查看原文
其他

人工智能仅凭视频就可猜出ATM机上输入的银行卡密码

GoUpSec 2022-11-18


近日,研究人员已经证明,可以训练一种特殊用途的深度学习算法,即使受害者用手遮住了ATM机的密码键盘,也可以猜测出其输入的银行卡PIN码,成功率最高可达41%。


实施该机器学习攻击的设备并不复杂,攻击者首先需要一个与目标ATM尺寸一致的模型,因为需要对不同ATM机器密码键盘的尺寸和按键间距进行有针对性的算法训练。

接下来,使用人们在ATM键盘上输入PIN的视频,训练机器学习模型以识别键盘按压并为每个PIN码数值分配按键概率。



来源:Arxiv.org


在实验中,研究人员收集了来自不同地区的58个实验参与人员的5800个不同视频,实验参与人员在视频中输入了4位或5位PIN码。


运行预测模型的机器是一台配备128GB RAM的Xeon E5-2670和三台配备5GB RAM的Tesla K20m。这不是普通PC的配置,但也不算太昂贵。


通过使用3次尝试(通常是银行卡被吞前允许的最大尝试次数),研究人员获取正确的5位PIN码的成功率达到30%,4位PIN码的猜测成功率则高达41%。


该模型可以根据非打字手的覆盖范围排除按键,并通过评估两个按键之间的拓扑距离,从另一只手的动作中推断出按下的数字。


三种攻击场景的预测热图 来源:arxiv.org


捕捉键盘输入动作的摄像机的位置起着关键作用,尤其是在记录左撇子或右撇子的人时。在ATM顶部隐藏针孔摄像头被确定为攻击者的最佳方法。


如果相机也能够捕捉音频,模型还可以通过分析每个数字按键细微的按压声音差异,从而使预测更加准确。


不同输入手势的猜测结果和概率  来源:arxiv.org



对策


该实验证明,用另一只手覆盖密码键盘不足以防御基于深度学习的攻击,但值得庆幸的是,你还有以下三种对策可用:


  • 首先,如果你的银行允许您选择5位(或6位)PIN码而不是4位PIN码,请选择较长的PIN码。这可能更难记忆,但遭受机器学习攻击时要安全得多。

  • 其次,手部覆盖键盘的百分比会显著降低机器的预测精度。75%的覆盖率可以将机器猜测的成功率降低到55%,而总覆盖率100%(完全盖住) 可将机器猜测的准确度降低到33%。

  • 第三个对策是银行为用户提供虚拟和随机键盘,而不是标准化的机械键盘。这不可避免地会存在可用性缺陷,但绝对是最好的安全措施。


有趣的是,研究人员还对78名参与者进行了调查,让他们猜测该实验视频片段中的密码,以确定人类是否也能猜出隐藏的PIN码以及猜测的准确率。结果调查参与者的平均准确率仅为7.92%,远远不及机器,这表明人工执行此类攻击效率非常低下。

END




您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存