0 
0 As tentativas de quebra de senha e adivinhação são bem-sucedidas o suficiente, pois colocam mais do que um pouco de cinza nos cabelos de profissionais experientes em segurança cibernética. Agora, uma nova pesquisa mostra que tentativas de cracking ainda mais eficazes podem ser perpetradas por invasores equipados com uma câmera térmica barata e alguns modelos simples de aprendizado profundo.
Os ataques conduzidos por IA foram conceituados e refinados pelo Dr. Mohamed Khamis da Escola de Ciência da Computação da Universidade de Glasgow e seus colegas da escola, Norah Alotaibi e Dr. John Williamson, que devem publicar seus resultados em uma próxima edição da revista o jornal ACM Transactions on Privacy and Security.
O artigo detalha seu trabalho para usar câmeras térmicas prontas para uso e um modelo probabilístico que utilizou 1.500 imagens térmicas que eles tiraram de teclados usados recentemente para criar um método de quebra de senhas com precisão – mesmo em configurações não controladas. Apelidado de ThermoSecure, o método captura assinaturas de calor por meio de câmeras térmicas e as analisa com a modelagem de IA dos pesquisadores para adivinhar uma senha com 86% de precisão quando as imagens são tiradas em 20 segundos de entrada e 62% de precisão em 60 segundos de entrada.
“Mesmo sem saber a ordem das chaves, é possível reduzir significativamente o espaço de busca, o que significa que menos tentativas são necessárias para adivinhar uma senha”, escreveram os pesquisadores em seu artigo.
Khamis apontou para o preço acessível das câmeras térmicas – que podem ser compradas por menos de US$ 200 – como uma dica de por que sua equipe queria explorar isso como um possível vetor de ameaça. Como ele explica, essa é provavelmente uma área em que os bandidos já estão inovando para desenvolver maneiras de alavancar essas ferramentas a seu favor.
“Eles dizem que você precisa pensar como um ladrão para pegar um ladrão. Desenvolvemos o ThermoSecure pensando cuidadosamente sobre como os agentes maliciosos podem explorar imagens térmicas para invadir computadores e smartphones” , disse ele. “É importante que a pesquisa de segurança do computador acompanhe esses desenvolvimentos para encontrar novas maneiras de mitigar os riscos, e continuaremos desenvolvendo nossa tecnologia para tentar ficar um passo à frente dos invasores”.
Não é o primeiro rodeio termal
While this is not the first piece of research touching on the use of thermal imaging to guess passwords, previous studies took pictures in highly controlled settings. This latest one focused on how the layering of AI can bridge the gap in accuracy in uncontrolled conditions that might be affected by different camera angles and user behavior. The study also examined how factors like password length and typing styles could impact the accuracy of this technique, offering some hints for mitigation measures.
Por exemplo, o salto de senhas de oito símbolos para senhas de 16 símbolos reduziu a precisão do ataque em 26 pontos quando as imagens foram tiradas 20 segundos após a entrada. Da mesma forma, os digitadores de toque mais rápido deixaram menos assinatura de calor do que os digitadores mais lentos de “caça e bica”, o que significa que a precisão foi cerca de 12 pontos menor para o primeiro em comparação com o segundo.
Alguns outros fatores atenuantes incluem o uso de teclados retroiluminados – que aquecem as teclas o suficiente para “acender” uma imagem térmica o suficiente para confundir o modelo de IA – e o tipo de plástico usado em um teclado. Por exemplo, o plástico ABS retém o calor por um tempo significativamente menor do que o plástico PBT.
Claro, uma das mitigações mais confiáveis são aquelas que são citadas para praticamente qualquer tipo de ataque de quebra de senha ou adivinhação: ou seja, buscar métodos alternativos de login.
“Os usuários podem ajudar a tornar seus dispositivos e teclados mais seguros adotando métodos alternativos de autenticação, como impressão digital ou reconhecimento facial, que atenuam muitos dos riscos de ataque térmico”, disse Khamis. “Na minha equipe, já propusemos esquemas de autenticação que dependem dos movimentos dos olhos para inserir a senha; a autenticação baseada em olhar é resistente a ataques térmicos por design.”
FONTE: DARK READING