Novo ataque acústico rouba dados de digitação com 95% de precisão

• Uma equipe de pesquisadores do Reino Unido desenvolveu um modelo de deep learning que rouba dados de teclas digitadas em um teclado com 95% de precisão usando um ataque acústico.
• A precisão desse modelo cai para 93% quando o algoritmo de classificação de sons é treinado com Zoom, mas isso ainda é perigosamente alto e representa uma precisão recorde nessa área.
• Esse tipo de ataque representa uma grande ameaça à segurança de dados, pois pode expor senhas, conversas, mensagens e outras informações sensíveis a terceiros mal-intencionados.
• Diferentemente de outros ataques por canal lateral, que exigem condições específicas e têm limitações de taxa de transmissão de dados e distância, os ataques acústicos se tornaram mais simples devido ao uso generalizado de dispositivos com microfones capazes de capturar áudio em alta qualidade.
• A primeira etapa do ataque é gravar as teclas digitadas no teclado do alvo, o que pode ser feito por um microfone próximo, por um telefone da vítima infectado por malware ou por uma chamada no Zoom.
• Os pesquisadores coletaram dados de treinamento gravando o som produzido ao pressionar 36 teclas de um MacBook Pro, 25 vezes cada.
• Os sons das teclas gravados foram convertidos em formas de onda e espectrogramas e usados para treinar o CoAtNet, um classificador de imagens.
• Os pesquisadores alcançaram 95% de precisão em gravações feitas por smartphone e 93% em gravações capturadas via Zoom. O Skype apresentou uma precisão menor, mas ainda utilizável, de 91,7%.
• Para reduzir o risco de ataques acústicos por canal lateral, os usuários podem mudar seu estilo de digitação, usar senhas aleatórias, reproduzir sons de digitação, usar ruído branco ou filtros de áudio de digitação baseados em software.
• Como medidas preventivas adicionais, os pesquisadores sugerem usar autenticação biométrica sempre que possível e usar gerenciadores de senhas para evitar digitar manualmente informações sensíveis.
• O modelo de ataque também se mostrou muito eficaz mesmo contra teclados muito silenciosos. Isso indica que adicionar amortecedores de som a teclados mecânicos ou mudar para teclados de membrana não deve ajudar.

[GN⁺]

Comentários do Hacker News

• O artigo discute um novo ataque acústico que pode roubar dados de digitação com 95% de precisão.
• O experimento foi realizado usando o mesmo notebook e microfone para gerar os dados de treinamento e de teste.
• O modelo foi treinado com dados coletados no Zoom para um ataque de canal lateral prático.
• Surgem dúvidas se as características acústicas reconhecidas pelo modelo são a impressão física de cada tecla ou padrões de ressonância dentro do teclado/notebook; isso não está claro.
• O desempenho do modelo pode variar dependendo da força com que cada tecla é pressionada e do tipo de teclado usado.
• Esse desenvolvimento é importante do ponto de vista de segurança e espionagem, pois sugere que escutas de áudio sensíveis podem, na prática, funcionar como keyloggers por padrão.
• Alguns softwares de videoconferência, incluindo o Zoom, podem limitar a ameaça desse ataque removendo sons de teclado do áudio como parte de seus recursos de supressão de ruído.
• Há dúvidas sobre o desempenho do modelo para digitadores médios ou rápidos. A figura de exemplo mostra uma tecla sendo pressionada a cada 0,5 segundo, sugerindo um certo estilo de digitação.
• O artigo despertou interesse por teclados sem fio que usam essa técnica, sem necessidade de bateria, recarga ou sincronização.
• Alguns leitores sugerem o uso de senhas de uso único como uma possível solução para essa ameaça.
• Outros propõem injetar áudio de fundo com sons de digitação em chamadas no Zoom como contramedida.