Yeni akustik saldırı, tuş vuruşu verilerini %95 doğrulukla çalıyor

• Birleşik Krallık'taki bir araştırma ekibi, akustik saldırı kullanarak klavye tuş vuruşlarından veriyi %95 doğrulukla çalan bir derin öğrenme modeli geliştirdi.
• Bu modelin doğruluğu, ses sınıflandırma algoritması Zoom kullanılarak eğitildiğinde %93'e düşüyor; ancak bu oran hâlâ tehlikeli derecede yüksek ve bu alanda rekor seviyede bir doğruluk.
• Bu tür saldırılar, parolalar, konuşmalar, mesajlar ve diğer hassas bilgilerin kötü niyetli üçüncü taraflara sızmasına yol açabildiği için veri güvenliği açısından ciddi bir tehdit oluşturuyor.
• Belirli koşullar gerektiren ve veri aktarım hızı ile mesafe açısından sınırlamaları olan diğer yan kanal saldırılarının aksine, akustik saldırılar; yüksek kaliteli ses yakalayabilen mikrofonlara sahip cihazların yaygın olması nedeniyle çok daha kolay hâle geldi.
• Saldırının ilk aşaması, hedefin klavyesindeki tuş vuruşlarını kaydetmek; bu da yakındaki bir mikrofon, kötü amaçlı yazılımla enfekte edilmiş hedef telefonu veya bir Zoom görüşmesi üzerinden yapılabiliyor.
• Araştırmacılar, eğitim verisini toplamak için bir MacBook Pro'nun 36 tuşuna ayrı ayrı 25'er kez basarken oluşan sesleri kaydetti.
• Kaydedilen tuş vuruşu sesleri dalga biçimlerine ve spektrogramlara dönüştürüldü ve bunlar, bir görüntü sınıflandırıcısı olan CoAtNet'i eğitmek için kullanıldı.
• Araştırmacılar, akıllı telefon kaydında %95 doğruluk, Zoom üzerinden yakalanan kayıtlarda ise %93 doğruluk elde etti. Skype ise daha düşük ama kullanılabilir bir doğruluk olan %91,7 gösterdi.
• Akustik yan kanal saldırılarının riskini azaltmak için kullanıcılar yazma stilini değiştirebilir, rastgele parolalar kullanabilir, tuş vuruşu seslerini taklit edebilir, beyaz gürültü kullanabilir veya yazılım tabanlı tuş vuruşu ses filtreleri kullanabilir.
• Araştırmacılar, ek önlem olarak mümkün olduğunda biyometrik kimlik doğrulamanın kullanılmasını ve hassas bilgilerin elle girilmesini önlemek için parola yöneticilerinden yararlanılmasını öneriyor.
• Saldırı modelinin, çok sessiz klavyelerde bile son derece etkili olduğu kanıtlandı. Bu da mekanik klavyelere ses sönümleyici eklemenin veya membran klavyeye geçmenin yardımcı olmayacağını gösteriyor.

[GN⁺]

Hacker News görüşü

• Makale, yeni bir akustik saldırının tuş vuruşlarından verileri %95 doğrulukla çalabildiğini tartışıyor.
• Deney, eğitim verisi ve test verisi oluşturmak için aynı dizüstü bilgisayar ve mikrofon kullanılarak gerçekleştirildi.
• Model, pratik bir yan kanal saldırısı için Zoom'dan toplanan verilerle eğitildi.
• Modelin tanıdığı akustik özelliklerin her tuşun fiziksel parmak izi mi yoksa klavye/dizüstü bilgisayar içindeki rezonans kalıpları mı olduğu konusunda soru işaretleri var; bu net değil.
• Modelin performansı, her tuşa ne kadar sert basıldığına ve kullanılan klavyenin türüne göre değişebilir.
• Bu gelişme, hassas ses böceklerinin varsayılan olarak keylogger gibi çalışabileceğini öne sürdüğü için güvenlik ve casusluk açısından önem taşıyor.
• Zoom dahil bazı görüntülü konferans yazılımları, gürültü engelleme özelliğinin bir parçası olarak klavye seslerini sesten kaldırarak bu saldırının tehdidini sınırlayabilir.
• Modelin ortalama veya hızlı yazan kişilerdeki performansına dair sorular var. Örnek görsel, her 0,5 saniyede bir tuşa basıldığını gösteriyor; bu da bir yazma stiline işaret ediyor.
• Makale, pil, şarj veya senkronizasyon gerektirmeyen bu teknolojiyi kullanan kablosuz klavyelere ilgi uyandırdı.
• Bazı okuyucular, bu tehdide karşı olası bir çözüm olarak tek kullanımlık parolaların kullanılmasını öneriyor.
• Diğerleri ise karşı önlem olarak Zoom görüşmelerine yazı yazma arka plan sesi enjekte etmeyi öneriyor.