手机太能干了:计算你每天走了多少步,帮你导航,成为你的转账工具……这是因为它们装了一套传感器。手机传感器的功能,有些曾被我们忽略了,比如感知光线、湿度、压力以及气温。
手机传感器每时每刻都在与人为伴,毕竟绝大多数人选择一直开机,即使手机锁着屏。
也许,这些鬼鬼祟祟的入侵还没有发生在你的生活里。但是,学界和产业界的相关研究者们,已经开始正试图阻止入侵的出现。
小传感器,可能透露大秘密
不用授权,就能算出你的密码
加州大学洛杉矶分校的工程师玛尼·斯里瓦斯塔瓦说,“这些传感器信号上包含着极多样的环境信息。”
一些研究者创建了一个叫做TouchLogger的应用,该应用可以收集方向传感器的数据并用这些数据来推测用户按了手机上哪些数字键。在2011年旧金山USENIX的关于安全热点的专题讨论会上,TouchLogger在HTC手机上进行了一次测试,对按键输入的推测正确率达到了70%以上。
一个更新的应用程序利用了一整套手机传感器,来猜PIN码,包括陀螺仪、加速计、光传感器以及测量磁性的磁强计在内的。这个应用分析的是手机的移动轨迹,以及在触屏时用户手指是如何遮住光传感器的。根据研究者2017年12月发布的报告,在50个PIN码库的测试中,这个应用通过按键推测出的答案有99.5%正确。
这款应用甚至能够在后台窃听用户在其他应用上输入的敏感信息。根据2014年美国计算机协会召开的无线与移动网络的安全隐私会议[3]的记录,在三星和HTC手机上测试的时候,这个应用推测出的100个4位PIN码的正确率是94%。
不过阿勒·海奇指出,这个成功率这么高,主要是因为击键解码技术是在可控条件下运行的。它假设的大前提是,用户会用一种特定的姿势握着手机或坐下来打字。如果在更广的范围中呢?效果还有待观察。但是,运动传感器或者其他传感器是否能成为侵犯隐私的新工具?——显而易见,它们可以。
跟踪狂:运动传感器
你去了哪,可能见什么人,我都知道
实验使用了三星手机,在中国南京的地铁上进行测验。这个追踪应用可以从辨认出使用者乘坐地铁的路线,当乘坐站数变多时,应用的推测准确率也相应提高。当乘车距离是3站、5站、7站的时候,与之对应的最低正确率是59%、81%和88%。有能力窥探用户地铁移动路线的人也许能知道用户的私人信息,比如用户的居住地点和工作地点、用户常去的商店或酒吧、日常行程。如果这个应用能追踪多人的话,窥探者甚至能知道用户会在哪些地点见哪些人。
保持警惕
这不只是隐私被窥探
之所以要保持警惕,是因为研究者用来收集传感器数据的算法变得越来越先进而且使用门槛低,梅内兹德说。研究者想要提醒大家的是,现在能设计出这种侵犯隐私程序的不只有那些有着好多个博士学位的人。即使是那些不了解机器学习算法内在工作原理的应用程序开发者,也可以轻而易举地利用网上的代码来制作窥嗅探传感器的程序。
而且,手机传感器不仅仅只是为那些兜售窃密软件的网络犯罪分子提供窥探隐私的机会。合法的应用程序通常会收集用户信息,比如搜索引擎和应用下载的记录,然后卖给广告商或其他第三方。而第三方可以利用这些信息了解用户生活的各个方面——那些用户不一定想要分享的方面。
拿健康保险公司举个例子。“你也许不想让他们知道你是一个懒人还是一个爱运动的人,”梅内兹德说,“运动传感器会记录你每天运动量是多少,他们可以很容易分辨出你是哪一个类型的人。”
传感器防护措施
让第三方软件远离隐私信息
乌迦克和他的同事在2017年8月温哥华USENIX安全研讨会上提出创建一个叫第六感(6thSense)的系统。这个系统用来监视手机传感器的活动,在传感器有不寻常行为的时候提醒用户。用户训练这个系统来识别手机在进行日常活动比如打电话、浏览网页以及导航时的传感器行为。然后,第六感会持续检测手机传感器是否与有这些习得行为不一样的活动。
如果哪一天第六感识别出不寻常的举动——比如运动传感器在收集一个用户坐着或打字时的数据,第六感就会提醒用户。然后用户就可以检查是哪一个最近下载的应用做出了可疑行为,并且从手机中删掉这个应用。
乌迦克的团队最近在测试这个系统的原型:50位用户使用三星手机对第六感进行识别典型传感器活动的训练。研究者将来自日常活动中的无害数据样例和传感器恶意操作数据混合,然后让第六感挑出其中的问题数据,第六感的正确率超过了96%。
