Атака с помощью смаджа — это атака по извлечению информации, которая отличает ввод пароля на сенсорном устройстве, таком как смартфон или планшетный компьютер, от отпечатков пальцев. Группа исследователей из Пенсильванского университета была первой, кто исследовал этот тип атаки в 2010 году. [1] [2] Атака происходит, когда неавторизованный пользователь владеет или находится рядом с интересующим устройством. Злоумышленник полагается на обнаружение масляных пятен, оставленных пальцами пользователя, чтобы найти шаблон или код, необходимый для доступа к устройству и его содержимому. [2] Простые камеры, фонари, порошок для снятия отпечатков пальцев и программное обеспечение для обработки изображений могут использоваться для захвата отложений отпечатков пальцев, создаваемых, когда пользователь разблокирует свое устройство. При правильном освещении и настройках камеры пятна от пальцев можно легко обнаружить, а самые сильные пятна можно использовать для определения наиболее частых прикосновений или касаний пользователя. [1]
Атаки с использованием пятен особенно успешны, когда выполняются на устройствах, которые предлагают персональные идентификационные номера (ПИН-коды), текстовые пароли и пароли на основе шаблонов в качестве вариантов блокировки. [3] Существуют различные предлагаемые контрмеры для смягчения атак, такие как биометрия , TinyLock и SmudgeSafe, все из которых являются различными схемами аутентификации. [4] [5] [6] Многие из этих методов предоставляют способы либо скрыть пятна с помощью метода штриховки, либо реализовать случайные изменения, чтобы предыдущие входы в систему отличались от текущего ввода.
Метод атаки с помощью пятен на сенсорные экраны смартфонов был впервые исследован группой исследователей из Пенсильванского университета и представлен на 4-м семинаре USENIX по наступательным технологиям. Группа классифицировала атаку как физическую атаку по побочному каналу , где побочный канал запускается из взаимодействия между пальцем и сенсорным экраном. Исследование широко освещалось в технической прессе, включая отчеты на PC Pro , ZDNet , [7] и Engadget . [8] Исследователи использовали пятна, оставшиеся на двух смартфонах Android, и смогли взломать пароль полностью в 68% случаев и частично в 92% случаев при соответствующих условиях. [1]
После того, как угроза была распознана, Whisper Systems представила приложение в 2011 году, чтобы снизить риск. Приложение предоставляло свои собственные версии блокировки по шаблону и аутентификации PIN-кода, которые требовали от пользователей выполнения определенных задач, чтобы скрыть пятна, созданные в процессе аутентификации. Для опции проверки PIN-кода числовые варианты были выстроены вертикально, и пользователю требовалось провести пальцем вниз по запачканной области. Для блокировки по шаблону приложение представляло сетку 10x10 звезд, которые пользователи должны были провести пальцем и выделить, прежде чем получить доступ к главному экрану. [9] [10]
Интерпретация пятен на экране требует меньшего оборудования, и для того, чтобы стать злоумышленником, требуется меньше опыта. В сочетании с негативными последствиями для жертв атаки, существует много беспокойства в отношении этого типа атаки. Подход атаки пятнами может также применяться к другим устройствам с сенсорным экраном, помимо мобильных телефонов, которые требуют процедуры разблокировки, таким как банкоматы (ATM) , устройства для блокировки дома и системы ввода PIN-кода в магазинах у дома. Те, кто использует устройства с сенсорным экраном или машины, которые содержат или хранят личную информацию, подвергаются риску утечки данных. Человеческая склонность к минимальным и легко запоминающимся PIN-кодам и шаблонам также приводит к слабым паролям , а пароли из подпространств слабых паролей увеличивают легкость, с которой злоумышленники могут расшифровать пятна. [11]
Атаки с использованием пятен особенно опасны, поскольку пятна от пальцев трудно удалить с сенсорных экранов, а сохранение этих отпечатков увеличивает угрозу атаки. Атака не зависит от нахождения идеальных отпечатков, и злоумышленники все еще могут угадать пароль даже после очистки экрана одеждой или с помощью перекрывающихся отпечатков пальцев. [2] Ча и др . [12] в своей статье «Повышение производительности атаки с угадыванием на шаблоны блокировки Android с помощью атак с использованием пятен» протестировали метод атаки под названием «smug», который сочетал атаки с угадыванием и атаки с чистым угадыванием. Они обнаружили, что даже после того, как пользователей попросили использовать приложение Facebook после разблокировки устройства, 31,94% телефонов были взломаны и к ним был получен доступ. [12]
Другая опасность атак smudge заключается в том, что основное оборудование, необходимое для выполнения этой атаки, камера и фонари, легкодоступны. Наборы для снятия отпечатков пальцев также являются доступным и дополнительным, но не обязательным, оборудованием стоимостью от 30 до 200 долларов. Эти наборы повышают легкость, с которой злоумышленник может успешно взломать телефон, находящийся во владении. [13]
Команда Пенсильванского университета выделила и рассмотрела два типа злоумышленников: пассивные и активные.
