I dispositivi mobili registrano più dati di quanto ne servano. Il problema è che questa registrazione non viene sempre comunicata all'utente. Molte applicazioni richiedono permessi eccessivi e, nel caso dei browser, estraggono valori dai sensori integrati. Un gruppo di ricercatori dell'Università di Newcastle ha dimostrato che è possibile utilizzare tutto ciò in modo dannoso con un nuovo attacco chiamato PINLogger, che interpreta i dati dei sensori e calcola il codice PIN con una precisione del 94 per cento in appena tre tentativi.
Permessi eccessivi
Molti giochi per Android e iOS richiedono l'accesso ai sensori del dispositivo per motivi tecnici, ma ho visto esempi che cadono direttamente nell'abuso. A cosa serve a un gioco vedere il mio calendario o la mia lista di contatti? La prima cosa che ci viene in mente è quella parola magica: Pubblicità. L'utente medio non dà molto valore a quei dati secondari che genera, ma c'è gente là fuori disposta a pagare per ottenerli e fornire «un'esperienza più personalizzata». E se qualcuno trovasse il modo di utilizzare tali dati con obiettivi dannosi? Cosa può consegnare il nostro smartphone senza che ce ne accorgiamo?
Come funziona PINLogger
Per cominciare… il codice PIN. Secondo un gruppo di ricercatori dell'Università di Newcastle, l'attacco PINLogger basato su JavaScript può «ascoltare» il movimento e l'orientamento di un dispositivo Android senza il permesso dell'utente, analizzare il flusso di dati inviato dai sensori con una rete neurale e, a partire da ciò, calcolare il codice PIN. Lo studio indica che, di fronte a un PIN di quattro cifre, PINLogger riesce a scoprire il numero nel 74 per cento dei casi al primo tentativo, nell'86 per cento al secondo e nel 94 per cento al terzo. A differenza di altri attacchi, PINLogger non richiede l'installazione di software sullo smartphone. Tutto ciò che serve è che un browser con il codice dannoso in una pagina web rimanga aperto mentre l'utente inserisce il PIN.
Limiti e implicazioni
Ovviamente, l'efficacia di PINLogger dipende dal livello di accesso ai sensori del browser, e questo varia molto in base al software e al sistema operativo. Gli esempi condivisi si concentrano su iOS 8 e Android Lollipop, tecnicamente senza supporto ma ancora molto utilizzati. In generale, i browser più invasivi sono quelli alternativi, con Baidu e CM Browser in testa. Per ora, l'accesso via JavaScript è limitato a un paio di sensori, ma potrebbe cambiare in futuro. Forse è il momento di implementare restrizioni di accesso ai sensori «per applicazione», un sistema di liste bianche, o perché no, una gestione diretta dei permessi.
