Le système « d’attaque thermique » piloté par l’IA révèle les mots de passe des ordinateurs et des smartphones en quelques secondes

Le système « d'attaque thermique » piloté par l'IA révèle les mots de passe des ordinateurs et des smartphones en quelques secondes

Le Dr Mohamed Khamis de la School of Computing Science fait la démonstration de l’utilisation d’une caméra thermique sur un clavier d’ordinateur. Crédit : Université de Glasgow

Des experts en sécurité informatique ont mis au point un système capable de deviner en quelques secondes les mots de passe des utilisateurs d’ordinateurs et de smartphones en analysant les traces de chaleur que leurs doigts laissent sur les claviers et les écrans.

Des chercheurs de l’Université de Glasgow ont développé le système, appelé ThermoSecure, pour démontrer comment la baisse des prix des caméras thermiques et l’accès croissant à l’apprentissage automatique créent de nouveaux risques d'”attaques thermiques”.

Des attaques thermiques peuvent se produire après que les utilisateurs ont tapé leur mot de passe sur un clavier d’ordinateur, un écran de smartphone ou un clavier de guichet automatique avant de laisser l’appareil sans surveillance. Un passant équipé d’une caméra thermique peut prendre une photo révélant la signature thermique de l’endroit où ses doigts ont touché l’appareil.

Plus une zone apparaît claire sur l’image thermique, plus elle a été touchée récemment. En mesurant l’intensité relative des zones les plus chaudes, il est possible de déterminer les lettres, chiffres ou symboles spécifiques qui composent le mot de passe et d’estimer l’ordre dans lequel ils ont été utilisés. À partir de là, les attaquants peuvent essayer différentes combinaisons pour déchiffrer les mots de passe des utilisateurs.

Des recherches antérieures du Dr Mohamed Khamis, qui a dirigé le développement de ThermoSecure, ont déjà démontré que les non-experts peuvent réussir à deviner les mots de passe simplement en regardant attentivement les images thermiques prises entre 30 et 60 secondes après que les surfaces ont été touchées.

Dans un article publié dans la revue Transactions ACM sur la confidentialité et la sécurité, le Dr Khamis et l’équipe de rédaction, Mme Norah Alotaibi et le Dr John Williamson, expliquent comment ils ont entrepris d’exploiter l’apprentissage automatique pour rendre le processus d’attaque plus précis. Pour ce faire, ils ont pris 1 500 photos thermiques de claviers QWERTY récemment utilisés sous différents angles.

Ensuite, ils ont formé un modèle d’intelligence artificielle pour lire efficacement les images et faire des suppositions éclairées sur les mots de passe à partir des indices de signature thermique à l’aide d’un modèle probabiliste.

Grâce à deux études d’utilisateurs, ils ont découvert que ThermoSecure était capable de révéler 86 % des mots de passe lorsque les images thermiques sont prises dans les 20 secondes, et 76 % dans les 30 secondes, tombant à 62 % après 60 secondes d’entrée.

Ils ont également constaté qu’en 20 secondes, ThermoSecure était capable d’attaquer avec succès même des mots de passe longs de 16 caractères, avec un taux allant jusqu’à 67 % de tentatives correctes. À mesure que les mots de passe devenaient plus courts, les taux de réussite augmentaient : les mots de passe à 12 symboles étaient devinés jusqu’à 82 % du temps, les mots de passe à huit symboles jusqu’à 93 % du temps et les mots de passe à six symboles réussissaient jusqu’à 100 % des tentatives.

Le Dr Khamis, de la School of Computing Science de l’Université de Glasgow, a déclaré : “Ils disent que vous devez penser comme un voleur pour attraper un voleur. Nous avons développé ThermoSecure en réfléchissant soigneusement à la manière dont des acteurs malveillants pourraient exploiter les images thermiques pour pénétrer dans les ordinateurs et téléphones intelligents.

