Найден способ взломать графическую блокировку Android за 5 попыток

Найден способ взломать графическую блокировку Android за 5 попыток

Найден способ взломать графическую блокировку Android за 5 попыток

Британские математики разработали алгоритм, который позволяет взломать графическую блокировку на смартфонах с ОС Android всего за пять попыток, причем высокая сложность рисунка лишь облегчает работу хакера.

"Пароли-"узоры" являются самым популярным способом защиты Android-устройств от посторонних. Люди часто используют такие пароли для защиты важных финансовых операций, таких как покупки в онлайн-магазинах и управление счетами, так как они верят, что это безопасно. Мы показали, что на самом деле это очень ненадежная система", — заявил Чжэн Ван из университета Ланкастера (Великобритания).

Телефонная рулетка

Все современные смартфоны на базе ОС Android и многие другие "умные" телефоны по умолчанию используют простую систему защиты данных пользователя – узор из точек, которые пользователь должен обвести пальцем для разблокировки. Существует около 400 тысяч комбинаций из девяти точек, обычно выводящихся на экран, и ввод любых пяти неправильных сочетаний блокирует устройство, пишет ria.ru.

Поэтому, как рассказывает Ван, большинство пользователей считает подобную защиту достаточно надежной. Некоторые пользователи придумывают сложные сочетания точек для того, чтобы было труднее угадать или подобрать комбинацию.

На очередном cимпозиуме, посвященном сетевой безопасности, который будет проводиться в американском Сан-Диего в конце февраля, Ван и его коллеги представят методику, позволяющую подобрать графический ключ всего за пять попыток.

Для подобного взлома злоумышленнику необходим собственный телефон, камера и специальная программа, анализирующая в режиме реального времени то, что происходит перед объективом камеры.

К примеру, если будущая жертва заходит в кафе выпить кофе, "хакер" может сесть за любой столик по соседству, включить камеру и снять владельца телефона в момент разблокировки устройства. Ученые пояснили, что злоумышленнику не нужно "подглядывать" в экран чужого смартфона, достаточно направить камеру, сидя сбоку или прямо перед владельцем телефона на расстоянии в 5-9 метров и не вызывая подозрений.

Ловкость рук

Программа, анализирующая видеоролик ввода пароля, следит за движением рук, ей не нужно видеть экран, чтобы вычислить, какие узоры чертит пользователь. Длинные и сложные комбинации линий только облегчают задачу алгоритму, так как у него остается меньше возможных вариантов при увеличении числа компонентов в пароле.

Как показали эксперименты в настоящем кафе, программа Вана и его коллег распознает около 95% графических ключей всего с пяти попыток, причем 87% сложных паролей она угадывает с первого раза и только 40% легких комбинаций не удается вычислить сразу.

Подобные методики взлома, как считают ученые, могут поступить на вооружение спецслужб и дать возможность силам правопорядка узнавать пароли интересующих их лиц. Достаточно инсценировать кражу телефона, чтобы извлечь из него ценную информацию. Вдобавок службы могут таким же образом быстро устанавливать "трояны" и шпионские программы в момент, когда владелец телефона вышел в туалет или отвлекся.

Как можно защититься от такого взлома? Самый простой способ – использовать иной метод ввода пароля, к примеру, рукописный ввод нескольких слов, считает Ван. Другой простой метод – закрыть пальцы второй рукой в момент разблокировки смартфона. Конечно, ни один из вариантов не гарантирует абсолютной защиты, поэтому следует быть готовым к тому, что данные "утекут".

ИТ-отрасль выступила против ковровых блокировок, предлагает точечные

Участники круглого стола «Замедление интернет-сервисов и сохранение цифровой экономики: взгляд отрасли», прошедшего 15 апреля в пресс-центре ТАСС, предложили комплекс мер, который, по их мнению, необходим для сохранения качества цифровых услуг для граждан и защиты бизнеса от экономических потерь.

Круглый стол организовали Ассоциация «Руссофт» и АНО Союз «Цифровой мир». В обсуждении также принял участие депутат Государственной Думы, первый заместитель председателя комитета по контролю Дмитрий Гусев.

