指纹iPhone

这个巧妙的进攻允许某人在你访问网站时唯一地识别手机,根据加速度计的数据,陀螺仪,和磁强计传感器。

我们开发了一种新型的指纹识别攻击,校准指纹攻击。我们的攻击使用从加速度计收集的数据,智能手机上的陀螺仪和磁强计传感器构成了全球独一无二的指纹。总的来说,我们的攻击有以下优势:

  • 攻击可以由您访问的任何网站或您在易受攻击的设备上使用的任何应用程序发起,而无需您的任何明确确认或同意。
  • 攻击需要不到一秒钟的时间来生成指纹。
  • 这种攻击可以为iOS设备生成全球唯一的指纹。
  • 校准指纹永远不会改变,甚至在工厂重置之后。
  • 当你浏览网页并在手机上的应用程序之间移动时,这种攻击提供了一种有效的方法来跟踪你。

*在我们披露之后,苹果已经在iOS 12.2中修复了这个漏洞。

研究

发表于5月22日,2019年6点24分•23条评论

评论

Sok Puppette·5月22日,上午2019时33分33分

这就是你不给美元的原因!@#$^@Web页面访问传感器。或USB。或者用户的位置。或通知。或者改变窗户装饰的能力。或者任何其他愚蠢的东西"网络平台"白痴们不断补充。

西塔拉姆Chamarty·5月22日,2019上午8点03分

@Sok Puppette

我,我认识一些同样偏执的人,不要在手机上使用浏览器,除非非常具体,预先确定的地点。(是的,这些网站可以做到这一点,但是被任意JS攻击的可能性降低了很多。

我不是,当然,说我知道这次袭击。这是一般偏执狂的结果。

我想知道这在本网站的读者中有多常见(当然,对于一般人来说,这样问是没有希望的!)

西塔拉姆

斯文·5月22日,2019点8:58

@ Sok Puppette:

该网站只获得融合的数据。因此,应用程序可以更加准确。

该文件还指出:
[截至iOS 12.2]默认情况下,苹果还取消了对移动Safari中运动传感器的访问。

TimH·5月22日,2019上午9点04分

“你访问的任何网站都可以发起攻击”。

然后论文说…如果启用了javascript。我的手机没开机在我看来,让JS在手机上运行是愚蠢的,做手机银行更是愚蠢至极。

自组装膜·5月22日,上午2019时45分45分

如果解决方法是加入“均匀分布随机噪声”对于模拟值,那么,难道你就不能通过平均更多的样本来消除噪声来利用这个漏洞吗?

授予,手机可能必须完全静止,如。在桌子上,为了获得足够的稳定性来穿透几百或数千个样本的噪声,但这仍然是一种潜在的攻击手段吗?

丹顿划痕·5月22日,2019年11:51我

@西塔拉姆·查玛蒂

我不使用手机浏览网页。

但我不寻常,我认为;我大约12年前买了我的Android手机。它并不比便利贴大多少。一个上班的女孩说“哇,它是如此之小!”-不是一个小伙子想从一个姑娘那里听到的话!我所有的同事都有巨大的fondleslabs,在过去的几个月里他们升级到了这个级别。

我把它当作——等一下——手机。并接收短信。虚拟键盘对我笨拙的手指来说太小了,所以我很少发短信。我的视力退化了;我得从包里拿出我的眼镜才能看到屏幕上的任何东西。输入url是不值得的-屏幕太小了,浏览一个网页只是一项艰苦的工作。总之,在我看来,移动web糟透了——不可能构建一个能够很好地处理所有不同移动浏览器的各种怪癖的站点(就像90年代末的事情再次发生一样)。当然,我的古董设备不能很好地与为现代移动浏览器构建的网站配合使用。

我买了这个设备后不久就把它固定了下来,和安装CyanogenMod,然后立即删除或禁用了一堆预先安装的谷歌和faceache间谍软件。地图消失了,位置被禁用。车里有个有用的卫星导航但我不怎么用车,要么。

我知道我仍然可以被追踪;但我经常把手机留在家里(大部分是充电的,因为12年前的电池容量不大),如果探员还不知道我家在哪那他们就不称职了。如果我知道我需要叫出租车或其他什么的话,我就带着它出去。

他们可能会暗中打开麦克风监视我;但是,嘿,我不是秘密松鼠——他们只会听到我和太太争论晚饭吃什么。

@山姆

对,我也是这么想的。事实上,从脏数据中提取统计意义难道不是窥探者从事的核心业务活动吗?

