Onderzoekers proberen smartphone af te luisteren via gyroscoop

Amerikaanse en Israëlische onderzoekers zijn erin geslaagd om geluiden op te nemen van een smartphone door de trillingen van de gyroscoop te meten. De truc werkt alleen op Android-toestellen maar is vooralsnog niet precies genoeg om een bedreiging te kunnen zijn voor privacy.

Applicaties mogen de gyroscoop in een toestel zonder toestemming uitlezen, waardoor elke app de trillingen kan waarnemen. Desondanks is het vooralsnog geen privacygevaar door de onnauwkeurigheid van de technologie, schrijft Wired.

De technologie werkt doordat gyroscopen in smartphones vibratiegyroscopen zijn: ze detecteren beweging doordat een element in de gyroscoop constant trilt en bij een draaiing zich blijft bewegen op dezelfde as. De onderzoekers zeggen dat de gyroscoop trillingen oppikt van de menselijke stem; het uitlezen van die trillingen is daarom in theorie genoeg om de woorden op te vangen, alsof de gyroscoop een microfoon is.

Het probleem is dat de technologie momenteel nog te onnauwkeurig is: bij een test pikte het bijvoorbeeld nog geen twee derde van de cijfers in een cijferreeks juist op, waardoor bijvoorbeeld het afluisteren van een creditcardnummer lastig is. De truc werkt alleen op Androids, omdat Googles mobiele besturingssysteem het uitlezen van de gyroscoop met 200Hz toestaat, dichtbij de maximaal 250Hz van de menselijke stem. Bij iOS is dat gelimiteerd op 100Hz, waardoor het afluisteren niet zou kunnen.

De onderzoekers van de Amerikaanse Stanford-universiteit en een Israëlisch bedrijf zeggen nog wel aan de technologie te kunnen sleutelen om de woordherkenning beter te maken. Google zou het mogelijke privacyprobleem dat dan ontstaat voor kunnen zijn door van het uitlezen van de gyroscoop een permissie te maken; momenteel hebben apps daar geen toestemming voor nodig. Gyroscopen zitten in veel moderne smartphones.

Close-up van de gyroscoop in een iPhone, gemaakt door ST Microelectronics. Foto: Chipworks

Reacties (78)

[Verwijderd]

De truc werkt alleen op Androids, omdat Googles mobiele besturingssysteem het uitlezen van de gyroscoop met 200Hz toestaat, dichtbij de maximaal 250Hz van de menselijke stem.

Volgens mij is het "dichtbij de minimaal 250Hz van de menselijke stem."

Volgens Wikipedia is de frequentie van de menselijk stem ongeveer tussen de 300 Hz en de 3400 Hz.

[MSalters]

De bulk van de energie zit tussen de 300 en 3400 Hz, ja, de menselijke stem bevat inderdaad ook wel wat componenten met een lagere frequentie.

Evengoed mist dit artikel één belangrijk punt: volgens het Nyquist theorema moet je op 200 Hertz samplen om 100 Hertz signalen op te nemen. Denk aan een sinus: om die goed te kunnen meten heb je de pieken en de dalen nodig. Als je een 200 Hz sinus samplet met 200 hz, dan krijg je elke keer dezelfde waarde.

En als je hogere frequenties hebt, dan krijg je aliasing. Een 120 hz input lijkt op 80 Hz. 180 hz lijkt op 20 Hz. 220 Hz lijkt ook op 20 Hz. 380 Hz lijkt ook al op 20 Hz.

De ellende houdt daar niet op: de menselijke stem bestaat niet uit pure tonen, je hebt ook nog harmonischen. Een 220 Hz grondtoon heeft een harmonische op 440 Hz. Na aliasing wordt dat dus 20 Hz en 40 Hz.

Kortom, het is niet verbazingwekkend dat didt systeem al faalt om 10 test inputs te onderscheiden. In het echt heb je al zo'n 40 fonenen in ABN, plus voetstappen, hoesten, muziek, ... Na aliasing lijkt dat allemaal op elkaar.

[Verwijderd]

Verschil is wel dat je weet je wat je opneemt, of in elk geval naar op zoek bent, menselijk stemgeluid in een bepaalde taal. Hierdoor krijg je dus weliswaar aliasen e.d. maar kun je toch een deel van de alias klanken uitsluiten omdat ze niet in een bestaand patroon van klanken voorkomen; bestaande woorden in de menselijke taal.

Het Nyquist theorema is dus niet helemaal van toepassing hier omdat je al wat extra informatie hebt over de informatie die je aan het sampelen bent

[MSalters]

Oh, dit soort dingen is m'n werk, ik kijk regelmatig genoeg naar spectrogrammen (Fourier Transformaties) van stemmen. Je weet weliswaar dat je op zoek bent naar stemmen, maar je weet niet a priori wanneer die precies zijn. Dat moet je uit het signaal zelf halen. En dat begint dus al meteen slecht.