Активный злоумышленник классифицируется как тот, кто держит устройство в руках и контролирует настройку освещения и углы. Эти злоумышленники могут изменить сенсорный экран таким образом, чтобы лучше идентифицировать PIN-код или графический код, очистив его или используя порошок для снятия отпечатков пальцев. [2] Типичная настройка активного злоумышленника может включать в себя закрепленную камеру, телефон, размещенный на поверхности, и один источник света. Небольшие изменения в настройке включают тип и размер источника света и расстояние между камерой и телефоном. Более опытный злоумышленник будет уделять больше внимания углу света и камеры, источнику освещения, а также типу камеры и объектива, используемых для получения наилучшего изображения, принимая во внимание тени и блики при отражении света. [1]
Пассивный злоумышленник — это наблюдатель, у которого нет устройства в руках, и вместо этого он должен выполнить атаку типа подслушивания. [2] Это означает, что он будет ждать подходящей возможности собрать изображения отпечатков пальцев, пока не сможет завладеть гаджетом. Пассивный злоумышленник не имеет контроля над источником освещения, углом, положением телефона и состоянием сенсорного экрана. Он зависит от авторизованного пользователя и его местоположения, чтобы получить качественное изображение для взлома кода безопасности позже. [1]
Существуют различные шаги и методы, которые злоумышленники используют для изоляции отпечатков пальцев, чтобы определить шаблон блокировки или PIN-код. Сначала злоумышленник должен определить точную область сенсорного экрана, любые соответствующие пятна в этой области и любые возможные комбинации или сегменты шаблона. [12]
В случаях, когда отпечатки пальцев не слишком хорошо видны глазу, предварительная обработка используется для идентификации наиболее неповрежденных отпечатков пальцев, определяемых количеством имеющихся у них деталей гребней. Выбор отпечатков пальцев с наибольшим количеством деталей гребней позволяет отличить отпечатки пальцев пользователя от отпечатков пальцев тех, с кем устройство используется совместно. [13] При нажатии пальцем на поверхность сенсорного экрана для создания отпечатка пальца жидкость с краев гребней заполняет область контакта. Эта жидкость для отпечатков пальцев состоит из веществ из эпидермиса , секреторных желез и внешних загрязнителей, таких как грязь или внешние продукты кожи. Когда кончик пальца поднимается, жидкость также втягивается, оставляя остаточные следы. [14] Злоумышленники могут использовать порошок для отпечатков пальцев, чтобы посыпать эти масляные пятна, чтобы раскрыть видимый отпечаток пальца и его гребни. Порошок может усилить диффузное отражение , которое отражается от шероховатых поверхностей и делает пыльное пятно более заметным для человеческого глаза. Существуют различные порошки на выбор в зависимости от цвета, который лучше всего контрастирует с сенсорным экраном и окружающей средой. Примерами порошков являются алюминий, бронза, оксид меди, железо, диоксид титана, графит, магнитный и флуоресцентный порошок. Это действие по пылению также имитирует процессы, используемые при расследовании на месте преступления. [13]
Сохранение отпечатков пальцев использует камеру для захвата нескольких снимков изображений отпечатков пальцев или клавиатуры с различными вариантами освещения. Как правило, камеры с высоким разрешением и яркий свет лучше всего подходят для идентификации пятен. Цель состоит в том, чтобы ограничить любые отражения и изолировать четкие отпечатки пальцев. [13]
Видимость отпечатка пальца зависит от источника света, отражения и теней. Сенсорный экран и поверхность смарт-устройства могут иметь различные отражения, которые меняют то, как кто-то видит изображение отпечатка пальца. [13]
