Después de que el mes pasado informáramos que los ciberdelincuentes están explotando tres técnicas distintas para robar las contraseñas de los usuarios cuando simplemente las escriben en el teclado, según advirtió Panda Security, un equipo de investigadores de la Universidad de Glasgow acaba de revelar que han desarrollado un nuevo sistema de "ataque térmico" capaz de adivinar contraseñas en tan solo unos segundos.
El sistema, denominado ThermoSecure e impulsado por Inteligencia Artificial (IA), puede adivinar rápidamente las contraseñas al analizar la huella de calor que dejan las yemas de los dedos en los teclados y pantallas cuando los usuarios introducen sus datos.
Según señala la nota de prensa de la Universidad, los investigadores responsables de ThermoSecure desarrollaron este sistema con el objetivo de demostrar cómo la caída de los precios de las cámaras termográficas y el aumento del acceso al aprendizaje automático están creando nuevos riesgos de ataques térmicos.
"Dicen que hay que pensar como un ladrón para atrapar a un ladrón. Desarrollamos ThermoSecure pensando detenidamente en cómo los actores malintencionados podrían explotar las imágenes térmicas para acceder a computadoras y teléfonos inteligentes", ha afirmado el Dr. Khamis, uno de los investigadores que ha desarrollado ThermoSecure.
"El acceso a las cámaras termográficas es más asequible que nunca, se pueden encontrar por menos de 200£, y el aprendizaje automático también se está volviendo cada vez más accesible. Eso hace que sea muy probable que personas de todo el mundo estén desarrollando sistemas similares a ThermoSecure para robar contraseñas. Es importante que la investigación en seguridad informática siga el ritmo de estos desarrollos para encontrar nuevas formas de mitigar el riesgo, y continuaremos desarrollando nuestra tecnología para tratar de estar un paso por delante de los atacantes. También estamos interesados en recalcar a los legisladores los riesgos que este tipo de ataques térmicos representan para la seguridad informática. Una posible vía de reducción de riesgos podría ser ilegalizar la venta de cámaras térmicas sin algún tipo de seguridad mejorada incluida en su software. Actualmente estamos desarrollando un sistema de contramedidas impulsado por IA que podría ayudar a abordar este problema", ha añadido Khamis.
Cómo funcionan los ataques térmicos
Según avisa el comunicado, adivinar contraseñas con los ataques térmicos no requiere contar con conocimientos de expertos sino que es tan sencillo como mirar detenidamente las imágenes térmicas entre 30 y 60 segundos después de que se haya tocado la superficie de los dispositivos para introducirlas.
"Los ataques térmicos pueden ocurrir después de que los usuarios escriban su código de acceso en el teclado de un ordenador, la pantalla de un teléfono inteligente o el teclado de un cajero automático antes de dejar el dispositivo sin protección. Un transeúnte equipado con una cámara térmica puede tomar una foto que revela la firma de calor de donde sus dedos han tocado el dispositivo.
"Cuanto más brillante aparece un área en la imagen térmica, más recientemente se tocó. Al medir la intensidad relativa de las áreas más cálidas, es posible determinar las letras, números o símbolos específicos que componen la contraseña y estimar el orden en el que se usaron. A partir de ahí, los atacantes pueden probar diferentes combinaciones para descifrar las contraseñas de los usuarios", explica.
Las altas probabilidades de éxito ThermoSecure y recomendaciones para evitar ser víctima de un ataque térmico
ThermoSecure combina imágenes térmicas e IA y es capaz de identificar contraseñas largas de 16 caracteres en tan solo 20 segundos, con un ratio de intentos correctos de hasta el 67%. Además, a medida que las contraseñas son más cortas, aumenta la tasa de éxito. Así, en las claves de 12 caracteres el ratio se eleva hasta el 82%, en las de ocho al 93% y si las contraseñas se reducen a seis caracteres la posibilidad de éxito asciende hasta el 100%.
Los investigadores también observaron variables adicionales que facilitaron que ThermoSecure adivinara las contraseñas. Una de ellas es el estilo de escritura, siendo más sencillo en aquellos usuarios que tienden a dejar los dedos sobre las teclas durante más tiempo, creando firmas de calor que duran más que los que los escriben más rápido. Y, otra segunda variable es el tipo de material del teclado, que puede afectar a su capacidad de absorber el calor y, en consecuencia, a la efectividad de los ataques térmicos. En las teclas de plástico ABS, ThermoSecure pudo adivinar con éxito las contraseñas la mitad de las veces aproximadamente mientras que en las teclas fabricadas con plástico PBT este porcentaje cae al 14%.
"Las contraseñas más largas son más difíciles de adivinar con precisión para ThermoSecure, por lo que recomendamos usar frases de contraseña largas siempre que sea posible. Las frases de contraseña más largas tardan más en escribirse, lo que también hace que sea más difícil obtener una lectura precisa en una cámara térmica, especialmente si el usuario es un mecanógrafo táctil. Los teclados retroiluminados también producen más calor, lo que hace que las lecturas térmicas precisas sean más difíciles, por lo que un teclado retroiluminado con plásticos PBT podría ser inherentemente más seguro", ha subrayado el Dr.Khamis, y ha apuntado:
"Finalmente, los usuarios pueden ayudar a que sus dispositivos y teclados sean más seguros mediante la adopción de métodos de autenticación alternativos, como la huella digital o el reconocimiento facial, que mitigan muchos de los riesgos de un ataque térmico. En mi equipo, hemos propuesto anteriormente esquemas de autenticación que se basan en movimientos oculares para ingresar la contraseña; La autenticación basada en la mirada es resistente a los ataques térmicos por diseño".