Video: Top 10 BEST Smartphones of 2020 (Nobyembre 2024)
Ang mga keylogger ay hindi bastos na maliit na programa na nakaupo sa iyong PC at masigasig na naitala ang bawat solong keystroke. Kung nais mong nakawin ang mga password sa banking ng isang tao, ang mga keylogger ay ang perpektong tool. Ang paglalahad sa RSAC 2014, ang Tagapamahala ng Seguridad ng Seguridad ng Square ni Nathan McCauley at Senior Security Consultant na si Neal Hindocha, ay nagpakita na ang paggawa ng parehong bagay sa isang touchscreen smartphone ay hindi mahirap sa lahat.
Paghahanap ng mga daliri
Ang pinakamahusay na paraan upang makagambala sa impormasyon ng ugnay sa iOS ay sa pamamagitan ng "pamamaga ng pag-swipe." Sinabi ni McCauley na ito ay "tulad ng isang pag-atake ng tao para sa mga pamamaraan ng tawag sa loob ng operating system." Kung alam mo na mayroong isang partikular na pamamaraan na tatawagin, ipinaliwanag ang McCauley, maaari kang magpasok ng isang silid-aklatan na mamamagitan at mag-log ng kaganapan bago maipasa ang kaganapan bilang normal. Ang praktikal na upshot ay maaari mong makuha ang lahat ng uri ng impormasyon - kahit na mga screenshot - nang hindi nakakaapekto sa pagganap ng telepono.
Karaniwan, kakailanganin nito na ang iPhone ay maging jailbroken muna. Gayunpaman, kinilala ng mga nagtatanghal ang pananaliksik mula sa FireEye na inilabas nang mas maaga sa linggo na nagpakita na hindi ito kinakailangan. Hanggang sa i-update ng Apple ang iOS, maaaring masubaybayan ng mga gumagamit kahit na hindi jailbroken ang kanilang aparato.
Sa mga naka-root na aparato ng Android mas madali. Ginamit ni Hindocha ang tool na "getevent", na naroroon sa lahat ng mga aparato ng Android, upang mai-log ang mga koordinasyon ng X at Y sa bawat pagpindot. Maaari rin siyang gumamit ng getevent upang irekord ang mga pag-urong ng pag-swipe at kapag pinindot ang mga pindutan ng hardware.
Para sa mga Androids na hindi nakaugat, na kung saan karamihan sa kanila, maaari mo pa ring gamitin ang getevent. Upang gawin ito, ang telepono ay kinakailangang paganahin ang USB debugging at konektado sa isang computer. Gamit ang Android Debugging Bridge, nagawa ni Hindocha na makuha ang mataas na karapatan na kinakailangan upang magpatakbo ng getevent.
Siyempre, ang mga aparato ng Android ay hindi nasa mode ng pag-debug nang default (at inirerekumenda namin na hindi aktibo ito). Gayundin, ang pisikal na pag-access sa isang aparato ay mahusay na nililimitahan ang pagiging epektibo ng pag-atake na ito. Gayunpaman, ipinakita ni Hindocha na posible na teoretikal na gumamit ng isang kumbinasyon ng mga nakakahamak na live na wallpaper-na hindi nangangailangan ng mga espesyal na pahintulot upang tingnan ang mga data ng pagpindot - at mag-overlay ng mga app upang maagap ang impormasyon ng ugnay sa mga hindi nakaugat na aparato.
Mayroon ka ng Touch
Kapag nalaman nila kung paano makuha ang data ng ugnay, kailangang malaman ng mga mananaliksik kung ano ang gagawin dito. Sa una, ipinapalagay nila na kinakailangan upang makuha ang mga screenshot upang mai-map ang impormasyon ng ugnay sa isang bagay na kapaki-pakinabang. Ngunit sinabi ni Hindocha na hindi iyon ang nangyari. "Habang nagpapatuloy kami, nalaman kong madali kong malaman kung ano ang nangyayari sa pamamagitan lamang ng pagtingin sa mga tuldok, " aniya.
Ang trick ay naghahanap para sa mga partikular na pahiwatig upang ipahiwatig kung anong uri ng pag-input ang nangyayari. Ang mga partikular na paggalaw ng pag-drag at pag-tap ay maaaring Nagagalit na mga Ibon, habang apat na gripo at pagkatapos ay isang pang-lima sa ibabang kanan ng screen ay marahil isang PIN. Sinabi ni Hindocha na nagawa nilang sabihin kung kailan isinulat ang mga email o mga text message dahil paulit-ulit na na-hit ang paulit-ulit na lugar na kung saan ang tirahan ng backspace key. "Ang mga tao ay nagkakamali ng pagkakamali kapag nagsusulat sila ng mga email, " ipinaliwanag niya.
Manatiling Ligtas
Nabanggit ng mga mananaliksik na ito ay isa lamang na pamamaraan upang makuha ang nai-type sa isang smartphone. Ang nakahahamak na mga keyboard, halimbawa, ay maaaring madaling magnanakaw ng iyong mga password sa pagbabangko.
Ang mga gumagamit ng iOS na nag-aalala tungkol sa touchlogging ay dapat iwasan ang pag-jailbreaking ng kanilang mga aparato, kahit na ang pananaliksik ng FireEye ay nagmumungkahi na hindi ito sapat. Sa kabutihang palad, sinabi ni McCauley, ang pamamaraan ng pag-swizzling ay medyo madali para sa mga tagapamahala ng aparato ng savvy.
Para sa Android, ang isyu ay medyo mas matindi. Muli, ang pag-rooting ng isang aparato ay magbubukas sa iyo upang pag-atake. Gayundin, ang pagpapagana ng pag-debug mode ay nagbibigay sa mga umaatake sa iyong aparato. Ang mga ito ay karaniwang hindi naroroon sa stock ng mga teleponong Android, kahit na ipinakita ni McCauley ang isang mahalagang pagbubukod. Sinabi niya na sa kurso ng kanilang pananaliksik, natuklasan nila na ang mga telepono na ipinadala mula sa isang hindi pinangalanan na tagagawa ay na-configure sa paraang maaaring ma-access ang mga umaatake sa pag-access.
Kahit na ang kanilang pananaliksik ay may mga praktikal na aplikasyon, higit pa sa teoretikal. Ang aming mga tap at swipe ay ligtas, hindi bababa sa ngayon.