Картирование отпечатков пальцев использует сфотографированные изображения пятен, чтобы выяснить, какие клавиши были использованы, накладывая изображения пятен на клавиатуру или сравнивая изображение с эталонным изображением. Картирование положений пятен помогает злоумышленнику выяснить, какие нажатые клавиши были использованы авторизованным пользователем. Сначала отпечатки пальцев и изображения клавиатуры изменяются в размере и обрабатываются, чтобы найти области, которые занимают соответствующие отпечатки пальцев и клавиши. Затем применяется алгоритм обнаружения краев Лапласа для обнаружения краев гребней пальца, повышения резкости общего отпечатка пальца и устранения любых фоновых пятен. Затем фотография преобразуется в бинарное изображение, чтобы создать контраст между белыми отпечатками пальцев и черным фоном. Использование этого изображения с сеточными делениями также помогает выяснить, где пользователь нажал, на основе мест с наибольшим количеством белых точек в каждой области сетки. [13]
В случае, если есть несколько пользователей, группировка отпечатков пальцев может помочь классифицировать, какие из них принадлежат каждому человеку. Отпечатки пальцев имеют как гребни, так и впадины, и их дифференциация определяется общей и локальной структурой гребня. Существует три модели гребней отпечатков пальцев – дуга , петля и завиток – которые представляют общую структуру, а окончания гребней или бифуркации представляют локальную структуру или мелкие точки. [4] Различные алгоритмы включают эти черты и структуру отпечатков пальцев для группировки отпечатков пальцев и выявления различий. Некоторые примеры используемых алгоритмов – это банк фильтров, система смежных векторов ориентации (AOV) и корреляционный фильтр. [13]
Smug — это особый метод атаки, который сочетает обработку изображений с сортировкой шаблонов для определения паролей на основе шаблонов. Сначала злоумышленники делают снимок области пятна с помощью соответствующей камеры и освещения. Используя алгоритм сопоставления изображений , захваченное изображение затем сравнивается с эталонным изображением того же устройства, чтобы правильно извлечь обрезанное изображение, сфокусированное на пятнах. Затем объекты пятна идентифицируются с помощью двоичного кода, обнаружения краев Кэнни и преобразования Хафа для улучшения видимости местоположений отпечатков пальцев. Возможные сегменты между скольжениями и точками обнаруживаются с помощью алгоритма для формирования целевого шаблона. Затем сегменты фильтруются для удаления нежелательных и изолированных краев, чтобы оставить только те края, которые следуют направлению сегмента. Эти сегменты идентифицируются путем выяснения того, является ли пятно между двумя точками сетки частью шаблона после сравнения количества объектов пятна с установленным пороговым значением. Наконец, эти сегменты используются в модели пароля для обнаружения потенциальных паролей (например, n -граммная модель Маркова ). Проведенный эксперимент показал, что этот метод оказался успешным в разблокировке 360 кодов шаблонов в 74,17% случаев при использовании атак методом размазывания, что является улучшением по сравнению с 13,33% для атак методом чистого угадывания. [12] [16]
Атаки с использованием Smudge могут быть выполнены на различных методах блокировки смарт-устройств, таких как Android Patterns, PIN-коды и текстовые пароли. Все эти методы аутентификации требуют, чтобы пользователь нажимал на экран, чтобы ввести правильную комбинацию, что приводит к восприимчивости к атакам с использованием Smudge, которые ищут эти пятна. [17]