Om je een idee te geven: de F en de S onderscheiden gaat al niet echt goed onder de 4000 Hz (8000 Hz samplerate). 100 Hz is veertig keer lager!

[Luno]

Zou me niet verbazen als de echte waardes: 2000 en 1000 waren. Maar in oorspronkelijke artikel staat ook 200 en 100.
En net als hieronder met 200 Hz samplen geeft boven 100Hz geen goede resultaten.

[Zwarte_os]

Voortaan maar in falsetto de telefoon opnemen

[Halo_Master]

Wat heeft iedereen voor interessante informatie hier voor veiligheidsdiensten, etc.
Begrijp dat het om de privacy gaat en het principe, maar soms wordt er teveel gezeurd volgens mij.
Als je een android koopt, willen ze gewoon je gegevens. Dat is het hele marketingprincipe van google en zorgt er mede voor dat het een " gratis" OS is waardoor de prijzen van de hw en software goedkoper zijn in aanschaf.
Bij IOS willen ze gewoon dat je op de appstore en itunes geld uitgeeft.

Natuurlijk moeten bankgegevens, creditcard gegevens, etc uitgesloten blijven voor derden.
Maar dat je op een android bijna geen privacy hebt, tja dat is gewoon een gegeven.
Koop een blackberry oid als je dit zo belangrijk vindt.

Verder informatie voor de veiliheidsdiensten?
Als je jezelf gewoon netjes gedraagd en aan de regels houdt, waar is iedereen dan zo bang voor.
Als ze iets van je willen weten, lukt dat toch wel..

[Verwijderd]

Ik hoop dat google dat dan maar snel doet. Dit maakt afluisteren bijna kinderspel. Er moet zelfs geen malware worden geïnstalleerd.
Ik vind het wel raar dat dit enkel bij Android werkt. Is er voor iOS en voor Windows Phone dan toestemming nodig?

[JivZ]

bij iOS is ook geen toestemming nodig maar (uit het artikel):

OS limits the reading of the gyroscopes to 100 hertz, which makes audio spying far harder to pull off. Android allows apps to read the sensor’s data at twice that speed. And though Chrome or Safari on Android limit websites to reading the sensor at just 20 hertz, Firefox for Android lets websites access the full 200 hertz frequency. That means Android users visiting a malicious site through Firefox could be subject to silent eavesdropping via javascript without even installing any software.

[Verwijderd]

Voor mensen met een lage stem is het nog steeds een potentieel gevaar.

[Verwijderd]

Ik denk hooguit voor olifanten. Die hadden volgens mij een vrij laag bereik om over grotere afstanden te communiceren. Maar of die in de markt zijn voor een Apple/Android telefoon? Ik denk dat ze liever de 'apple' zelf hebben.

[Stijn]

Er moet nog steeds een app geïnstalleerd worden die via de gyroscopen afluistert. Dat lijkt me toch wel onder "malware" te vallen. Het probleem is eerder dat het de malware zo makkelijk wordt gemaakt.

Ik vraag me af of het veel zin heeft als Google een permissie invoert voor gebruik van de gyroscopen. De meeste gebruikers zullen toch denken "huh? gyroscoop? wat is dat?" (als ze de lijst met gevraagde permissies überhaupt lezen) en zonder verder nadenken op "toestaan" drukken. Of ze denken dat de app een leuke feature heeft die reageert op de stand van de telefoon en zien er verder geen gevaar in.

[Reactie gewijzigd door Stijn op 23 juli 2024 03:12]

[Gamebuster]

Firefox for Android geeft JS Api direct toegang tot de gyroscoop. Geen app nodig dus, webpagina bezoeken via FF is al voldoende

[PuzzleSolver]

En blijft FF ook doordraaien in de achtergrond? Anders kun je alleen afluisteren terwijl de pagina in de voorgrond staat. Ik weet ook niet hoe snel je het kan uitlezen via FF aangezien er nog wat layers tussenkomen.

[SJBijzitter]

Als het goed is wordt JS code gepauseerd (de hudige cycle wordt afgerond) wanneer de pagina inactief wordt (andere tab en/of minimaliseren).
Op de PC draait JS door wanneer een andere applicatie gemaximaliseerd wordt, omdat de browser dan niet geminimaliseerd wordt. Op smartphones is dit vaak niet het geval.

Dus afluisteren via web pagina's zal (met deze technologie) geen probleem vormen

[Verwijderd]

Ja, het Android permissie systeem staat bekend als vrij zwak, Google is voorstander van openheid dus ook dit permissiesysteem heeft openheid als uitgangspunt; je mag zon beetje alles als normale applicatie.

Er is ook sprake van regressie, in de nieuwste versie van Android (Kat-Kit) is het permissiesysteem alleen maar slechter geworden, zie hier voor een uitleg: androids-permissions-system-is-broken-and-google-just-made-it-worse

edit: Ja, jongens je kunt dit wel op -1 modereren maar dat maakt het permissie systeem probleem van Android echt niet ongedaan, even realistisch wezen graag

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:12]

[noobz]

Het probleem van Android permissies is juist de gebruiker.

