Security Week 2237: бесконтактное детектирование работающих микрофонов
В свежей научной работе (новость на Хабре) исследователи из университетов Сингапура и Южной Кореи предложили технологию «беспроводного» детектирования работы микрофонов, встроенных, например, в ноутбук или планшет.
Исследователи воспользовались простым свойством современных ноутбучных микрофонов — в подавляющем большинстве случаев они цифровые и состоят из собственно микрофона и аналого-цифрового преобразователя. Если АЦП размещен на материнской плате, к нему от аналогового микрофона придется тянуть относительно длинный провод. По этому проводу будет передаваться сигнал малой амплитуды, который будет подвержен множеству помех от других компонентов портативного ПК. Собственно, работу АЦП такого микрофона Digital MEMS и предлагается отслеживать как надежный показатель «прослушивания».
В преамбуле к исследованию авторы умело поднимают градус паранойи. Да, действительно, производители ноутбуков все чаще пытаются заслужить доверие обеспокоенных о своей приватности пользователей. Добавляют механические шторки для веб-камеры, в некоторых ноутбуках (приводятся в пример устройства Purism) — механические выключатели микрофона. В ноутбуках Apple микрофон изолируется при закрытии крышки. Драйверы от производителей ноутбуков (например, Dell) позволяют отключить микрофон на системном уровне. Но в данном случае нам приходится доверять производителям железа. А что если — спрашивают исследователи — доверять не хочется? О сложностях данного подхода поговорим позже, а пока опишем решение.
Прототип TickTock состоит из компьютера Raspberry Pi, SDR-радиоприемника и датчика, который необходимо закрепить на корпусе ноутбука рядом с микрофоном. На Raspberry Pi анализируется электромагнитное излучение электронной схемы микрофона, то есть детектирование происходит по сторонним каналам. Сложность заключается в том, что работу микрофона нужно как-то отличить от других помех, генерируемых различными компьютерными устройствами. Ключ к решению проблемы — фиксированная тактовая частота АЦП микрофона. Точнее, она фиксирована для каждого конкретного устройства, а между моделями разных производителей и версий встречается в пределах от 1 до 4,8 мегагерца. Наличие тактового сигнала свидетельствует о работе микрофона.
В теории просто, но на практике все равно выходит сложно. «Детектор» нужно натренировать на работу с конкретным ноутбуком — опознать тактовую частоту электронной схемы и надежно определять ее в общих электромагнитных помехах. Большая часть работы посвящена именно этому. Еще один крупный раздел работы описывает результаты измерения эффективности. Исследователи испытали 30 моделей ноутбуков в различных сценариях. Почти во всех случаях им удалось определить работу микрофона с точностью, близкой к ста процентам, но с двумя важными исключениями.
У части ноутбуков, произведенных до 2017 года, тактовый сигнал микрофонов и подсистемы воспроизведения звука одинаковый. Соответственно, во время воспроизведения музыки или видеоролика со звуком надежно распознать включение ноутбука не получается. А для трех ноутбуков Apple технология и вовсе не сработала, причем авторы даже не смогли точно установить причину. Либо алюминиевый корпус макбуков надежно изолирует электромагнитное излучение (не помогла даже более дорогая и чувствительная измерительная техника), либо Apple применила некую уникальную схему работы для своих устройств. Дополнительно исследователи проверили технологию на других устройствах с микрофонами: на смартфонах, веб-камерах, планшетах, умных колонках. И добились не самых стабильных результатов — где-то технология сработала (смартфоны Samsung), где-то нет (6 из 8 умных колонок).
В идеале исследователям видится создание небольшого детектора, получающего питание от шины USB. Они даже представили некую общественную инициативу, которая собирает информацию о тактовых частотах микрофонов в разных портативных устройствах (что вполне возможно). Или же предположили, что производители будут прикладывать в комплект к ноутбукам датчики, откалиброванные под конкретную модель (а вот это маловероятно). Если микрофон работает, когда не надо, датчик будет включать сигнал тревоги.
Теперь поговорим о принципиальных проблемах такого подхода, которые научным работникам обходить не обязательно, а вот пользователям знать стоит. И дело не в том, что решение TickTock оказалось неуниверсальным: будущие исследования, возможно, помогут обойти это ограничение. И прежде всего стоит сослаться на исследование, опубликованное весной этого года, про то, как различные клиенты для конференц-связи работают с микрофоном. Дело в том, что множество клиентов при «отключении микрофона» все равно прослушивают пользователя. В той работе удалось показать, что на приватности это не сказывается: в режиме Mute звук не записывается или записывается, но не отправляется на сервер. Он, по сути, используется только для выведения напоминалки, когда пользователь начинает говорить и забывает отключить режим «без звука».
Но микрофон-то, получается, работает. А значит, предложенный исследователями детектор будет давать ложные срабатывания. Можно сделать вывод, что такая технология применима в других случаях, когда микрофон не должен работать ни при каких условиях, но потенциальному шпиону его как-то удается включить. Во всех остальных случаях пользователю достаточно будет применить одно из более простых решений, будь то аппаратный выключатель, системный Mute, либо управление правами доступа к микрофону через настройки системы (как в Android) или защитное решение.
Что еще произошло:
Новое исследование показывает печальную ситуацию с некоторыми веб-камерами производства китайской компании Hikvision. Критическая уязвимость, обнаруженная в прошлом году, позволяет получить полный доступ к камере. По данным исследования, более восьмидесяти тысяч камер по-прежнему уязвимы и данные доступа к ним перепродаются на черном рынке.
На прошлой неделе широко обсуждался предположительный взлом сервисов TikTok и WeChat — якобы злоумышленники похитили базы данных с незащищенного сервера на облачной платформе Alibaba. TikTok, впрочем, отрицает факт взлома и настаивает, что содержимое «утечки» никак не связано с соцсетью. Независимые исследователи говорят о том, что часть данных, выложенных на подпольном форуме, похожа на пользовательскую информацию, остальное выглядит неубедительно. Изначальная публикация с данными на форуме в итоге была удалена, а пользователь забанен «за вранье».
