TouchSignatures：基于移动传感器数据通过 JavaScript 识别用户触摸动作与 PIN 码
密码学与安全
2016-05-04 v1
摘要
符合 W3C 规范，移动网页浏览器允许网页中的 JavaScript 代码在未经用户许可的情况下访问运动和方向传感器数据。然而，W3C 规范中未考虑对用户安全和隐私的相关风险。在这项工作中，我们首次展示了如何通过浏览器利用这些传感器数据危害用户安全，尽管其数据速率比应用可用的速率慢 3 到 5 倍。我们考察了 Android 和 iOS 平台上的多种流行浏览器，并研究了它们关于授予 JavaScript 代码访问运动和方向传感器数据权限的策略。基于我们的观察，我们识别出多个漏洞，并提出了 TouchSignatures，其实现一种攻击，其中攻击标签页上的恶意 JavaScript 代码监听此类传感器数据测量值。基于这些流，TouchSignatures 能够区分用户的触摸动作（即点击、滚动、长按和缩放）及其 PIN 码，使得远程网站能够获知客户端用户活动。我们通过从真实用户收集数据并使用概念验证实现报告高成功率，证明了该攻击的实用性。我们还提出了一组应对这些漏洞的潜在解决方案。W3C 社区和包括 Mozilla、Google、Apple 和 Opera 在内的主要移动浏览器供应商已承认我们的工作，并正在实施我们提出的一些对策。
引用
@article{arxiv.1602.04115,
title = {TouchSignatures: Identification of User Touch Actions and PINs Based on Mobile Sensor Data via JavaScript},
author = {Maryam Mehrnezhad and Ehsan Toreini and Siamak F. Shahandashti and Feng Hao},
journal= {arXiv preprint arXiv:1602.04115},
year = {2016}
}