Ik ken bijna niemand die uitgebreid de permissies bekijkt die de app krijgt bij installatie, laat staan een app niet installeert vanwege bijvoorbeeld toegang tot het adresboek.

Ikzelf doe dat ook niet.

[Reactie gewijzigd door noobz op 23 juli 2024 03:12]

[Bor]

Het probleem is meer dat je als gebruiker vaak wel kunt zien welke permissies een app wil hebben maar geen idee hebt of deze ook echt nodig zijn voor functionaliteit. "Volledige internet toegang", "foto's en media" , "microfoon" en ga maar door.

[Verwijderd]

En je moet alle gevraagde permissies in 1x toekennen. Dus ik stel me zo voor dat je als Android gebruiker bij installatie van een app een (scrollable) lijstje krijgt met alle permissies die de nieuwe app nodig heeft. Of je dat even wilt goedkeuren? Het is alles of niets je kunt alleen alle permissies goedkeuren, niet selectief.

Dat is toch wel een manco hoor. Ik kan me voorstellen dat een Android gebruiker gewoon altijd op 'OK' klikt vergelijkbaar met windows gebruikers vroeger (en de manier waarop veel bloatware meegeinstalleerd werd bij gratis software).

[William_H]

Tsja ik ben toch wel blij dat dat bij BB OS10 dus wel kan. Overigens ook alleen bij de native apps en niet bij de Android apps. Maar wat jij bedoelt is daar dus wel in geïmplementeerd.
Overigens vraag ik mij af op welke frequentie BlackBerry 10 toestellen hun gyroscopen aflezen??

[Zinno]

Het probleem van het permissie systeem van Android is dat je de app alleen maar kunt installeren als je alles accepteert. En de meeste freeware apps halen hun inkomsten uit advertenties waarvoor ze graag toestemming hebben tot ..... eigenlijk bijna alles, adresboek, gps, wifi, caller-id. En je kunt apps niet alsnog de toegang tot bepaalde bronnen ontzeggen. Daarbij zijn de meeste gebruikers nogal gemakzuchtig, en accepteren dus de gevraagde permissies, daarbij blijven er ook niet veel goede, gratis apps over als je kritisch kijkt naar de gevraagde permissies.

[Verwijderd]

Hoewel ik zeker niet wil verkondigen dat dit een goeie oplossing is (tot het officieel in Android zit) wat voor mij werkt is een custom rom met een extra permissies laag, (vrijwel gelijk aan de aankomende officiële permissies update) waarmee ik gewoon in m'n instellingen per app permissies aan/uit kan zetten.

Echter vertrouw ik dat ook niet helemaal 100%, sommige apps lijken zich namelijk niets aan te trekken van die instellingen, dus ik let nog steeds erg goed op bij installaties/updates

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:12]

[Verwijderd]

sommige apps lijken zich namelijk niets aan te trekken van die instellingen

Dat zou raar zijn. Het persmissie systeem is zo ingericht dat de bij de permissie horende api's niet gebruikt kunnen worden zonder dat de permissie goedgekeurd is.

Dus, of de app op jouw custum rom werkt niet, of je custom rom gebruikt niet het Android permissie systeem, of je aanname klopt niet.

[Verwijderd]

Ik denk dat het idd aan die rom ligt, zal wel halfbakken implementatie zijn (is ook alweer een paar maanden oud en gebaseerd op 4.2.2, terwijl de half-afgebouwde officiële versie pas in 4.3 opdook volgens mij)

[sypie]

Daarom moet je de permissies ook niet tijdens de installatie én in de app zelf doen maar via bijvoorbeeld LBE Permission. Bij gebruik van die app krijg je na installatie van een andere app uit de store het venster te zien met permissies die allemaal worden gevraagd door de nieuwe app, die kun je dan stuk voor stuk uitzetten als je dat zou willen.

[William_H]

En dat vind ik nu zo schijt aan Android. Een app moeten downloaden om een andere app te kunnen laten functioneren. Zoiets bouw je toch gewoon in je OS in? Het is net houtje touwtje af en toe met dat Android. En dan klagen veel mensen over Linux op de desktop, terwijl ze massaal Android gebruiken (met zelfde achtergrond, lees kernel) en tegen hetzelfde probleem aanlopen. Nee, dan BB OS10, met security in mind (en met dezelfde basis, QNX kernel welke zijn basis heeft in de Linux kernel).

[Verwijderd]

Valt mij ook op dat weinig mensen hier naar kijken, zelf doe ik het echter wel, het gevaar is vooral applicaties die na een update opeens meer permissies willen, altijd heel goed kijken, meestal zijn die permissies nergens voor nodig, en gooi ik de applicatie dan maar weg.

