Hvordan malware kan spore din smartphone uden at bruge placeringsdata

Placeringsdata er nøje bevogtet af mange smartphonebrugere. Ingen vil tro, at de bliver sporet, selvom de har teknologien til at gøre det i deres egen lomme.

Det er derfor, Android- og iOS-operativsystemet forhindrer tredjepartsapps i at få adgang til placeringsdata uden brugerens specifikke tilladelse. Men det viser sig, at malware kan spore dig alligevel uden disse data.

I dag siger Yan Michalevsky ved Stanford University i Californien og få venner, at ondsindet software kan bestemme placeringen af ​​en smartphone blot ved at måle den måde, den bruger strømmen på. Vores tilgang muliggør kendt ruteidentifikation, realtidssporing og identifikation af en ny rute ved kun at analysere telefonens strømforbrug, siger de.

Teknikken er i teorien ligetil. Tanken er, at en smartphones strømforbrug i høj grad afhænger af afstanden fra den nærmeste basestation.

Når en bruger bevæger sig, ændres denne afstand, hvilket øger eller mindsker den nødvendige effekt for at kommunikere med en basestation. Så strømforbrugsprofilen er stærkt korreleret med telefonens bevægelse, eller med andre ord, med den rute, dens ejer har taget. Givet flere forskellige potentielle ruter, bør strømforbrugsprofilen afsløre, hvilke brugere har taget.

Der er et par forbehold. Den første er, at brugeren skal bevæge sig. Strømforbrugsprofilen kan ikke bruges til at identificere placeringen af ​​en stationær telefon. Det andet er, at denne teknik skelner mellem forskellige ruter, som aflytteren skal have selvstændig viden om.

For at finde ud af, hvor godt denne teknik fungerer i praksis, skabte Michalevsky og co en Android-app kaldet PowerSpy, der måler strømforbruget. De testede den derefter på en række Nexus 4-enheder. I alt tog de 43 forskellige strømforbrugsprofiler på fire forskellige ruter på hver omkring 14 kilometer lange.

De analyserede derefter strømforbrugsprofilerne for at se, om de kunne bestemme, hvilken rute der var taget for hver. Det viste sig, at de kunne gøre dette med en nøjagtighed på 93 pct.

Det er ret godt, da der altid er støj i form af strøm, der bruges af andre apps i løbet af dagen. Det viser sig at have ringe betydning. Michalevsky og co siger, at det er relativt ligetil at ignorere støjen, fordi den ikke er korreleret med ruterne. Vi viste, at applikationer, der læser telefonens amperemåler, kan få information om placeringen af ​​en mobilenhed uden at få adgang til GPS'en eller andre grove placeringsindikatorer, siger de.

Så hvad kan der gøres for at forhindre denne form for spionage? Michalevsky og co har overvejet en række ideer. En mulighed er at forhindre apps i overhovedet at få adgang til strømforbrugsdata, selvom dette sandsynligvis er overkill. En bedre mulighed er at give apps adgang til andre strømforbrugsdata end dem, der er involveret i radiokommunikation. Vi foreslår, at levering af kun målinger af den strøm, der forbruges af processorerne (eksklusive den strøm, der forbruges af TX/RX-kæden) kunne være en rimelig afvejning mellem funktionalitet og privatliv, siger de.

Det burde være ligetil at implementere, hvis Android eller iOS kan blive generet.

Michalevsky og cos arbejde giver et interessant bud på privatlivets fred, og hvordan det så let kan undermineres. Strømforbrug - hvem havde troet! Det er også en advarsel om, at uanset hvilke skridt der tages for at beskytte personlige data, vil der altid være måder, hvorpå de kan lække uventet.

Ref: arxiv.org/abs/1502.03182 : PowerSpy: Placeringssporing ved hjælp af strømanalyse af mobilenheder

skjule