丹顿划痕·5月22日,2019下午12点04分

哦-我还没有启用这个设备上的近场支付功能。我也没有在我的借记卡上启用近场功能——我主要用现金支付杂货等等。这里所有的学生总是在付款终端前挥舞着他们的手机;我以为学生应该聪明。

克莱夫·罗宾逊·5月22日,2019年下午12:07

@丹顿,

虚拟键盘对我笨拙的手指来说太小了,所以我很少发短信。我的视力退化了;我得从包里拿出我的眼镜才能看到屏幕上的任何东西。

脂肪fingeriris,这里有多少人会证实,我长期以来一直遭受的…至于规格,我到了我不敢取的年龄,以防我不记得我把它们放在哪里了…

“你能看见我的眼镜吗?”

Sed魂斗罗·5月22日,下午2019点55分55分

…在无限的距离里哀号着渐渐消失的哭泣…“为什么没有人能写一个通用的应用程序来监督所有的电话通讯……”

克莱夫·罗宾逊·5月22日,2019年下午1:46

@,

很多年来我一直关闭javascript,同样的饼干。

因为我不使用社交媒体或网上购物,少数需要它们的站点通常可以被忽略/通过evrn DuckDuck似乎能够解决的简单搜索来解决(即大多数内容在Internet上不止一个地方)。

即使在这里,人们过去也常说,出于某些原因关闭Javascript等并不是个好主意,原因不明或含糊不清。

然而,正如人们可能已经注意到的消息是赶上Javascript等是“对你的健康有害”。

所以很高兴看到@sitaram chamarty的上述评论,@蒂姆,还有彼得。

停止使用javascript等的人越多,站点使用它的可能性就越小,以至于滥用用户的带宽,浏览器,只有电费单和上帝从他们的个人生活中知道。

就HTML5个人而言,我认为这表明W3C已经被Glugles说客和他们的支票簿之类的人收买和收买了……对于更著名的浏览器也是如此。

比尔·5月22日,2019年3:33

@克莱夫:“你能看见我的眼镜吗?”

啊,是的,最难找到你眼镜的地方是当它们在你头上的时候…:)

保罗·5月22日,2019下午3点48分

@西塔拉姆·查玛蒂,不,不。JS在野外的攻击很普遍。例如,我看到人们被“镶板”了就像IE6曾经那样。这至少意味着沙箱转义+可执行补丁以逃避签名检查。谷歌不想公开承认他们经常被尴尬地玩弄。

还有…谷歌终于在google.com上修复了XSS,最近发现,但我自己也看到了一些有转向的注射,多年来xss一直在google。com上运行。

@ Sven

如果解决方案是加入“均匀分布随机噪声”对于模拟值,那么,难道你就不能通过平均更多的样本来消除噪声来利用这个漏洞吗?

完全,这不会打败卡尔曼那样的技术。此外,我不知道,即使有可能把传感器信号破坏到一定程度,你也能从中找出所有可打印的信息。

“reverse-Kalman”并不是唯一的指纹技术家族。我的一位同事,一位数学博士告诉我,我们必须把陀螺信号节流到单赫兹,使之不能用于指纹识别。

这些浏览者对数学不太了解。对这个信号进行消毒几乎是不可能的。如果他们把它砍掉就更好了,不要等到下一次漏洞出现后,他们必须再次修复它。

我记得在2016年,我曾和谷歌或Mozilla工程师争论过要向传感器API添加许可请求,但是他们用“不可能对60hz的信号进行指纹识别”将其击落

RealFakeNews·5月22日,下午2019点40分40分

一个问题(已经讨论过了,但不妨再问一遍):

为什么网站可以访问这些数据呢?

web浏览器开发人员能不能别再傻了,把这些垃圾移走???

无赖·5月22日,2019年41点

@RealFakeNews:

网站可查阅这些资料,因为:

A)网络是唯一的通用平台,这意味着,只要有足够的时间,一个不可阻挡的引力将使其成为一个可服务的平台,为功能齐全的应用程序提供零配置

b)每年数千亿美元来自广告和您的个人信息。

c)监视状态

@ Schneier:

我只是偶尔来看看。你有没有研究过堕落的污水坑,撕成碎片的Lovecraftian地狱景观噩梦恐怖,那是NPM依赖的生态系统?