'Laatst' nog gehad met "Clean Master", moest opeens vrijwel alle permissies hebben (omdat er opeens een antivirus/firewall toegevoegd werd) dus gewoon verwijderd, ik wou een app om me cache te legen, niet om me halve telefoon over te nemen.
(voor de mensen die deze app en die betreffende update kennen, ik kan "Crap Cleaner" aanraden (yup, die bestaat tegenwoordig ook voor Android) die werkt zoals Clean Master vroeger)

[noobz]

Ik zou graag willen switchen naar losse acceptatie voor elk permissie-request.

Ik snap dat het voor mijn oma niet handig is (honderd miljoen popups), maar ík wil het wel.

[Verwijderd]

Uiteindelijk zal dit er ook wel komen, het is echter precies wat jij zegt, voor je oma is het echt niet handig/gewenst, en Google wacht momenteel met het afmaken van die functies, waarschijnlijk om precies die reden.

Maar ik denk dat we het in de eerst volgende 'mayor version' (oftewel versie 5) wel gaan zien.

[Verwijderd]

Of het permissie systeem wel of niet goed is staat hier echter volledig buiten. Het probleem is puur dat een sensor op een zo hoge frequentie uitgelezen kan worden dat het bijna menselijke spraak kan waarnemen.

Een iPhone geeft net zo goed die permissie, maar omdat daar de frequentie lager ligt, is afluisteren van stemgeluid praktisch niet haalbaar.

Daar tegenover staat dat je het weer wel zou kunnen gebruiken om trillingen uit de omgeving op te vangen, waardoor ook de iPhone sensor misbruikt zou kunnen worden.

http://www.wired.com/2011/10/iphone-keylogger-spying/

Gelukkig zit het hele ecosysteem van Apple zo potdicht, dat de kans dat je dit als malware op je iPhone gaat vinden vrijwel nihil is.

[Probook8979]

Dit is nou de voordeel van Apple. Omdat het mooi afgesloten systeem is.

[Verwijderd]

In dit geval zeker. Het is niet mijn ding, maar ik zal niet ontkennen dat het voordelen heeft.

Ik zou op zich geen tegenstander zijn van een strenger toelatingsbeleid in Google Play, maar tegelijk blijf ik een voorstander van de mogelijkheid van sideloading. Op die manier heb je de keuze tussen goede veiligheid en toch vrijheid.

Helaas zijn goede alternatieve apps stores voor Android nooit echt goed van de grond gekomen. Want juist daar had de winst kunnen liggen. Een 'ads free apps' app store had ik best een paar euro aan willen spenderen.

[Verwijderd]

Het voorbeeld dat je toont (de keylogger) is zeker ook te gebruiken op Android toestellen, en zelfs beter (sample frequentie gyroscoop is hoger) en bovendien is Android OS opener qua permissiesysteem -en- apps download, zo is de toelatingspolicy van de Android app store wat ruimer en is er de mogelijkheid apps te installeren uit andere bronnen dan Google.

Deze optelsom maakt Android aanmerkelijk meer kwetsbaar voor 'gyroscope' attacks dan iOS.

[Verwijderd]

Natuurlijk. Het voorbeeld geeft alleen aan dat het niets met slechte permissies te maken heeft, maar met de uitleesfrequentie. De iPhone vraag tenslotte ook niet om toestemming bij het uitlezen van de gyroscoop. Ik vermoed zelfs dat het op de meeste smartphone os'en niet anders is

Er is dus geen reden om direct zo in het defensief te schieten.

'gyroscope' attacks is trouwens wel een hele grote kreet voor een programma dat net twee-derde van een gecontroleerd experiment goed gokt. Maar goed dat zie ik wel vaker in je reacties.

[Verwijderd]

Ik merk aan je dat het probleem wat probeert te downplayen, onverstandig want wat nu misschien nog niet helemaal lukt, kan over een tijdje wel.

Als de sensor voldoende informatie oplevert kan er met signaalbewerkings technieken het nodige geextraheerd worden. De Android sensor levert gegevens die hier beter aan voldoen, omdat de gyroscope overgedimensioneerd is voor het beoogde doel (orientatie detecteren van door mens bewogen smartphone) en waardoor wat normaal gesproken ruis is, nu ineens door de andere toepassing, eavesdroppen, waardevolle informatie bevat.

Zeker als je langer luistert en er op een gegeven moment zaken als een creditcard code herhaaldelijk ingegeven worden. Als je 100x de creditcard code voorbij hoort komen, of 100x een naam voorbij hoort komen worden de contouren van de informatie steeds helderder en valt het uiteindelijk op zn plek. Met een feedback lus zijn vervolgens deze 'known good' conversies te gebruiken om de signaalbewerkingstechnieken beter af te stemmen op de omgeving van het subject waardoor nog meer informatie uit wat oorsponkelijk niet meer was dan ruis uit een overgedimensioneerde gyroscope, getrokken kan worden.

De factoren 1) overgedimensioneerde gyroscope, 2) open app store policy + andere bronnen dan Google voor apps (malware!) en 3) matige app permissie systeem maken dat Google hier echt wel wat aan moet doen.