PIN-коды не только подвержены атакам smudge, но и другим возможным атакам посредством прямого наблюдения, таким как атаки с использованием плеча или просто чистое угадывание, например атаки методом грубой силы . Они также широко используются в электронных транзакциях или для использования банкоматов и других банковских ситуациях. Если PIN-код передается или украден, устройство или машина не может определить, является ли пользователь законным владельцем, поскольку оно полагается только на то, введен ли правильный номер. Что касается атак smudge, это позволяет злоумышленникам легко красть информацию, поскольку нет другого способа аутентифицировать пользователя, кем он на самом деле является. [18]
Сенсорные устройства, использующие текстовые пароли , будут содержать отпечатки пальцев в местах расположения соответствующих цифр или букв на буквенно-цифровой клавиатуре. Злоумышленники могут использовать это для проведения атаки методом «смачивания». Недостатком текстовых паролей является не только их уязвимость к атакам методом «смачивания», но и склонность пользователей забывать пароль. Это заставляет многих пользователей использовать что-то, что легко запомнить, или повторно использовать несколько паролей на разных платформах. Эти пароли попадают в так называемое подпространство слабых паролей в пределах полного пространства паролей и облегчают злоумышленникам взлом с помощью атак методом «грубой силы» по словарю. [11] В исследовании 2017 года было рассмотрено 3289 паролей, и 86% из них имели некоторое структурное сходство, например, содержали словарные слова и были короткими. [19]
Draw-a-Secret — это графическая схема аутентификации, которая требует от пользователей рисовать линии или точки на двумерной сетке. Успешная аутентификация зависит от того, сможет ли пользователь точно повторить нарисованный путь. Android Pattern Password — это версия Pass-Go, которая следует концепции DAS. [20] [21]
Pass-Go использует сетку, так что нет необходимости хранить графическую базу данных и позволяет пользователю рисовать пароль любой длины. В отличие от DAS, схема основана на выборе пересечений на сетке вместо ячеек на экране, и пользователи также могут рисовать диагональные линии. Тао и Адам, которые предложили этот метод, обнаружили, что за три месяца своего исследования многие люди рисовали более длинные пароли-шаблоны, что противоречит тенденции выбирать минимальные и легко запоминающиеся пароли. [22]
Блокировка Android Pattern — это графический метод пароля, представленный Google в 2008 году, при котором пользователи создают рисунок на сетке 3x3, соединяющей линии. [16] Около 40% пользователей Android используют блокировку Pattern для защиты своих телефонов. [16] Существует 389 112 возможных рисунков, которые может нарисовать пользователь. [23] Каждый рисунок должен содержать не менее 4 точек на сетке, использовать каждую точку контакта один раз и не может пропускать промежуточные точки между точками, если он не использовался ранее. [21] Сенсорные устройства, использующие блокировку Android Pattern, оставляют после себя смахивания, которые выдают правильное местоположение и комбинацию, необходимые злоумышленнику для разблокировки телефона как неавторизованному пользователю. Безопасность блокировки Android Pattern против атак с использованием пятен была протестирована исследователями из Университета Пенсильвании, и по смахиваниям, оставленным после нарисованного рисунка, они смогли полностью распознать код в 68% случаев и частично в 92% случаев при надлежащих условиях. [1]
Физиологическая биометрия, такая как Android Face Unlock, iPhone Touch ID и Face ID , а также Trusted Voice, недавно были реализованы в мобильных устройствах в качестве основного или альтернативного метода проверки. Существуют также другие новые способы, которые могут стать будущей схемой безопасности, но пока не внедрены в массовое использование. [24] Некоторые из этих способов избегают необходимости вводить что-либо пальцами и, таким образом, исключают возможность для злоумышленников использовать пятна для определения блокировки пароля.