对于想要更主动的掌控自身数据的用户,萨普里约·查克拉博蒂(Supriyo Chakraborty)和他的同事设计了DEEProtect系统。萨普里约是一位隐私与安全研究员,在IBM公司位于纽约约克高地的研究中心工作。他和同事设计的这款系统可以让应用无法根据传感器数据辨认出用户的具体活动。根据2017年2月在网站(arXiv.org)上公布的论文,用户可以使用这一系统限定应用的传感器数据使用方式。比如,一个人也许想用一款应用转录录音,但不想让应用辨认出说话者是谁。
DEEProtect截取应用获得的原始传感器数据,然后只将用户批准的那部分功能所需要的数据提供给应用程序。对于语音转录文字,手机通常需要声音频率信息和一个句子中特定词语相连的概率信息。
但是声音频率可以让一个间谍软件推测出说话者的身份。所以DEEProtect系统会将这项数据篡改后再交给应用,只让应用获得有关词序的信息——因为这部分与说话者的身份关联很小或者基本没有。用户可以控制DEEProtect对数据的修改程度,改得越多隐私泄露得就越少,但应用功能也会相应受到限制。
宾州州立大学(Penn State)的计算机科学家和工程师朱塞佩·彼得拉卡(Giuseppe Petracca)和他的同事使用了另一种方法来保护用户。他们使用一个叫做AWare的安全系统防止用户无意间允许欺诈性应用访问传感器。
应用在初次安装或者初次使用像麦克风、相机这类特定传感器的时候必须得到用户的许可。但是用户很可能随意、盲目、慷慨地甩给应用一堆许可,他们并不知道严重性。
相比在新应用安装时请求授权,AWare会在一个应用第一次使用某个特定传感器提供某个特定输入的时候发出请求,比如用户按下相机按钮的时候。不仅如此,AWare系统还能记住在用户初次给予应用权限时手机的状态——手机屏幕上的具体画面、请求的哪项传感器许可以及其他信息。通过这种方法,在之后应用想要欺骗用户获取访问许可时,AWare就可以提醒用户。
朱塞佩和他的同事用想象中的一个狡猾的数据盗取应用作为例子。这个应用会在用户第一次按下相机按钮的时候申请相机访问权限,但还会在用户第二次按下相机按钮时试图获取麦克风的访问权限。这时候AWare系统就会意识到在初次授权时,麦克风功能并没有包含在许可范围内,从而会再次询问用户是否要给予应用这个额外权限。该系统同样在2017年USENIX安全研讨会上进行了展示。
朱塞佩和同事发现,用户在使用装有AWare系统的Nexus手机时避免了93%的不必要授权,而使用典型条款即应用在首次安装或使用时请求许可的情况下,这一数字是9%。
隐私保护,道阻且艰
这是一场不会终止的博弈
但是仅仅是某个人成功创建并测试了新手机安全系统的原型,并不意味着它会出现在将来的手机操作系统更新中。安卓并没有适配这些传感器防护措施,迈尔霍夫解释道,因为我们的安全团队还在寻找一种可以维持适当平衡的协议——既可以限制恶意应用又不会妨碍到可信用程序的运行。
“整个应用生态系统太大了,其中许多不同的应用程序的目的都是正当的。”他补充道。任意一种抑制应用程序使用传感器的新安全系统都可能毁掉那些合法的应用程序。
技术公司也许同样不情愿采取额外的安全措施,因为这些额外的保护措施可能会让用户体验变差,比如AWare的额外弹出请求。安全和便利之间存在一种内在的权衡关系,加州大学洛杉矶分校的斯里瓦斯塔瓦说。“你永远不可能拥有一个神奇的传感器防护盾,既能保护你的隐私又不影响使用体验。”
但是随着传感器变得普及和强大,分析数据的算法变得越发精明,就算是手机厂商最终也会承认目前的传感器保护措施需要改善。“这就像猫和老鼠,”阿勒·海奇说,“攻击手段变厉害,解决方案会改善。攻击手段变得更厉害,解决方案会再度改善。”
这场猫鼠游戏还将继续,查克拉博蒂同意这个观点,“我不认为在未来某一天,我们能简单地宣布这一场游戏的胜者然后结束比赛。”
编译来源
ScienceNews, Your phone is like a spy in your pocket,作者Maria Temming。
译者锦衣Reload,校对vicko238、Ent。