בטח אמרו לך שזה מסוכן לפתוח קבצים מצורפים בלתי צפויים בדוא"ל שלך - ממש כמו שאסור לך לפתוח חבילות חשודות בתיבת הדואר שלך. אבל האם הוזהרת מפני סריקת קודי QR לא ידועים או סתם צילום עם הטלפון שלך? מחקר חדש מצביע על כך שתוקפי סייבר יכולים לנצל מצלמות וחיישנים בטלפונים ובמכשירים אחרים.
כמי שחוקר דוגמנות תלת מימד, לרבות הערכת אובייקטים מודפסים בתלת מימד כדי להיות בטוח שהם עומדים בתקני איכות, אני מודע לכך שאני פגיע לשיטות לאחסון קוד מחשב זדוני בעולם הפיזי. עבודת הקבוצה שלנו נמצאת במעבדה, ועדיין לא נתקלה בתוכנות זדוניות שהוסתרו בהוראות הדפסה בתלת מימד או מקודדות במבנה של פריט שנסרק. אבל אנחנו מתכוננים לאפשרות הזו.
כרגע, זה לא מאוד סביר מבחינתנו: תוקף יזדקק לידע מיוחד מאוד לגבי פונקציות המערכת שלנו כדי להצליח לתקוף אותו. אבל מגיע היום שבו חדירות יכולות לקרות באמצעות תקשורת רגילה עם או חישה המבוצעת על ידי מחשב או סמארטפון. מעצבי מוצרים ומשתמשים כאחד צריכים להיות מודעים לסיכונים.
העברת זיהום
על מנת שמכשיר יידבק או ייפגע, על הצד הרשע למצוא דרך לגרום למחשב לאחסן או לעבד את התוכנה הזדונית. ה בן אדם ליד המקלדת היה יעד נפוץ. תוקף עשוי לשלוח הודעת דואר אלקטרוני למשתמש שהוא זכה בלוטו או שהוא עומד להיות בצרות על כך שלא הגיב לממונה על העבודה. במקרים אחרים, וירוס נועד להיות מופעל באופן לא מודע על ידי פעילויות תוכנה שגרתיות.
חוקרים מאוניברסיטת וושינגטון בדקו אפשרות נוספת לאחרונה, הטמעת וירוס מחשב ב- DNA. החדשות הטובות הן שרוב המחשבים אינם יכולים לתפוס וירוס אלקטרוני מתוכנה גרועה - הנקראת תוכנה זדונית - המוטמעת בביולוגיה. ה זיהום DNA היה מבחן למושג תקיפת מחשב המצויד לקריאה נתונים דיגיטליים המאוחסנים ב- DNA.
באופן דומה, כאשר הצוות שלנו סורק אובייקט מודפס בתלת-ממד, אנו גם מאחסנים וגם מעבדים את הנתונים מהתמונות שאנו אוספים. אם תוקף ינתח את האופן שבו אנו עושים זאת, הם יכלו - אולי - לזהות שלב בתהליך שלנו אשר יהיה פגיע לחלק נתונים שנפגע או פגום. לאחר מכן, הם יצטרכו לתכנן עבורנו אובייקט לסריקה שיגרום לנו לקבל את הנתונים האלה.
קרוב יותר לבית, כאשר אתה סורק א QR קוד, המחשב או הטלפון שלך מעבד את הנתונים בקוד ונוקט פעולה כלשהי - אולי שולח דוא"ל או עובר לכתובת אתר מסוימת. תוקף יכול למצוא באג ביישום קורא קודים המאפשר לבצע טקסט מסוים המעוצב במדויק במקום לסרוק ולעבד אותו. או שיכול להיות משהו שנועד לפגוע בטלפון שלך ממתין באתר היעד.
חוסר דיוק כהגנה
החדשות הטובות הן שלרוב החיישנים יש פחות דיוק מאשר לרצפי DNA. לדוגמה, שתי מצלמות טלפון סלולרי המופנות לאותו נושא יאספו מידע שונה במקצת, בהתבסס על תאורה, מיקום המצלמה ומידת ההתקרבות שלה. אפילו וריאציות קטנות עלולות להפוך את תוכנת הזדוניות המקודדת לבלתי אפשרית, מכיוון שהנתונים החשים לא תמיד יהיו מדויקים מספיק לתרגם לתוכנת עבודה. אז לא סביר שהטלפון של אדם ייפרץ רק על ידי צילום של משהו.
אך חלק מהמערכות, כמו קוראי קוד QR, כוללות שיטות לתיקון חריגות בנתונים חשים. וכאשר סביבת החישה נשלטת מאוד, כמו אצלנו עבודות האחרונות להערכת הדפסה בתלת מימד, קל יותר לתוקף להשפיע על קריאות החיישן בצורה צפויה יותר.
מה שאולי הכי בעייתי הוא היכולת לחוש לספק שער למערכות שאחרות מאובטחות וקשות לתקיפה. לדוגמה, כדי למנוע את ההדבקה של מערכת חישת איכות ההדפסה התלת-ממדית שלנו על ידי התקפה קונבנציונלית, אנחנו מוּצָע הצבתו במחשב אחר, אחד מנותק מהאינטרנט ומקורות אחרים להתקפות סייבר אפשריות. אבל המערכת עדיין חייבת לסרוק את האובייקט המודפס בתלת מימד. אובייקט שתוכנן בזדון יכול להיות דרך לתקוף את המערכת המנותקת אחרת.
הקרנה למניעה
מפתחי תוכנה רבים עדיין לא חושבים על הפוטנציאל של האקרים לתפעל נתונים חשים. אבל בשנת 2011, האקרים ממשלת איראן הצליחו בכך ללכוד מזל"ט ריגול אמריקאי בדיוק בצורה הזו. מתכנתים ומנהלי מחשבים חייבים לוודא כי נתונים חשים יוקרנו לפני עיבודם וטיפולם בצורה מאובטחת, כדי למנוע חטיפה בלתי צפויה.
בנוסף לפיתוח תוכנות מאובטחות, סוג אחר של מערכת יכול לעזור: An מערכת איתור חדירה יכול לחפש התקפות נפוצות, התנהגות יוצאת דופן או אפילו כאשר דברים שצפויים לקרות לא עושים זאת. הם לא מושלמים, כמובן, לפעמים לא מצליח לזהות התקפות ובאחרים זיהוי שגוי של פעילויות לגיטימיות כתקיפות.
מכשירי מחשב שחשים ומשנים את הסביבה הופכים נפוצים יותר-בייצור רובוטים, רחפנים ומכוניות לנהיגה עצמית, בין דוגמאות רבות אחרות. כשזה קורה, פוטנציאל ההתקפות לכלול אלמנטים פיזיים ואלקטרוניים כאחד גדל באופן משמעותי. לתוקפים יתכן שזה יהיה מאוד אטרקטיבי להטמיע תוכנות זדוניות בעולם הפיזי, רק לחכות שאנשים חסרי חשד יסרקו אותה באמצעות סמארטפון או מכשיר מיוחד יותר. התוכנה הזדונית מוסתרת לעין, והופכת למעין "סוכן שינה" שיכול למנוע זיהוי עד שתגיע ליעדו - אולי עמוק בתוך בניין ממשלתי מאובטח, בנק או בית חולים.
על המחבר
ג'רמי שטראוב, פרופסור למדעי המחשב, צפון מדינת דקוטה
מאמר זה פורסם במקור ב שיחה. קרא את מאמר מקורי.
ספרים קשורים:
at InnerSelf Market ואמזון
