扫码领资料

获网安教程

免费&进群

为什么我就动了动肩膀，密码就泄露了？

0x01 研究人员发现了如何通过肩部移动读取zoom用户在通话期间的键盘输入

你可能听过“Zoom Bombing（Zoom轰炸）”，但你听过“Zoom Snooping（Zoom窥探）”吗？有研究人员认为，他们能仅仅通过跟踪肩部的动作来从视频通话参与者中提取击键数据。最近发表的一项研究警告说，恶意攻击者可能会借用此技术来破译个人密码和商业机密。

上周，德克萨斯大学的一组研究人员发表了一篇技术概要，介绍了他们所谓的可靠框架——使用肩部活动—可以确定Zoom、Microsoft Skype或Google Hangouts视频另一端的人正在键入什么。

由Murtuza Jadliwala领导的研究人员开始着手判断，“处于视频通话一端的对手能否推断出另一端关于参会者的一些潜在敏感信息，而这些信息在通话中却是不可见或听不到的？”

在有限单词数量的受控测试中，研究人员窥探参会者的平均准确率达到75%。受控因素包括特定的椅子、键盘和网络摄像头。研究人员说，影响准确性的决定性因素是诸如是否是长发、是否穿长袖或打字的速度快慢。

“作为安全/隐私研究人员，以及我们对这些应用程序的深度使用，我们想知道一个不明显的私人信息（具有恶意动机）可以在此类通话/会议视频的另一端推断出什么。” Jadliwala通过电子邮件告诉Threatpost。

0x02 你的肩膀真的可以显示你的键入内容吗

他补充说，大多数用户在参加视频通话时通常会做其他事情，其中许多任务会涉及打字。

“这种观察使我们研究了是否确实可以通过观察用户的上半身（在视频通话中）来推断某人正在键入什么，” Jadliwala说。“我们的攻击框架针对包含用户上半身/肩膀的图像帧（在视频通话中）的原因之一是，因为这是大多数视频通话中通常可见的身体唯一的部分。”

Jadliwala报告说，他的团队能够通过读取高清视频上用户肩膀和上臂周围的微小像素偏移，以此推断他们的动作移动方向是朝北，朝南，朝东还是朝西。因此，团队可以在QWERTY键盘上映射击键来推断文本。

尽管该技术仍处于试验阶段并需要工作，但由于学校和社交生活需要在高清视频通话平台上完成的大量工作，正促使网络安全研究人员认真研究此漏洞。

备受大众关注的技术专家Bruce Schneier最近在他的博客上强调了这项研究，并写道：“准确性虽然不高，但可以做到的一切令人印象深刻。”

0x03 视频会议面临巨大的安全挑战

最近几个月，视频会议平台一直在努力满足其新用户群的安全需求。Zoom的“轰炸（bombings）”是一个较早的问题，人们以仇恨言论、色q或其他刺激性或不适当的内容打断会议，这些视频在去年4月众议院监督委员会（House Oversight Committee）听证会的一次Zoom劫持事件中在国家电视台上直播。

Zoom被起诉称其提供了加密用户不存在的加密功能。该公司后来宣布将提供端到端加密，但仅为其付费用户提供，但后来也被迫向普通用户推出E2EE。

10月初，思科的Webex，另一个流行的高清视频会议平台，为其会议系统的视频监控IP摄像机和身份服务引擎（Identity Services Engine）网络管理软件发布了3个高危漏洞和11个中危漏洞的补丁程序。

Jadliwala和他的团队说，担心自己的击键会映射到视频会议上的用户可以采取一些简单的步骤来保护其数据。

首先，使用已有工具在通话过程中模糊背景。研究人员对背景模糊的情况进行了实验，发现它将破译单词的能力从65％降低到了13％。

报告称：“这种结果表明，模糊背景是一种有效的缓解技术，几乎不会降低通话的效率和质量。”

并且视频的像素化和跳帧，就像模糊背景一样，也可以有效削弱团队读取键盘输入的能力。

Jadliwala还补充说，没有必要为之焦虑，因为尚未发现有尝试用视频会议破译键盘输入的威胁。不过最好告知用户视频通话/会议应用程序存在这样的威胁。

0x04 个人感受

这篇文章的发现挺有意思的，非常接近生活的侧信道攻击，具体的技术细节可以参照第一个超链接里的论文，翻译过来是想分享给社区的爱好者们，顺便给自己作个留存。

作者：Becky Bracken==转载自：https://threatpost.com/zoom-snooping-passwords/161000/

声明：⽂中所涉及的技术、思路和⼯具仅供以安全为⽬的的学习交流使⽤，任何⼈不得将其⽤于⾮法⽤途以及盈利等⽬的，否则后果⾃⾏承担。所有渗透都需获取授权！

（hack视频资料及工具）

（部分展示）