當心智能手表泄露取款密碼

■ 文/木 須

當心智能手表泄露取款密碼

■ 文/木 須

智能穿戴設備存安全風險

攻擊者可以利用可穿戴設備來收集用戶的密碼輸入操作，并將這些信息發送回與之相連的智能手機中，而這些信息通常都是通過藍牙設備發送的。

美國研究人員也表示，智能手表等穿戴設備和產品可能存在泄露用戶密碼的風險。

7月8日，據《每日郵報》網絡版報道，業內相關分析人士認為，隨著可穿戴設備的品類不斷增多，其安全性可能會引發新一輪的擔憂。而美國研究人員也表示，智能手表等穿戴設備和產品可能存在泄露用戶密碼的風險。

智能穿戴安全問題一直存在

自可穿戴設備問世以來，高大上的光環一直未消退，甚至有人認為可穿戴設備將成為顛覆傳統、開創未來的次時代產品，然而幾年過去了，可穿戴設備仍停留在媒體曝光度很高的鎂光燈下，很少出現在人們的生活里。智能可穿戴設備為啥飛不起來？

首先，目前國內還沒有形成行業標準，導致產品水平參差不齊。包括充電速度、工業設計、數據采集與傳輸、傳感器的精確度等等都沒有確切的標準尺度，以至于從幾千元到幾十元的產品都可以稱自己為可穿戴設備。

大眾對可穿戴設備另一個不感冒的理由是，大多數功能既無創新又不實用。以某品牌智能手環為例，其提供的計步和睡眠監測功能，在徒有數據卻沒有服務的情況下對不少人來說是沒用的。有數據顯示，87%的流失用戶使用可穿戴設備的時間不超過3個月。

業內人士認為，除前面的原因外，最重要的是因為安全問題。現階段，智能手環和智能手表仍是可穿戴設備的主流，相比于智能手機系統的逐步完善，智能設備的操作系統不管是在服務上還是在安全上仍處于初級階段。一旦這些可穿戴設備遭到病毒攻擊，數據安全和設備安全將會毫無還手之力。另外，部分廠商為了增加產品可玩性，利用GPS或手機APP記錄了用戶的運動軌跡，一旦云端數據泄漏，用戶將可能會被“跟蹤”，令人身安全受到威脅，甚至還可能令你遭受財產損失。

智能穿戴設備是如何泄密的呢？

據了解，對于智能可穿戴設備的用戶，攻擊者可以復制用戶手部的活動軌跡，然后復原ATM機、電子門鎖以及由按鍵控制的企業服務器的登錄密碼。當然，通過入侵可穿戴設備的運動傳感器，黑客就會搜集到足夠的信息，進而猜出用戶輸入的內容，然后盜取其ATM密碼。

近期，一群來自賓漢姆頓大學的科學家對這類設備進行了研究。研究人員表示，“這種威脅是真實存在的，盡管方法很復雜。但就目前來說，黑客已經實現了兩種攻擊手段：內部攻擊和嗅探攻擊。在內部攻擊中，攻擊者通過惡意軟件，進入戴在手腕上的可穿戴設備的嵌入式傳感器，可以從目標用戶每分鐘的行為動作中提取出有價值的信息，然后在計算機算法的幫助之下，破解出用戶所輸入的PIN碼或安全密碼。”

據悉，在整個試驗過程中，研究人員要求20個成年人穿戴各種高科技設備，在11個月的時間內利用三種基于密鑰的安全系統，進行了5000次密鑰登陸測試，其中包括ATM機。這些測量數據可以幫助研究人員預估連續擊鍵之間的距離和方向，然后使用“反向PIN序列推導算法”來破解編碼，而且根本不需要有關按鍵的前后關系線索，準確率很高。

·在日常生活中，可穿戴設備可以貼近取款機密碼鍵盤或者其他的一些基于實體鍵盤的密碼安全系統。·很多健身跟蹤設備中存在設計缺陷，這些設備無法有效地保護用戶數據的安全性。

研究人員表示:“在此次研究過程中，我們發現攻擊者可以利用可穿戴設備來識別出目標用戶慣用手的行為動作，其在移動距離和方向上的分辨度可達到毫米級別。這也就意味著，攻擊者可以在計算機中模擬重現用戶佩戴手的移動軌跡，并進一步恢復出用戶輸入的密碼信息。值得一提的是，我們的系統目前已經確認，攻擊者將有可能從可穿戴設備的嵌入式傳感器中提取出用戶佩戴手的移動軌跡，例如加速度計，陀螺儀，以及磁力計等裝置。攻擊者可以從中提取出用戶佩戴手的移動軌跡，并通過用戶的操作手勢提取出輸入的密碼。我們的PIN碼序列逆向推演算法可以利用密碼按鍵之間的固有物理約束（距離）來推測出用戶輸入的完整密碼序列。”

王彥是賓漢姆頓大學計算機科學學院的一名助理教授，同時他也是此次研究的參與者之一。根據他的描述，安全研究專家在首次破解嘗試中，其破解出來的密碼正確率就高達80%。在隨后的三次破解嘗試中，破解出來的密碼正確率全部超過了90%。如果能夠對算法做進一步的改進，增大數據記錄的范圍，并增加更多的鍵盤種類，他們就可以獲取到更多的可穿戴設備數據。這樣一來，破解出來的密碼準確率還能夠提高至少19%。雖然目前這種攻擊方式還停留在理論研究階段，但是由此看來，可穿戴設備的數據安全防范研究已經成為了眼下的當務之急了。

他說到:“據我們目前所知，之前還沒有這樣的技術。我們的新技術可以在不需要標記用戶行為數據的情況下，利用可穿戴設備來恢復出目標用戶的個人PIN碼。”

雖然這聽起來讓人感覺有些不可思議，但是攻擊者如何在現實生活中使用這樣一種極其復雜的攻擊方式呢?

有一種可行的方法就是利用惡意軟件來感染用戶的可穿戴設備，將惡意軟件偽裝成安全工具，在設備后臺收集用戶的手腕運動信息，并將這些信息發送給攻擊者進行下一步分析。

除此之外，王彥提出了一種設想。在日常生活中，這種可穿戴設備可以貼近取款機密碼鍵盤或者其他的一些基于實體鍵盤的密碼安全系統。這也就意味著，攻擊者可以利用可穿戴設備來收集用戶的密碼輸入操作，并將這些信息發送回與之相連的智能手機中，而這些信息通常都是通過藍牙設備發送的。

當然了，這種特定的攻擊方式依賴于智能手機與傳感器設備的數據同步情況。要求用戶在輸入取款機密碼時，設備能夠將用戶的手勢動作實時傳輸至與之相連的智能手機中。

此前所進行過的一些研究已經證實了，很多健身跟蹤設備中存在設計缺陷，這些設備無法有效地保護用戶數據的安全性。這也就意味著，攻擊者可以利用這些設計缺陷來對用戶進行攻擊，而這種情況其實也并不少見。

安全研究專家所描述的這種攻擊方式在短時間內不太可能被廣泛應用。盡管如此，但這項研究仍然是非常有趣且非常具有想象力的。除此之外，有些情報機構和執法部門很可能會利用這種攻擊方式來對某些他們所感興趣的目標進行攻擊，所以這項研究從某種程度上來說，可以提升用戶的安全性。X