การโจมตีด้วยเสียงรูปแบบใหม่ขโมยข้อมูลการกดแป้นพิมพ์ได้ด้วยความแม่นยำ 95%

• ทีมวิจัยจากสหราชอาณาจักรได้พัฒนาโมเดลดีพเลิร์นนิงที่ใช้การโจมตีด้วยเสียงเพื่อขโมยข้อมูลจากการกดแป้นพิมพ์ได้ด้วยความแม่นยำ 95%
• ความแม่นยำของโมเดลนี้ลดลงเหลือ 93% เมื่อนำ Zoom มาใช้ฝึกอัลกอริทึมจำแนกเสียง แต่ก็ยังสูงจนน่ากังวล และถือเป็นความแม่นยำระดับสูงสุดเท่าที่เคยมีมาในสาขานี้
• การโจมตีประเภทนี้อาจทำให้รหัสผ่าน บทสนทนา ข้อความ และข้อมูลอ่อนไหวอื่น ๆ รั่วไหลไปยังบุคคลที่สามที่ไม่หวังดี จึงเป็นภัยคุกคามร้ายแรงต่อความปลอดภัยของข้อมูล
• แตกต่างจากการโจมตีแบบ side-channel อื่น ๆ ที่ต้องอาศัยเงื่อนไขเฉพาะและมีข้อจำกัดด้านอัตราการส่งข้อมูลกับระยะทาง การโจมตีด้วยเสียงทำได้ง่ายกว่า เนื่องจากอุปกรณ์ที่มีไมโครโฟนซึ่งสามารถจับเสียงคุณภาพสูงมีการใช้งานอย่างแพร่หลาย
• ขั้นตอนแรกของการโจมตีคือการบันทึกเสียงการกดแป้นของคีย์บอร์ดเป้าหมาย ซึ่งอาจทำได้ผ่านไมโครโฟนที่อยู่ใกล้เคียง โทรศัพท์ของเป้าหมายที่ติดมัลแวร์ หรือผ่านการโทร Zoom
• นักวิจัยเก็บข้อมูลสำหรับฝึกด้วยการบันทึกเสียงที่เกิดขึ้นจากการกดคีย์ 36 ปุ่มของ MacBook Pro แต่ละปุ่ม 25 ครั้ง
• เสียงการกดแป้นที่บันทึกไว้ถูกแปลงเป็น waveform และ spectrogram เพื่อนำไปใช้ฝึก CoAtNet ซึ่งเป็นตัวจำแนกภาพ
• นักวิจัยทำความแม่นยำได้ 95% จากการบันทึกด้วยสมาร์ตโฟน และ 93% จากการบันทึกที่จับผ่าน Zoom ส่วน Skype ให้ความแม่นยำที่ต่ำกว่าแต่ยังใช้งานได้ที่ 91.7%
• เพื่อลดความเสี่ยงจากการโจมตีแบบ acoustic side-channel ผู้ใช้สามารถเปลี่ยนรูปแบบการพิมพ์ ใช้รหัสผ่านแบบสุ่ม สร้างเสียงการกดแป้นจำลอง ใช้ white noise หรือใช้ตัวกรองเสียงการกดแป้นแบบซอฟต์แวร์
• นักวิจัยเสนอให้ใช้การยืนยันตัวตนด้วยชีวมิติเมื่อเป็นไปได้ และใช้ตัวจัดการรหัสผ่านเพื่อหลีกเลี่ยงการพิมพ์ข้อมูลอ่อนไหวด้วยตนเอง เป็นมาตรการป้องกันเพิ่มเติม
• โมเดลโจมตีนี้พิสูจน์แล้วว่ามีประสิทธิภาพมากแม้กับคีย์บอร์ดที่เงียบมาก ซึ่งบ่งชี้ว่าการเพิ่มตัวลดทอนเสียงให้คีย์บอร์ดเชิงกลหรือเปลี่ยนไปใช้คีย์บอร์ดแบบเมมเบรนอาจไม่ได้ช่วยอะไร

[GN⁺]

ความคิดเห็นจาก Hacker News

• บทความกล่าวถึงการโจมตีทางเสียงรูปแบบใหม่ที่สามารถขโมยข้อมูลจากการกดแป้นพิมพ์ได้ด้วยความแม่นยำ 95%
• การทดลองดำเนินการโดยใช้แล็ปท็อปและไมโครโฟนเครื่องเดียวกันในการสร้างข้อมูลสำหรับฝึกและทดสอบ
• โมเดลได้รับการฝึกด้วยข้อมูลที่เก็บจาก Zoom เพื่อใช้ในการโจมตีแบบ side-channel ในทางปฏิบัติ
• มีการตั้งคำถามว่าลักษณะทางเสียงที่โมเดลตรวจจับได้นั้นเป็นลายนิ้วมือทางกายภาพของแต่ละปุ่ม หรือเป็นรูปแบบการสั่นพ้องภายในคีย์บอร์ด/แล็ปท็อปกันแน่ ซึ่งยังไม่ชัดเจน
• ประสิทธิภาพของโมเดลอาจแตกต่างกันไปตามแรงที่ใช้กดแต่ละปุ่มและชนิดของคีย์บอร์ดที่ใช้งาน
• ความก้าวหน้านี้มีนัยสำคัญในมุมมองด้านความปลอดภัยและการจารกรรม เพราะชี้ให้เห็นว่าบั๊กเสียงที่ละเอียดอ่อนอาจทำงานเป็น keylogger ได้โดยปริยาย
• ซอฟต์แวร์วิดีโอคอนเฟอเรนซ์บางตัวรวมถึง Zoom อาจลดภัยคุกคามจากการโจมตีนี้ได้ โดยลบเสียงคีย์บอร์ดออกจากเสียงเป็นส่วนหนึ่งของฟีเจอร์ลดเสียงรบกวน
• มีข้อสงสัยเกี่ยวกับประสิทธิภาพของโมเดลกับผู้ที่พิมพ์ด้วยความเร็วปานกลางหรือเร็ว โดยภาพประกอบตัวอย่างแสดงให้เห็นการกดปุ่มทุก 0.5 วินาที ซึ่งบ่งบอกถึงลักษณะการพิมพ์แบบหนึ่ง
• บทความนี้กระตุ้นความสนใจต่อคีย์บอร์ดไร้สายที่ใช้เทคโนโลยีนี้ ซึ่งไม่ต้องใช้แบตเตอรี่ การชาร์จ หรือการซิงก์
• ผู้อ่านบางคนเสนอให้ใช้รหัสผ่านใช้ครั้งเดียวเป็นแนวทางแก้ปัญหาที่เป็นไปได้สำหรับภัยคุกคามนี้
• คนอื่น ๆ เสนอให้ใส่เสียงพื้นหลังการพิมพ์ลงไปในการคุยผ่าน Zoom เพื่อเป็นมาตรการตอบโต้