Хотя существует множество контрмер, помогающих защититься от атак smudge, создание безопасных паролей может стать первым шагом к защите устройства. Вот некоторые из рекомендуемых шагов: [25]
Хотя это рекомендуемые советы для более надежных паролей, пользователи могут исчерпать надежные варианты паролей, которые они помнят, и позже забыть пароль после частой смены. Чтобы избежать этого, пользователи, как правило, выбирают короткие, более слабые пароли, чтобы сделать их более удобными и сократить время разблокировки. [26]
Исследователи изучили свойства защиты от отпечатков пальцев, которые могут позволить людям сохранять свои текущие схемы паролей и не беспокоиться об оставшихся пятнах. Поверхности, которые способны отталкивать воду и масла от пальцев, называются липофобными. Поверхности с низкой поверхностной энергией и прозрачностью поверхности (низкой шероховатостью) обычно являются анти-грязеотталкивающими из-за их более высоких углов контакта и низкого молекулярного притяжения . Низкое молекулярное притяжение означает, что у молекул масла и воды мало или совсем нет адгезии, чтобы прикрепиться к поверхности и оставить след. Однако достичь этих свойств, продолжая функционировать как сенсорный экран, сложно, поскольку низкая поверхностная энергия изменяет долговечность и функциональность самого сенсорного экрана. [14]
Благодаря этому исследованию на рынок были выпущены различные защитные пленки против пятен, такие как антибликовая и антиотпечатковая пленка Tech Armor, а также антимикробные защитные пленки InvisibleShield Premium Film и Glass Elite ( закаленное стекло ) от ZAGG. ZAGG продает свой InvisibleShield как устойчивый к пятнам, бликам и царапинам. [27] Эти аксессуары для телефонов могут стоить от 30 до 60 долларов. [28]
На рынке также были представлены различные смартфоны, которые рекламировались как имеющие олеофобное покрытие, которое устойчиво к маслу, чтобы защитить сенсорный экран от отпечатков пальцев. Олеофобный экран собирает любые остатки масла, предотвращая их прилипание к поверхности и позволяя легко стирать остатки пальцев, не размазывая их. [29] В июле 2016 года Blackberry выпустила смартфон DTEK50 с олеофобным покрытием. [30] [28] Другие разработчики телефонов использовали это для сенсорных экранов своих устройств, таких как многие поколения iPhone от Apple, [31] [32] Nokia и Lumia и HTC Hero . [33]
Биометрия — это тип аутентификации , который идентифицирует пользователя на основе его поведения или физических характеристик, таких как нажатия клавиш , походка и распознавание лица , а не того, что можно вспомнить или запомнить. [4] Биометрическая система берет уникальные черты человека и записывает их в качестве биометрического шаблона, а информация сравнивается с текущим захваченным вводом для аутентификации пользователя. [34] Биометрия классифицируется как физиологическая или поведенческая Подкомитетом Национального совета по науке и технологиям США (NSTC) по биометрии. [35] Этот тип безопасности может служить вторичной защитой для традиционных методов паролей, которые сами по себе подвержены атакам с помощью подделки, поскольку он не полагается на ввод запомненного числа или рисунка или на вызов изображения. Исследования, проведенные в области биометрической аутентификации, показали, что сочетание или гибрид биометрии и традиционных паролей или PIN-кодов может повысить безопасность и удобство использования исходной системы. [36]
Одним из недостатков биометрии являются атаки с имитацией, когда злоумышленники имитируют пользователя. Это может повысить уязвимость устройства, если злоумышленники прибегнут к методам, которые позволяют им копировать поведение жертвы. Некоторые из этих методов включают использование приложения, основанного на реальности, которое направляет злоумышленников при входе в телефон жертвы, или использование прозрачной пленки с указателями и звуковыми подсказками для имитации поведения жертвы. [37] Другая уязвимость заключается в том, что биометрический шаблон может быть передан или украден посредством взлома или другими различными способами неавторизованными лицами. [38] [39] Возможным решением любой кражи, утечки или мимикрии являются схемы защиты шаблонов отпечатков пальцев, поскольку они затрудняют злоумышленникам доступ к информации с помощью шифрования и дополнительных методов. [36] [38]
Физиологическая биометрия аутентифицирует пользователя на основе его человеческих характеристик. Измерение характеристик, уникальных для каждого человека, создает стабильный и в основном последовательный механизм аутентификации человека, поскольку эти характеристики не меняются очень быстро. Некоторые примеры методов физиологической биометрической аутентификации приведены ниже. [35]
Поведенческая биометрия аутентифицирует пользователя на основе поведения, привычек и тенденций настоящего пользователя. Некоторые примеры включают распознавание голоса , походку , размахивание руками и динамику нажатия клавиш . [35] Перечисленные ниже схемы были предложены специально для защиты от атак типа «smudge».