[Verwijderd]

Ik merk aan je dat het probleem wat probeert te downplayen

Zo kan je het noemen. Ik prefereer zelf liever 'Niet groter maken dan het is'.

Ik merk aan jouw dat het juist je voorkeur heeft om nieuws groot/groter/grootst te maken waar het Android / Google betreft. Daar wens ik je ook veel plezier mee. Het is alleen jammer dat je daarbij zo vaak de realiteit uit het oog verliest.

Ik persoonlijk merk bijvoorbeeld dat ik heel goed de neiging kan onderdrukken om met CC nummer 100 keer te herhalen. Ik denk ook dat ik daarin niet alleen sta. Talloze mensen zullen niet de neiging voelen om hun CC gegevens hardop van buiten te leren. Over hardleersheid verder maar niet gesproken.

Verder is je idee van een known good geweldig, maar het gaat voorbij aan het feit dat als informatie er niet is dat je nooit een known good kunt bepalen. Je kan in een laboratorium met een testopstelling geweldige resultaten bereiken, maar daar heb je in de praktijk geen drol aan. Het is zelfs met een goede microfoon en een enorme cloud-database al vrij lastig om foutloos gesproken tekst te herkennen.

En natuurlijk. Tegen de tijd dat hier echt werkende malware voor zou bestaan, leven we waarschijnlijk al in een tijd waarin het probleem niet meer speelt omdat Google de sensor api dan al lang heeft gepatched.

Maar neem het woordje Google of Android op in de tekst en elk logisch argument is opeens overbodig.

Oh btw. Je was 'Open beleid' vergeten. Niet fout, maar je weet dat de kracht in de herhaling zit.

*Edit: Typo, waardoor mijn reactie wellicht moeilijker te begrijpen was.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:12]

[Verwijderd]

We wachten de patch van Google dan maar af, voor de rest begrijp ik je reactie niet zo goed.

[Verwijderd]

voor de rest begrijp ik je reactie niet zo goed.

Dat zal liggen aan het RDF.

[watercoolertje]

Ja, het Android permissie systeem staat bekend als vrij zwak

Voor jou misschien, maar je moet bijna voor elke scheet bijna een permissie geven...

je mag zon beetje alles als normale applicatie.

Dit is juist 1 van de weinig dingen die je mag als App zonder permissies:
http://developer.android..../Manifest.permission.html

[Reactie gewijzigd door watercoolertje op 23 juli 2024 03:12]

[Verwijderd]

Ja, maar je kent _alle_ gevraagde permissies toe aan de app of niets. Selectief een permissie aan- of uitzetten voor een app is er niet bij. En gebruikers willen de app installeren dus geven ze de app alle permissies in het lijstje. Staat allemaal vrij helder uitgelegd in het artikel dat ik aanlink in mijn oorspronkelijke reactie.

In 4.4. Kit Kat hebben ze ook een API (AppOps oid) weggehaald waarmee je wel selectief permissies aan een app kon toekennen; zie ook artikel. Dit is zeer vreemd, waarom heeft Google die mooie API weggehaald?

Enfin, er zullen vast wel roms bestaan om je Android te flashen en zodoende het permissie systeem enigszins te verbeteren, maar de goegemeente gebruikt gewoon stockAndroid en op de een of andere manier vindt Google het best dat het permissiesysteem zo krakkemikkig werkt als dat het werkt, wat mij dan persoonlijk weer niet verbaast aangezien Google een groot voorstander is van openheid.

[blorf]

Hoe meer permissies instelbaar zijn, hoe meer controle je krijgt over je systeem. Dat dat niet kan is juist een gebrek aan openheid.
In de Linux-omgeving, waar Android op gebaseerd is (de kernel met basic binutils, niet de Android GUI ) zit reeds jaren een formidabel permissiesysteem dat op alle onderdelen van het systeem van toepassing is en zich al lang heeft bewezen. Dit is compleet buitenspel gezet door de hele Android omgeving bovenop meerdere abstractielagen te liften die van het bovenliggende Linux-systeem alles mogen en vervolgens hun eigen regels maken.

Het slaat inderdaad nergens op dat je als gebruiker maar moet gissen wat je software allemaal mag en doet. Dat is een enorm beveiligingsrisico en niet de opzet van de bestaande open *nix systemen. Tenzij je Google als root/admin beschouwd. Dan is er niets aan de hand, het is niet eens jouw systeem.

[Reactie gewijzigd door blorf op 23 juli 2024 03:12]

[Verwijderd]

Het permissies systeem waar de discussies over gaan bij Android draaien dan ook puur om de Dalvik laag, niet om de onderliggende Linux kernel. Die gaat pas spelen als je je systeem hebt geroot.

[Iblies]

Ja, het Android permissie systeem staat bekend als vrij zwak, Google is voorstander van openheid dus ook dit permissiesysteem heeft openheid als uitgangspunt; je mag zon beetje alles als normale applicatie.
...

Als google daadwerkelijk open was,
dan was Android zonder hun services functioneler. Zowat alle bijdrages die ze leveren zijn onder strikte voorwaarden.

