks On Keyboard Password Entry的論文，指出人的手指在鍵盤上留下熱殘留物後，攻擊者可以利用這些熱殘留物獲得用戶在鍵盤上輸入的內容。

Thermanator攻擊

Thermanator是一種內部攻擊方式，而內部攻擊越來越常見，預計有28%的電子犯罪是因為內部攻擊。攻擊步驟如下：

STEP 1: 受害者用鍵盤輸入真實密碼，這是正常登陸的步驟之一；

STEP 2: 受害者主動離開工位或被別人從工位拉走；

STEP 3: 攻擊者用熱成像技術（FLIR照相機）從鍵盤上獲取熱殘留；

STEP 4: 攻擊者用圖像的熱力圖（heat map）決定用戶最近的按鍵（輸入）；這一步驟可以手動完成，也可以用專用軟體自動完成。

REPEAT: 攻擊者多輪重複進行STEPS [1-4]。

當這些條件都滿足後，攻擊者就能很容易地知道受害者敲擊了哪些按鍵，之後就可以將其組合成各種可能的字元串，其中定然有正確的密碼組合。

攻擊示例：

30秒內可還原密碼

在實驗中，研究人員讓31個人在4種不同的鍵盤上輸入密碼，然後讓另外8個非專業人士從熱成像記錄數據中推導出按鍵組合。

結果表明，根據輸入密碼後30秒內記錄的熱成像數據，即使非專業攻擊者也能很容易地還原正確的密碼。在輸入密碼後1分鐘內記錄的熱成像數據，也能讓攻擊者還原部分正確的密碼。

研究人員得出結論，看著鍵盤打字和一次用兩個手指按鍵的用戶更容易受到此類攻擊。

還需要密碼嗎？

近年來，研究人員發現了竊取密碼的多種方式，有機械振動、電磁輻射、熱輻射等等。研究人員或許現在正是應該放棄密碼這一保護用戶數據和設備的方式的時機了。

如果不用密碼，那如何進行身份認證呢？

其中一種可行的方式就是人工智慧——AI行為識別身份認證，這是通過用戶的操作行為特徵來識別身份的技術。現階段的AI行為識別身份認證仍需要用戶輸入密碼，但由於行為特徵具有獨特性和不可複製性，所以即使Thermanator這樣的熱殘留物攻擊也無法竊取密碼和登錄帳戶。

未來隨著技術的進一步發展，AI行為識別身份認證最終即可實現無需密碼。

論文名：Thermanator：Thermal Residue-Based Postum Attacks On Keyboard Password Entry

論文地址：https://arxiv.org/abs/1806.10189

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！