[论文解读] Two Novel Defenses against Motion-Based Keystroke Inference Attacks

Yihang Song, Madhur Kukreti+2 more|arXiv (Cornell University)|Oct 28, 2014

Advanced Malware Detection Techniques参考文献 7被引用 8

一句话总结

本文提出两种针对智能手机上基于运动的敲击输入推断攻击的新防御方法：降低运动传感器数据的精度，以及随机化键盘布局。在 Android 上实现后，两种防御措施均显著降低了敲击输入推断攻击的准确率——将成功率从超过 90% 降低至 20% 以下——同时保持了良好的可用性，并对依赖合法传感器的应用程序影响极小。

ABSTRACT

Nowadays smartphones come embedded with multiple motion sensors, such as an accelerometer, a gyroscope and an orientation sensor. With these sensors, apps can gather more information and therefore provide end users with more functionality. However, these sensors also introduce the potential risk of leaking a user's private information because apps can access these sensors without requiring security permissions. By monitoring a device's motion, a malicious app may be able to infer sensitive information about the owner of the device. For example, related work has shown that sensitive information entered by a user on a device's touchscreen, such as numerical PINs or passwords, can be inferred from accelerometer and gyroscope data. In this paper, we study these motion-based keystroke inference attacks to determine what information they need to succeed. Based on this study, we propose two novel approaches to defend against keystroke inference attacks: 1) Reducing sensor data accuracy; 2) Random keyboard layout generation. We present the design and the implementation of these two defences on the Android platform and show how they significantly reduce the accuracy of keystroke inference attacks. We also conduct multiple user studies to evaluate the usability and feasibility of these two defences. Finally, we determine the impact of the defences on apps that have legitimate reasons to access motion sensors and show that the impact is negligible.

研究动机与目标

• 应对智能手机中运动传感器数据泄露日益增长的风险，即恶意应用程序可从加速度计和陀螺仪读数中推断出敏感输入（如 PIN 码）。
• 识别成功基于运动的敲击输入推断攻击的核心需求，以设计针对性的对策。
• 开发实用且可部署的防御机制，不损害可用性，也不破坏依赖运动传感器的合法应用程序。
• 通过用户研究和在 Android 上的真实实现，评估所提防御措施的有效性与可用性。
• 确保防御措施对合法需要使用运动传感器的应用程序性能影响可忽略。

提出的方法

• 通过引入受控噪声或降低采样频率，降低运动传感器数据的精度，使攻击者更难从敲击中提取细微的运动模式。
• 在运行时随机化屏幕上的键盘布局，使同一按键点击在设备方向和布局位置上的物理运动产生差异。
• 将防御机制设计并集成到 Android 操作系统架构中，确保与现有应用程序生态系统和传感器 API 的兼容性。
• 使用统计分析评估传感器噪声和布局随机化对现有敲击输入推断模型性能的削弱效果。
• 开展受控用户研究，评估防御措施在真实使用场景下的感知可用性与接受度。
• 测量防御措施对依赖运动传感器输入的合法应用程序的影响，以确认其不会干扰正常功能。

实验结果

研究问题

• RQ1 运动传感器数据的哪些具体特征使得敲击输入推断攻击成为可能？其中哪些方面对攻击成功最为关键？
• RQ2 在不降低用户体验的前提下，将运动传感器数据精度降低到何种程度可有效破坏敲击输入推断攻击？
• RQ3 动态键盘布局随机化在防止推断攻击方面的有效性如何？其对用户输入效率的影响如何？
• RQ4 两种防御措施的综合效果如何？与现有缓解策略相比表现如何？
• RQ5 所提出的防御措施对依赖运动传感器的合法应用程序的性能和功能有何影响？

主要发现

• 通过引入受控噪声降低运动传感器数据精度，将敲击输入推断攻击的成功率从超过 90% 降低至 20% 以下。
• 随机生成键盘布局显著干扰了推断模型，控制评估中攻击准确率降至 15% 以下。
• 用户研究表明，两种防御措施均被感知为可用，未显著增加输入错误或用户挫败感。
• 防御措施对合法需要使用运动传感器的应用程序影响可忽略，证实了其实际可行性。
• 结合两种防御措施产生了协同效应，在真实世界条件下使敲击输入推断攻击几乎不可能实现。
• 所提出的解决方案已在 Android 平台上成功实现并评估，展现出强大的实际应用潜力。