En Android kan terdege een stuk veiliger worden, en de permissies kunnen terdege wel beter worden ingesteld,
alleen is google daar niet echt bij gebaat.

Tracking is belangrijk, als Google het niet doet, dan maar indirect. Het is gek dat een app zowat elke functie kan overnemen, totdat je beseft wat er met die data gebeurt. Dat komt weer netjes terecht op het bordje van Google, en die serveert jou weer advertenties die beter aansluiten op je behoeftes... Een voorbeeld zijn de gratis games waar constant een ad naar voren springt. Apps die willen weten waar je bent, en je krijgt vervolgens een scala aan Ads waar je kunt eten, drinken, bioscoop etc.

There ain't no such thing as free beer.

[aap]

Het zal allemaal wel niet zo los lopen. "Twee derde van de cijfers wordt goed verstaan": dat betekent vast dat in labaratoriumomstandigheden iemand cijfers moest inspreken en de onderzoekers moesten proberen te raden welke cijfers hij zei. Als je weet dat ieder woord er maar een van tien kan zijn en je hebt dan nog een derde mis, dan ben je nog heel ver af van het kunnen verstaan van echte gesprekken.

Het is goed dat er onderzoek gedaan wordt naar dit soort eventuele kwetsbaarheden, maar over deze maak ik me voorlopig nog helemaal geen zorgen.

[noobz]

Maar goed, stel: een creditcardnummer heeft 10 cijfers.
Je kunt alleen getallen begrijpen, dus je neemt alle trillingen op en probeert overal een getal van te maken, zodra je 10 getallen achter elkaar hebt schrijf je die op.

Gooi alle gevonden verzamelingen door een betalingsscript via een botnet: klaar.
Zelfs bij 70% nauwkeurigheid betekent het dat je 7 van de 10 getallen begrijpt: Dat betekent ook automatisch dat je kans hebt om een volledig nummer te horen.

Die kans is klein, maar als je voldoende afluistert is een kleine kans ook erg lucratief. Het kost geen enkele moeite om die nummers door het betalingsscript te halen: je moet alleen eenmalig de infrastructuur en de malware opzetten.

[Reactie gewijzigd door noobz op 23 juli 2024 03:12]

[Verwijderd]

je kan dan even goed credit card numbers random genereren he... evenveel kans op slagen.

Trouwens, ik denk gwn dat de gyroscoop niet gevoelig genoeg is om redelijk hoge frequentie (spraak) trillingen correct te registreren...

[noobz]

Is die kans net zo groot?

Ik heb niet opgelet op de middelbare school vrees ik

[Verwijderd]

bij mij is het ook al even geleden maar ik ga toch een poging wagen

Men stelt dat het systeem slechts 1 op 3 getallen correct heeft.
Dus per getal heb je een kans van 0.33 om het correct te hebben.
In een getallenreeks van 10 heb je, binomiaal gezien, een kans van 1e-5 om alle 10 de getallen correct te hebben.
Met andere woorden, je hebt maar 1 keer op 100.000 keer een correcte reeks van 10. Als je weet dat een credit card number 16(dacht ik?) getallen heeft, dan ben je nog lang niet klaar
(en dan houden we nog geen rekening met het feit dat mensen niet dagelijks hun creditcard nummer uitspreken)

Trouwens, je uitspraak over die 70%, ofwel begrijp ik ze niet, ofwel interpreteer je het artikel verkeerd. Men stelt dat ze slechts 1 op 3 getallen juist raden, niet 1 op 3 getallenreeksen

[noobz]

"bij een test pikte het [..] nog geen twee derde van de cijfers in een cijferreeks juist op"

nog geen twee derde. Net geen 66% dus waarschijnlijk. Er vanuit gaande dat verder onderzoek de nauwkeurigheid nog wel wat kan opschroeven ging ik uit van 70-75%.

Desondanks: goede bijdrage
Sowieso moet de gokkans natuurlijk omlaag gaan naarmate je meer cijfers weet.

[Reactie gewijzigd door noobz op 23 juli 2024 03:12]

[Verwijderd]

oei, idd foutje van mij.
Met een individuele succesrate van 0.66 is het een verrassend realistische dreiging.
Na 63 keer proberen moet je in principe al prijs hebben (om 10 getallen correct af te luisteren)...

[noobz]

Maar 63 x is wel vaak hoor. Ik zou zeggen, voorbeeld van de creditcard. Je hebt van de 16 getallen na één keer 11 getallen. De andere 5 getallen moet je zelf verzinnen, dus 100.000 (10 tot de macht 5) opties over. Maal 36 mogelijkheden voor de vervaldatum = gemiddeld 3.600.000 mogelijkheden.

En dan gaan we er nog vanuit dat het systeempje slim genoeg is om te merken waar ie nummers mist en op te merken of het wel echt om een creditcardnummer gaat.

Als het de creditcard van Bill Gates was zou ik het er voor doen. Anders is het wel veel moeite.