“L’accès aux caméras thermiques est plus abordable que jamais – elles peuvent être trouvées pour moins de 200 £ – et l’apprentissage automatique devient également de plus en plus accessible. Cela rend très probable que les gens du monde entier développent des systèmes similaires à ThermoSecure en Il est important que la recherche en sécurité informatique suive ces développements pour trouver de nouvelles façons d’atténuer les risques, et nous continuerons à développer notre technologie pour essayer de garder une longueur d’avance sur les attaquants.

“Nous tenons également à souligner aux décideurs politiques les risques que ce type d’attaques thermiques posent pour la sécurité informatique. Une voie potentielle de réduction des risques pourrait être de rendre illégale la vente de caméras thermiques sans une sorte de sécurité renforcée incluse dans leur logiciel. Nous développons actuellement un système de contre-mesures basé sur l’IA qui pourrait aider à résoudre ce problème.”

Les chercheurs ont également examiné des variables supplémentaires qui ont permis à ThermoSecure de deviner plus facilement les mots de passe. L’un était le style de frappe des utilisateurs du clavier. Les utilisateurs de clavier “chasser et picorer” qui tapent lentement ont tendance à laisser leurs doigts sur les touches plus longtemps, créant des signatures thermiques qui durent plus longtemps que les dactylographes plus rapides.

Les images prises dans les 30 secondes suivant le toucher du clavier ont permis à ThermoSecure de deviner avec succès les mots de passe des dactylographes 92 % du temps, mais seulement 80 % du temps pour les dactylos tactiles.

Deuxièmement, le type de matériau à partir duquel les claviers sont fabriqués peut affecter leur capacité à absorber la chaleur, avec des implications sur l’efficacité des attaques thermiques. ThermoSecure a réussi à deviner les mots de passe à partir de la chaleur retenue sur les touches en plastique ABS environ la moitié du temps, mais seulement 14 % du temps sur les clés en plastique PBT.

L’équipe ThermoSecure propose un certain nombre de suggestions aux utilisateurs d’ordinateurs et de smartphones pour se protéger des attaques thermiques.

Le Dr Khamis a ajouté : “Les mots de passe plus longs sont plus difficiles à deviner avec précision pour ThermoSecure, nous vous conseillons donc d’utiliser des phrases de passe longues dans la mesure du possible. Les phrases de passe plus longues prennent plus de temps à taper, ce qui rend également plus difficile l’obtention d’une lecture précise sur une caméra thermique, Les claviers rétroéclairés produisent également plus de chaleur, ce qui rend les lectures thermiques précises plus difficiles, de sorte qu’un clavier rétroéclairé avec des plastiques PBT pourrait être intrinsèquement plus sûr.

“Enfin, les utilisateurs peuvent aider à rendre leurs appareils et leurs claviers plus sûrs en adoptant des méthodes d’authentification alternatives, comme les empreintes digitales ou la reconnaissance faciale, qui atténuent de nombreux risques d’attaque thermique. Dans mon équipe, nous avons déjà proposé des schémas d’authentification qui reposent sur les mouvements oculaires pour saisie du mot de passe ; l’authentification basée sur le regard est résistante aux attaques thermiques de par sa conception.”

L’article de l’équipe, intitulé “ThermoSecure : Enquête sur l’efficacité des attaques thermiques pilotées par l’IA sur les claviers d’ordinateur couramment utilisés”, est publié dans Transactions ACM sur la confidentialité et la sécurité.


Contourner les mots de passe populaires


Plus d’information:
Norah Alotaibi et al, ThermoSecure : enquête sur l’efficacité des attaques thermiques pilotées par l’IA sur les claviers d’ordinateur couramment utilisés, Transactions ACM sur la confidentialité et la sécurité (2022). DOI : 10.1145/3563693

Fourni par l’Université de Glasgow

Citation: Le système « d’attaque thermique » piloté par l’IA révèle les mots de passe des ordinateurs et des smartphones en quelques secondes (10 octobre 2022) récupéré le 10 octobre 2022 sur https://techxplore.com/news/2022-10-ai-driven-thermal-reveals-smartphone -passwords.html

Ce document est soumis au droit d’auteur. En dehors de toute utilisation loyale à des fins d’étude ou de recherche privée, aucune partie ne peut être reproduite sans l’autorisation écrite. Le contenu est fourni seulement pour information.