Il già problematico ecosistema di app per Android deve ora fare i conti con un nuovo rischio potenziale, vale a dire un trojan in grado di “indovinare” PIN e numeri segreti digitati dall’utente basandosi sui dati provenienti dai sensori di movimento integrati in un moderno telefonino “intelligente”.
TapLogger , questo il nome del codice proof-of-concept realizzato dai ricercatori della Pennsylvania State University in collaborazione con IBM, si camuffa da app giocosa in cui l’utente viene invitato a completare 30 percorsi con 400 “tap event” complessivi.
Questi 400 “tocchi” sono in realtà la modalità allenamento del trojan, che può così registrare abbastanza informazioni sugli impercettibili movimenti del dispositivo durante la pressione di una particolare sezione dello schermo multi-touch.
Partendo dal database di tocchi così archiviato, poi, TapLogger è sufficientemente “addestrato” da poter indovinare i numeri e le lettere selezionate sulla tastiera virtuale dall’utente. E non si tratta di sola teoria, visto che i ricercatori hanno portato a segno due attacchi pratici recuperando il PIN di protezione dello smartphone testato e il codice segreto di una carta di credito.
TapLogger è stato progettato per girare su Android, ma i ricercatori statunitensi dicono chiaramente che la stessa vulnerabilità affligge iOS di Apple: il problema da risolvere alla fonte è l’accessibilità dei dati raccolti dai sensori di movimento anche per le app non dotate di privilegi di accesso particolarmente alti.
Alfonso Maruccia
Ti potrebbe interessare
26 apr 2012