Omgevingslichtsensoren voor iPhone en Android maken heimelijke spionage mogelijk

De omgevingslichtsensoren die doorgaans in slimme apparaten worden gebruikt voor het aanpassen van de schermhelderheid, zouden beelden van gebruikersinteracties kunnen vastleggen en een unieke bedreiging voor de privacy kunnen vormen, aldus onderzoekers van het robotica-programma van MIT.

Het academisch onderzoeksteam ontwikkelde een computationeel beeldalgoritme om het potentiële risico te illustreren, waarbij het voorheen over het hoofd geziene vermogen van deze sensoren om heimelijk gebruikersgebaren vast te leggen, wordt benadrukt.

In tegenstelling tot camera's hebben de sensoren geen native applicaties of applicaties van derden nodig om toestemming te vragen voor het gebruik ervan, waardoor ze kwetsbaar zijn voor uitbuiting.

De onderzoekers hebben aangetoond dat omgevingslichtsensoren clandestien de aanraakinteracties van gebruikers kunnen vastleggen, zoals scrollen en vegen, zelfs tijdens het afspelen van video.

Het proces omvat een inversietechniek, waarbij lichtvariaties met een lage bitsnelheid worden verzameld die worden geblokkeerd door de hand van de gebruiker op het scherm.

Yang Liu, een PhD bij de MIT Electrical Engineering & Computer Science Department (EECS) en CSAIL, legt uit dat deze sensoren een bedreiging voor de beeldprivacy kunnen vormen door die informatie te verstrekken aan hackers die slimme apparaten monitoren.

"De omgevingslichtsensor heeft een voldoende lichtintensiteit nodig voor een succesvol herstel van een handinteractiebeeld", legt hij uit. “De toestemmingsvrije en altijd ingeschakelde aard van omgevingslichtsensoren die dergelijke beeldvormingsmogelijkheden bieden, heeft invloed op de privacy, omdat mensen zich er niet van bewust zijn dat niet-beeldvormende apparaten zo’n potentieel risico kunnen inhouden.”

Omgevingssensoren voor smartphones: extra beveiligingsproblemen

Hij voegt eraan toe dat een mogelijke veiligheidsimplicatie naast het afluisteren van aanraakgebaren het onthullen van gedeeltelijke gezichtsinformatie is.

“Een extra stukje informatie is kleur”, legt hij uit. “De meeste slimme apparaten zijn tegenwoordig uitgerust met meerkanaals omgevingslichtsensoren voor automatische aanpassing van de kleurtemperatuur – dit draagt ​​rechtstreeks bij aan het herstel van kleurenbeelden voor bedreigingen van de beeldprivacy.”

De trend dat consumentenelektronica grotere en helderdere schermen nastreeft, kan ook van invloed zijn op dit bedreigingsoppervlak, doordat de bedreiging voor de beeldprivacy acuter wordt.

“Extra kunstmatige intelligentie- en [groot taalmodel] LLM-aangedreven Ontwikkelingen op het gebied van computationele beeldvorming kunnen ook beeldvorming met slechts één bit informatie per meting mogelijk maken, en onze huidige 'optimistische' privacyconclusies volledig veranderen”, waarschuwt Liu.

Een oplossing: de informatietarieven beperken

Liu legt uit dat mitigatiemaatregelen aan de softwarekant de toestemming en informatiesnelheid van omgevingslichtsensoren zouden helpen beperken.

"Specifiek zouden aanbieders van besturingssystemen toestemmingscontroles moeten toevoegen aan die 'onschuldige' sensoren, op een vergelijkbaar of iets lager niveau dan camera's", zegt hij.

Om de sensorfunctionaliteit in evenwicht te brengen met het potentiële privacyrisico, zegt Liu dat de snelheid van omgevingslichtsensoren verder moet worden verlaagd tot 1-5 Hz en dat de kwantiseringsniveau tot 10-50 lux.

“Dit zou de informatiesnelheid met twee tot drie ordes van grootte verminderen en eventuele bedreigingen voor de privacy van beeldvorming zouden onwaarschijnlijk zijn”, zegt hij.

IoT-cyberbedreigingen sneeuwbal

Vanuit het perspectief van Bud Broomhead, CEO van Viakoo, is de ontdekking geen reden tot grote ongerustheid, en hij merkte op dat het vastleggen van één frame van handgebaren elke 3.3 minuten – het resultaat van MIT-tests – vrijwel geen stimulans is voor een bedreigingsacteur om een zeer geavanceerde en tijdrovende exploit uit te voeren.

“Het herinnert ons er echter aan dat alle digitaal verbonden apparaten kwetsbaarheden kunnen hebben die kunnen worden misbruikt en dat er aandacht moet worden besteed aan de beveiliging ervan”, zegt hij. “Het doet denken aan de tijd waarin beveiligingsonderzoekers nieuwe manieren vinden om air-gapped systemen aan te vallen via mechanismen zoals knipperende lampjes op de NIC-kaart [PDF] – interessant in theorie, maar geen bedreiging voor de meeste mensen.”

John Bambenek, president van Bambenek Consulting, zegt dat dit een herinnering moet zijn voor consumenten en bedrijven om hun apparaten en apps te controleren op welke informatie wordt verzameld en hoe deze wordt gebruikt.

“We hebben pas onlangs de transparantie-instrumenten gekregen om dat zelfs maar te kunnen controleren”, zegt hij. “Onderzoekers en academici zullen hopelijk dit soort werk blijven doen om erachter te komen waar de gaten zitten tussen de transparantie-instrumenten en wat mogelijk is.”

Hij wijst erop dat aanvallers en andere kwaadwillende personen voortdurend op zoek zijn naar manieren om gebruikers aan te vallen minder voor de hand liggende cyberaanvalpaden kan voor sommigen aantrekkelijk zijn.

“Helaas omvat dit ook technologiebedrijven die een vraatzuchtige honger hebben naar data om hun nieuwe AI-algoritmen te voeden”, zegt Bambenek.

De dreiging reikt verder dan camera’s en omvat ook patronen die door fysieke gebaren worden gemaakt – zo heeft een team van onderzoekers van Cornell University onlangs gepubliceerd onderzoek met details over een AI-model dat is getraind op het typen van smartphones en dat een nauwkeurigheid van 95% vertoonde bij het stelen van wachtwoorden.

Nu onderzoekers steeds meer tekortkomingen ontdekken in IoT-apparaten en besturingssystemen, die allemaal met elkaar verbonden zijn via steeds complexere netwerken, is er sprake van een hernieuwde nadruk over Secure by Design-principes om ervoor te zorgen dat verdediging dieper in de software wordt geïntegreerd.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• Plato Gezondheid. Intelligentie op het gebied van biotech en klinische proeven. Toegang hier.
• Bron: https://www.darkreading.com/endpoint-security/iphone-android-ambient-light-sensors-stealthy-spying