这里有一个难以描述的小提示:依赖树15+级深。

无赖·5月22日,2019下午8点52分

@Paul:“我记得2016年我和谷歌或者mozilla工程师争论过要把权限请求添加到sensor API,但是他们用“不可能对60hz的信号进行指纹识别”将其击落

这太疯狂了。

西塔拉姆Chamarty·5月23日2019点12:09

@Paul

我同意JS攻击很普遍。我的处理方式是根本不浏览,除了一些非常具体的网站(少于5个,哪一个是我自己的)。我想我对那种程度的偏执没意见。

没有谷歌不是我的网站之一事实上,直到wireguard因为某种原因停止工作(我需要调查这个;我的手机甚至不会去谷歌的大多数属性,因为我已经黑了他们使用dnsmasq在另一边的wireguard vpn。

----

我想知道是否有必要收集这个论坛上所有人的智慧,并将其转化成某种易于理解的形式,至少让非it人士开始了解这个问题,并希望自己采取一些行动,即使是以相对较小的方式。

(也许有人这么做过;如果有人知道他们也许可以发布一个URL?)

西塔拉姆

乔恩·5月23日2019上午8点03分

解决方案:废弃数据库。

回想一下,电话跟踪只跟踪电话。电话与人的连接是在其他地方完成的。步态也是一样——它是一种步态——它是你的步态吗?

所以在你的朋友买电话的同时买一部电话,交换电话。每个人都会被小心地与某人联系起来——但不是你。你们俩都付电话费当有人声称你们在某个地方时,你们俩都在另一个地方…你们俩的步态和电话不符。

这确实需要一些事先的计划。确切地说,政府和有组织犯罪知道该怎么做。否则,这只是逮住蠢货的另一种方法。J

阿列尔巴布图·5月23日2019年42点

这是如何融入犯罪生态系统并将其提升到下一个层次的。让军备竞赛继续!

https://spectrum.ieee.org/tech-talk/telecom/security/digital-doppelgngers-傻瓜-advanced-antifraud-tech

“Genesis上的Doppelg_ngers模仿了真实的数字面具,因此,采用网络安全技术来通过欺诈检测协议。“如果一边是机器学习,另一个将是机器学习。”马利克说。“现在,黑客和坏行动者正在实施他们自己的,作为一种对抗性机器学习的练习。”

詹姆斯·T·5月24日2019上午上午10:02

@西塔拉姆Chamarty,
我不是有意无礼,但你是在跟我开玩笑吗?;-)开玩笑,我是你说的女巫的白痴之一!它是播放电视节目还是电影?它有小玩具大炮吗?在那里你可以到处跑看起来你在制造爆炸?不是吗? !那么大多数年轻人就不需要它了,以我的经验。并非全部,但大多数。安全工作很辛苦,至少对我来说是这样。可能来自我第二句话中的单词。六年前,我以为一个人死前会写些什么。我们需要的是真正的《星际迷航》中的机器,在那里他们可以把信息强行输入你的大脑!我猜那会打开另一罐蠕虫。我会把它用在我自己身上。我希望我知道如何说服我的两个,“成年婴儿”认真对待计算机安全。我需要你的帮助。我的三个脑细胞一直在战斗,谁能睡下一个午觉我认为有人在狂野中仰仗人的懒惰。民族国家也是。我希望一切都是我错了!

杰西汤普森·5月24日2019下午4点54分

@Denton划痕

我不使用手机浏览网页。

我把它当作——等一下——手机。并接收短信。

Feh。难道你没有意识到SS7是无可挽回的破损吗?所以每个字你多嘴的人可以窃听(更不用说所有的果汁真的开始在元数据),即使GPS残疾人制造和/或接收电话就保证他们可以满足你的位置通过塔你的电话调情,多么强烈的连接到每个?

只有新手才会用手机打电话和发短信。

我并不是想说你对OPSEC或其他什么事情太松懈了,但就我个人而言,我把手机拆开,用焊锡笔烧掉了所有能够发送或接收射频信号的芯片,以及每个传感器和加速度计。我剪断了麦克风和扬声器(它本身就是一个极性颠倒的劣质麦克风)。还有指纹扫描器,这样就没人能拿到我的生物特征,以防他们获得物理访问权。

然后我上传了一个简化版的移动操作系统,它只在kiosk模式下运行4函数计算器。但我不得不破解它来禁用乘法和除法,因为大家都知道这只是侧沟定时攻击的滋生地。>:年代

最新手机·5月28日,2019年3:13我

指纹对于每个智能手机都非常重要,iPhone的产品中都有一些最好的传感器。我们都需要阅读这篇文章,以使我们的指纹更加安全。

留下你的评论

允许HTML:····

乔·麦金尼斯的布鲁斯·施耐尔侧边栏照片。

施耐尔的安全是一个个人网站。betway88必威官网备用表达的意见不一定是IBM有弹性