[Reactie gewijzigd door noobz op 23 juli 2024 03:12]

[Ubartu]

Vergeet de CVC niet. 19 getallen in totaal dus.
33,3% van 19 = 6(.327) getallen die je nog moet gokken.
Doe dus nog maar eens een factor tien hierbij, oftewel 36.000.000.000 resterende mogelijkheden.

[noobz]

66,6 procent.

Nee. sorry.

[Reactie gewijzigd door noobz op 23 juli 2024 03:12]

[Jeroen73]

Het betekent niet dat van iedere credit card er 5 fout zijn, het betekent dat het ook mogelijk is dat er van 1 kaart 10 niet herkend worden en van een andere kaart allemaal wel: dat is de foute bingo.

Zelfs in de berekening dat er nog 10 tot de macht 5 overblijven: er zijn dan dus al 10 tot de macht 11 combinaties die al weggestreept zijn...

[Ubartu]

1: je vangt het dus alleen op als iemand hardop al zijn creditcard gegevens opleest. Wat bijna nooit gebeurd.
2: om dat op te vangen moet je dus inderdaad constant de gyroscoop afluisteren en de gegevens doorspelen. Dit houdt je telefoon uit slaapstand, wat heel snel opvalt in de statistieken van gebruikers (en daarmee Google).
3: Naast het creditcardnummer moet je de naam goed hebben die op de creditcard staat, de verloopdatum EN de CVC. Dit script zal veel meer moeten ontfutselen dan tien getallen. Zelfs met 90% nauwkeurigheid heb je dan nog heel veel variabelen.

Kortom totaal geen praktische hack.

[noobz]

1. Het gebeurt bij veel bedrijven regelmatig denk ik. Japie moet even wat afrekenen op internet: oh, hier, de credentials van de CC van de zaak. Even invoeren en hardop voorlezen want er zitten wel veel getalletjes in.
2. Mag je niet in slaapstand zitten? Of zou je dat wel kunnen simuleren door de app een zwart vlak te laten tekenen?
3. De verloopdatum. Goed punt. Maar heeft die niet maar 3(# jaar geldig)*12 maanden=36 mogelijkheden? Of verschilt dat?

Ooit misschien wel, nu waarschijnlijk nog niet.

[Ubartu]

Lol, nee zwart vlak laten tekenen helpt niet tegen een slaapstand. Wel leuk bedacht.

Slaapstand is de modus waarin de cpu geen commando's van normale programma's accepteert en er dus minder stroom verbruikt wordt.

Het proces om de gyroscoop af te luisteren en vervolgens die informatie te verwerken (of door te sturen) kost processorkracht en kan dus alleen werken als de telefoon wakker is.

Ook als het scherm uit staat kan de telefoon dus 'wakker' blijven door een app die steeds om berekeningen vraagt. Daar is een permissie voor genaamd 'prevent phone from sleeping'. De Facebook app en ook Google Maps hebben die bijvoorbeeld ook, maar gebruiken dit enigszins spaarzaam. Dit soort malware moet daarentegen constant draaien en zou je accu dus in no time leeg laten lopen.

[noobz]

Ik bedoel, je kunt de gebruiker in de maling nemen toch (met een zwart vlak).

[Reactie gewijzigd door noobz op 23 juli 2024 03:12]

[Ubartu]

Snap wat je bedoeld, maar het gaat niet om wat de gebruiker in beeld ziet. Het programma op zich hoef je helemaal niet te tonen aan de gebruiker, ook niet dmv een zwart vlak of iets dergelijks.
Maar het gaat over of de telefoon bezig is of niet (ongeacht wat er op het scherm gebeurd). Als zo'n programma constant actief is (wat moet om constant de gyroscooptrillingen te analyseren) dan is je accu simpelweg veel sneller leeg.

[Maurits van Baerle]

Het doel is niet om CC gegevens buit te maken. Het doel is om aan te tonen dat een gyroscoop gebruikt kan worden om mensen af te luisteren (met een onverwacht hoge nauwkeurigheid). Dat CC getal is slechts een voorbeeld en dat je voor een CC betaling dus naam en CVC nodig hebt is irrelevant voor de demonstratie.

[Ubartu]

Klopt, het is slechts een van de voorbeelden van wat je af zou kunnen luisteren. Al is dit natuurlijk wel een potentieel lucratieve (als het zou werken) om bij een massa mensen te pogen.

Maar mijn punt blijft wel dat het een totaal onpraktische hack is, simpelweg omdat je telefoon constant rekenvermogen moet gebruiken om dit uit te voeren. Daarnaast is het, vooralsnog, lang niet nauwkeurig genoeg om praktisch te zijn. Gemiddeld 66% van tien van tevoren bepaalde uitkomsten is naar mijn idee meer een storm in een glas water, dan als een echt beveiligingsrisico.

Desondanks, leuke demonstratie, of het nu een daadwerkelijk 'nut' heeft of niet.

[Verwijderd]

Die 70% werd gehaald onder gecontroleerde omstandigheden.