SmudgeSafe — еще один метод аутентификации, защищенный от атак типа «размазывание», который использует двумерные преобразования изображений для поворота, переворота или масштабирования изображения на странице экрана входа в систему. Пользователь будет рисовать графический шейпер пароля, созданный из точек на изображении, как обычно, но изображение будет выглядеть по-разному каждый раз, когда пользователь входит в систему. Изменения, внесенные в изображение, рандомизированы, поэтому предыдущие размазывания входа не дают злоумышленникам подсказок о том, что именно входное значение является входным. Чтобы гарантировать, что примененные преобразования значительно изменят местоположение точек пароля, область этих конкретных мест на изображении ограничена. В исследовании, сравнивающем графический метод аутентификации SmudgeSafe с шаблонами блокировки и PIN-кодами, SmudgeSafe показал лучшие результаты со средним значением 0,51 угаданных паролей на участника. Блокировка шаблона имела среднее значение 3,50, а PIN-коды имели среднее значение 1,10 правильно угаданных паролей на участника. [6]
TinyLock был предложен Квоном и др. [5] и использует две сетки: верхняя предназначена для нажатых ячеек для процесса подтверждения, а нижняя — для рисования для процесса аутентификации. [5] Верхняя сетка используется для уведомления пользователя мерцанием и вибрацией, если пользователь находится на правильной начальной точке, прежде чем он начнет рисовать. Нижняя половина экрана содержит крошечную сетку 3 x 3, используемую для рисования секретного пароля. Сетка намного меньше по размеру по сравнению с традиционными замками с шаблонами, что заставляет пользователя рисовать в ограниченном пространстве, чтобы втиснуть все пятна в небольшую область. Этот метод смягчает атаки с помощью пятен, поскольку все пятна смазываются вместе, и пользователям требуется нарисовать круглое виртуальное колесо в любом направлении после рисования пароля с шаблоном. Однако этот метод не полностью свободен от атак с использованием плечевого серфинга. [20] Кроме того, еще одним недостатком является то, что точки сетки трудно визуализировать из-за небольшого размера, что затрудняет рисование сложных узоров и разблокировку без ошибок. [16]
ClickPattern использует сетку 3 x 3, помеченную от одного до девяти, и пользователь должен нажимать на узлы, которые соответствуют концу нарисованной линии, чтобы предотвратить смахивание на экране. Это создает пятна, которые сложнее отличить от обычного использования экрана. Если что, созданные пятна покажут используемые узлы, но не узор, таким образом, будучи более защищенным от атак с помощью пятен, чем блокировка рисунка Android. На экране блокировки ClickPattern состоит из следующих трех компонентов: [42]
Пользователь аутентифицируется, когда введенный шаблон совпадает с исходным шаблоном и находится в том же порядке и направлении. Чтобы создать действительный шаблон, шаблон должен иметь не менее 4 точек, и ни один из них не может быть использован более одного раза. Шаблон также всегда будет содержать точки между последовательностями, даже если на него не обязательно нажимать. Пользователи также могут проходить через ранее использованные точки, чтобы получить доступ к неиспользованному узлу. [42]
Эта мультисенсорная аутентификация использует геометрические и поведенческие характеристики для проверки пользователей на устройстве с сенсорным экраном. По словам Сонга и др . [43] , этот жест TFST занимает в среднем 0,75 секунды для разблокировки, очень прост в использовании и прост в исполнении. Пользователь складывает от двух до четырех пальцев вместе в прямом положении, уменьшая количество поверхности по сравнению с другими методами мультисенсорного управления. С пальцами в этом фиксированном положении руки пользователь может выбрать либо прослеживание простого, либо сложного узора, а экран будет улавливать положения пальцев и записывать каждое движение следа в виде событий касания. Эти события касания учитывают координаты X и Y, величину приложенного давления, размер пальца, временную метку и размер области касания и сравниваются с шаблоном, созданным в процессе регистрации. [19] Физиологические особенности или геометрия руки включают измерение между возможными штрихами из выполненного жеста. Горизонтальные штрихи отслеживают разницу в длине пальцев, а вертикальные штрихи отслеживают ширину пальца. Поскольку пользователь всегда размещает пальцы в прямом положении, измерения пальца останутся прежними и обеспечат последовательную проверку. Наконец, есть поведенческие характеристики, которые отслеживаются, в частности, длина штриха, время, которое требуется, скорость штриха, инструмент или область для каждой точки касания по отношению к размеру пальца, размер области касания, приложенное давление и угол штриха. Для одного штриха есть 13 поведенческих характеристик, и это увеличивается до 26, 39 и 52 для четырех штрихов. [43]
