Слушать подано

К списку потенциальных уязвимостей в защите вычислительных машин добавилась еще одна: звук работы на клавиатуре способен помочь злоумышленнику похитить секретную информацию.

“Что известно двоим - известно свинье.”
Немецкая поговорка

Пожалуй, ни одной другой теме в общем контексте информационных технологий не уделялось в последние пару лет столько внимания, сколько информационной безопасности. Нынче не проходит и дня без сообщений о свежей порции уязвимостей, найденных в популярных программных продуктах, месяца - без представления на суд общественности новых защитных техник и выдвижения то тут, то там (впрочем, чаще там) новых законопроектов. Каждая заинтересованная сторона пытается решить проблему технического несовершенства вычислительных комплексов своими методами, но решение вновь и вновь ускользает. Прошедшая неделя принесла очередное разочарование: к сонму причин головной боли администраторов и пользователей компьютерной техники добавилась ещё одна. Ни в жизнь не догадаетесь, какая. Акустическая.

Доклад, посвящённый новой проблеме, сделал на международной специализированной конференции IEEE Symposium of Security and Privacy исследователь из компании IBM Дмитрий Асонов (наш с вами соотечественник, работающий в США). По его словам, звуки, сопровождающие процесс работы человека за обычным персональным компьютером, таят реальную угрозу для информационной безопасности самого оператора и его работодателя. Слушать Дмитрий предлагает не проклятия, изрыгаемые замотанным сисадмином в адрес начальника, а щелчки клавиатурных нажатий. Дело в том, что звук, производимый каждой клавишей уникален. Он зависит от множества физических факторов и вряд ли постоянен, но хитроумная техника вполне в состоянии его записать и распознать. Какого-то сверхвысокого качества фонограммы не требуется: достаточно даже записи, сделанной через мобильный телефон. А для распознавания используется искусственная нейросеть. Собственно, Дмитрий всё это и проделал: вооружившись имеющимися на рынке программными инструментами, обошедшимися ему в две сотни долларов, он продемонстрировал возможность удалённого акустического съёма информации, набираемой на клавиатуре с очень высокой точностью.

Конечно, на наш с вами слух удар по “единичке” едва ли отличим от удара по клавише “M”, но то, в чём не силён человек, легко выполняет машина. Программное обеспечение, реализующее искусственную нейросеть, при всей своей сложности, обладает предельно простым принципом действия: покажите синтетическим нейронам несколько раз одно и то же событие (обучите нейросеть), и она с высокой степенью вероятности определит его появление в гуще других событий. Асонов обучал нейросеть в точности так: дав программе “послушать” по 30 нажатий каждой клавиши, он получал впоследствии распознавание с 80-процентной точностью. Цифра невелика, но есть способ её поднять: используя другую клавиатуру того же производителя и той же самой модели, что и у “жертвы”, можно “натаскать” нейроны гораздо лучше.

Что самое мрачное, проблема эта насущна не только для компьютеров, но и для всех прочих устройств, в которых для ввода информации применяется механическая клавиатура. Это банкоматы, телефоны, кодовые замки и т.д. Асонов не пытался подвести под свои изыскания теоретической базы, ограничившись практикой, но он же утверждает, что защититься от акустической атаки достаточно просто: нужно лишь покрыть клавиатуру резиновой накладкой вроде тех, которые используются для защиты от кофе и крошек. Резина смягчит удары и сделает распознавание вводимого текста “на слух” почти невозможным.

Однако мы вернулись к тому, с чего начинали: мечта об идеально защищённой вычислительной машине убегает всё дальше. Излучения монитора и периферийных устройств, мерцание светодиодов на модеме, сейчас ещё и клавиатурный клик - и всё это не считая банальных “дыр” в софте... Попытаться защитить систему всё ещё можно, но в каких случаях такая попытка способна себя оправдать? Представьте себе бронированное, охраняемое вооружёнными людьми, экранированное, без окон, с метровыми стенами помещение и физически изолированный от всех сетей компьютер. Стоит ли игра свеч? Перефразируя мюллеровское: что известно компьютеру - известно свинье. Так, может быть, лучше сразу смириться с мыслью о недостижимости технического совершенства вычислительной техники и... отказаться доверять ей секреты?