Дмитрий Гусев отдельно подчеркнул, что даже в период вынужденных ограничений должны бесперебойно работать государственные платформы, включая «Госуслуги» и системы межведомственного взаимодействия. При этом, по его словам, важно сохранить для граждан привычный цифровой комфорт:

«При этом важно рационально распределять сетевые ресурсы: предотвращать перегрузки каналов, но одновременно сохранять доступ к базовым цифровым сервисам, от которых зависит повседневная жизнь людей. Операторы связи обязаны приоритезировать трафик критически важных государственных ресурсов, параллельно развивая резервные маршруты и автономные сегменты инфраструктуры».

Одним из таких механизмов остаются так называемые «белые списки». Ведущий аналитик Mobile Research Group Эльдар Муртазин назвал их лучшим из худших решений, которые удалось предложить в сложившейся ситуации. По его оценке, они обеспечивают доступ к базовому набору цифровых сервисов, на который приходится около трети всего трафика.

В то же время, отметил он, у этого механизма немало недостатков. Прежде всего, «белые списки» усиливают позиции крупных платформ. Кроме того, порядок их формирования остаётся непубличным и непрозрачным, и эту ситуацию, по мнению эксперта, необходимо менять. В целом же, по оценкам Эльдара Муртазина, потери российского бизнеса из-за ограничений интернета достигают десятков миллиардов рублей в месяц.

Председатель правления Ассоциации «Руссофт» Сергей Вотяков призвал расширить «белые списки» за счёт доверенных облачных и онлайн-сервисов. По его мнению, это могло бы дать дополнительный импульс их развитию. Однако пока многим ИТ-компаниям трудно строить планы, поскольку остаётся неясным, как будет работать интернет в ближайшей перспективе.

Участники дискуссии также призвали с осторожностью подходить к блокировке VPN. Как напомнил председатель совета директоров «Базальт СПО» Алексей Смирнов, VPN — один из базовых инструментов интернета, основное назначение которого заключается в обеспечении безопасной связи через публичные сети. Возможность обхода блокировок он назвал лишь побочным эффектом. Тотальную блокировку VPN он сравнил с полным запретом автомобильного движения ради соблюдения правил дорожного движения.

Председатель АНО Союз «Цифровой мир» Валерий Корнеев, в свою очередь, предложил ввести мораторий на запуск новых сервисов, требующих массового сбора персональных данных:

«Мы предлагаем ввести немедленный мораторий на запуск новых сервисов, критически зависящих от бесперебойной мобильной связи и надёжной удалённой идентификации. К ним, в частности, относятся инициативы по легализации онлайн-продаж алкоголя, энергетиков и табачных изделий, требующих сверки данных в режиме реального времени. В текущих условиях, когда для обеспечения безопасности граждан ограничены возможности мобильного доступа к сети интернет, приоритетом должно стать не наращивание трафика и нагрузки на инфраструктуру, а обеспечение устойчивости и защищённости уже работающих критически важных сервисов. Запуск высоконагруженных систем в такой обстановке создаёт неприемлемые риски для национальной безопасности».

Участники мероприятия выступили против «ковровых блокировок» и запрета целых платформ, которыми пользуется широкая аудитория и от которых нередко зависит работа бизнеса — как малого, так и крупного. По их мнению, ограничительные меры должны применяться точечно и затрагивать только конкретных нарушителей и контент, нарушающий законодательство.

В целом по итогам дискуссии были сформулированы пять основных предложений, направленных в правительство:

  1. Регуляторное воздействие должно быть точечным и распространяться только на явно вредоносный трафик.
  2. Необходимо обеспечить цифровой комфорт для граждан. Отчасти эту задачу решают «белые списки», однако механизм включения в них новых сервисов должен стать более публичным и прозрачным.
  3. Тотальный запрет VPN недопустим. Следует чётко разграничивать средства обхода блокировок и инструменты, предназначенные для безопасной передачи данных через публичные сети.
  4. Необходимо обеспечить доступ как минимум аккредитованных российских ИТ-компаний к международным сервисам — репозиториям кода, библиотекам и другим инфраструктурным ресурсам.
  5. Следует ввести мораторий на запуск новых систем, требующих массового сбора персональных данных и их сверки в режиме реального времени. Такие сервисы критически зависят от работы мобильного интернета, который в ряде регионов уже ограничен.

RSS: Новости на портале Anti-Malware.ru