С новой технологией, направленной на создание гибкого дисплея для смартфонов, появляется больше возможностей для создания новых методов аутентификации. Пароли с изгибом — это оригинальный тип аутентификации по паролю, используемый для гибких экранов. Он включает в себя различные жесты изгиба, которые пользователи выполняют, скручивая или деформируя поверхность дисплея, и в настоящее время доступно в общей сложности 20 жестов. Изгиб может быть частью одного жеста путем индивидуального изгиба одного из четырех углов дисплея или частью многоизгибного жеста путем одновременного изгиба пар углов. [44]
Новый предложенный метод аутентификации, называемый Fractal-Based Authentication Technique (FBAT), использует для аутентификации пользователей треугольник Серпинского . Этот процесс сочетает в себе аутентификацию на основе распознавания и подсказок, поскольку пользователи должны распознавать и нажимать на свои личные предварительно выбранные цветные треугольники по мере увеличения уровня треугольников. Для смартфонов уровень треугольников установлен на 3 из-за ограниченного размера сенсорного экрана, но он может увеличиваться для больших планшетов. На уровне 3 вероятность того, что злоумышленник угадает пароль, составляет 0,13%. Метод на основе распознавания требует, чтобы пользователи распознавали предварительно выбранные изображения, а графический метод на основе подсказок требует, чтобы пользователи нажимали на предварительно выбранные точки на изображении. В треугольнике Серпинского выбранный цветной узор создается во время регистрации и скрывается в устройстве. Чтобы аутентифицировать себя, пользователь должен выбрать правильный узор на каждом уровне, в то время как треугольники случайным образом перемешиваются. Поскольку цветные треугольники генерируются случайным образом, их можно найти в разных местах для каждой аутентификации, оставляя, таким образом, пятна, которые не дают никаких улик потенциальным злоумышленникам. Этот метод можно использовать на устройствах Android, банкоматах, ноутбуках или любых устройствах, которые используют аутентификацию для разблокировки. [25]
Knock Code — это метод аутентификации, представленный LG Electronics , который позволяет пользователям разблокировать телефон, не включая его, нажав на нужную область в правильной последовательности. Экран разделен на четыре секции, при этом вертикальные и горизонтальные линии меняются. [45] Было предложено два варианта Knock Code — код Knock Code 2 x 2 и 1 x 2. Эти варианты могут защитить от атак методом «smudge» благодаря скользящим операциям, которые стирают стук в конце после ввода касаний. В исследовании пользователей, в котором сравнивались оригинальный Knock Code и Android Pattern Lock, эти схемы вариантов были более устойчивы к атакам методом «smudge». [20]
В современных системах безопасности смартфонов наблюдается движение в сторону физиологической биометрической аутентификации, такой как распознавание отпечатков пальцев и лиц, которые позволяют пользователю заменять свои PIN-коды и буквенно-цифровые коды доступа. [4] Однако даже новые и передовые методы аутентификации имеют недостатки и слабые стороны, которыми пользователи могут воспользоваться. Например, при изучении сенсорной аутентификации исследователи наблюдали схожее поведение при скольжении и нажатии пальцев у большого количества пользователей телефонов, и эта общая информация может помочь злоумышленникам в выполнении успешных атак. [39] Исследования в области биометрии и методов аутентификации с несколькими жестами продолжают помогать бороться с атаками на традиционные пароли и устранять уязвимости новых схем по мере разработки новых тенденций и новых технологий. [18]
{{cite web}}: CS1 maint: неподходящий URL ( ссылка )