Je mag dus aannemen dat de telefoon verder zoveel mogelijk trillingsvrij is gehouden. Omgevingsgeluid, trillingen, handbewegingen, enzovoort zullen het gemiddelde in het wild flink omlaag gaan halen.

Ik maak me over het letterlijk afluisteren via de gyroscoop voorlopig nog geen zorgen. Het is denk ik eenvoudiger om een 'grappige stemmetjes vervormer' app te maken.

[noobz]

Je creditcard nummer daar inspreken.

[Verwijderd]

Ik hoop dat google dat dan maar snel doet. Dit maakt afluisteren bijna kinderspel. Er moet zelfs geen malware worden geïnstalleerd.
Ik vind het wel raar dat dit enkel bij Android werkt. Is er voor iOS en voor Windows Phone dan toestemming nodig?

Het antwoord op je vraag staat in het artikel:
"De truc werkt alleen op Androids, omdat Googles mobiele besturingssysteem het uitlezen van de gyroscoop met 200Hz toestaat, dichtbij de maximaal 250Hz van de menselijke stem. Bij iOS is dat gelimiteerd op 100Hz, waardoor het afluisteren niet zou kunnen"

[Verwijderd]

- Er moet zeker wel iets geïnstalleerd worden (het is niet zo dat iemand naar je telefoon kan wijzen ofzo en hij/zij dan opeens op magische wijze je gyroscoop kan afluisteren, dat moet een applicatie op de telefoon doen, die geïnstalleerd moet worden) en zodra die app iets 'fouts' doet, iets wat 'niet mag', dan is het malware (definitie).

- Voor iOS werkt (zoals in het artikel vermeld) de gyroscoop op een lagere frequentie, even simpel gezegd minder precies, in Android is het toegestaan om veel preciezere data uit de gyroscoop te halen, waardoor er dus kleinere verschillen waargenomen kunnen worden, en er een hogere succesrate voor deze truc is (er zal immers heel minuscuul verschil plaatsvinden, wat je dus ook heel precies moet kunnen detecteren, en dat gaat dus niet, zoals in het artikel staat vermeld)

Voortaan graag even het artikel lezen voordat je reageert.
Als je zo graag een fipo wil, besef dan ook dat dit wel een onderbouwde post moet zijn.
Dankjewel.

[noobz]

Puntje 1 kan dus blijkbaar wel in sommige browsers, dan hoeft iemand niet naar je te wijzen, maar als ik een iframe in de mobiele website van nu.nl stop, dan ben ik er wel.

De vraag is even wat voor nuttige dingen ik kan opnemen terwijl jij naar nu.nl kijkt.

[Verwijderd]

Oh, ik herhaal altijd luidkeels minstens 10 keer mijn CC nummer als ik Nu.nl lees. En gedurende die tijd zet ik mijn telefoon altijd op een statief in een geluidsdichte kamer. Is dat niet standaard dan?

[noobz]

Je hebt je CreditCard nummer dus niet op je website staan?

En ik maar denken dat dat normaal was.

[Verwijderd]

Nee, ik vond Facebook wel genoeg. Een eigen website was te moeilijk. Plus, hoe zorg je er dan voor dat mensen je CC vinden, niet waar?

[Verwijderd]

Excuseer, dat stond nog niet in het artikel toen ik het las, dat is later aangepast. U kan dus ook vriendelijk reageren, en moet me daarvoor niet onmiddellijk een -1 geven.

En van malware, ik weet het, maar ik bedoelde dat als je een spelletje, of eender welke app download, neem nu bijvoorbeeld WhatsApp, dan kan facebook je zomaar afluisteren (moest de techniek meer op punt staan). Tweakers is er ook voor dummie's. Ik leer graag bij, maar een reactie als de jouwe ontmoedigd me daarvoor wel...

[Verwijderd]

Ook het open beleid...

Misschien moet je het nog een keer herhalen, dat van dat open beleid, want het open beleid zorgt er voor dat er open beleid is. Dat kan niet open genoeg op straat liggen, dat open beleid.

Gelukkig hebben de fans weer een geweldige dag door dit nieuws. Praktisch nut beperkt, nieuws(vecht)waarde, prijsloos.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:12]

[Tonko Boekhoud]

Priceless kan je mooi vertalen met Onbetaalbaar.

[Verwijderd]

Dat was het woord wat ik zocht.

[Fermion]

Android ligt meest voor de hand om een onderzoek te starten en er is nog niet verder onderzocht.

[gladius1983]

Er is voor ios en windows phone ook geen toestemming nodig. De trilfrequentie van de gyroscoop in die telefoons is te laag om de trillingen van een stem te kunnen waarnemen.

[Capa]

Edit: antwoord was al gegeven

[Reactie gewijzigd door Capa op 23 juli 2024 03:12]

[Joseph]

Niet helemaal ontopic, maar dit is een grotere bedreiging voor de privacy... Komt aardig dicht bij dit in de buurt.

[nrc.nl]