Un ataque de manchas es un ataque de extracción de información que distingue la contraseña ingresada en un dispositivo de pantalla táctil , como un teléfono inteligente o una tableta, de las manchas de huellas dactilares. Un equipo de investigadores de la Universidad de Pensilvania fue el primero en investigar este tipo de ataque en 2010. [1] [2] Un ataque ocurre cuando un usuario no autorizado está en posesión o está cerca del dispositivo de interés. El atacante se basa en detectar las manchas aceitosas producidas y dejadas por los dedos del usuario para encontrar el patrón o código necesario para acceder al dispositivo y su contenido. [2] Se pueden usar cámaras simples, luces, polvo para huellas dactilares y software de procesamiento de imágenes para capturar los depósitos de huellas dactilares creados cuando el usuario desbloquea su dispositivo. Con la iluminación y la configuración de la cámara adecuadas, las manchas de los dedos se pueden detectar fácilmente, y las manchas más fuertes se pueden usar para inferir los deslizamientos o toques de entrada más frecuentes del usuario. [1]
Los ataques de manchas son particularmente exitosos cuando se realizan en dispositivos que ofrecen números de identificación personal (PIN), contraseñas basadas en texto y contraseñas basadas en patrones como opciones de bloqueo. [3] Hay varias contramedidas propuestas para mitigar los ataques, como la biometría , TinyLock y SmudgeSafe, todos los cuales son esquemas de autenticación diferentes. [4] [5] [6] Muchos de estos métodos proporcionan formas de cubrir las manchas usando un método de trazos o implementar cambios aleatorios para que los inicios de sesión anteriores sean diferentes de la entrada actual.
El método de ataque de manchas contra las pantallas táctiles de los teléfonos inteligentes fue investigado por primera vez por un equipo de investigadores de la Universidad de Pensilvania y presentado en el 4º Taller USENIX sobre Tecnologías Ofensivas. El equipo clasificó el ataque como un ataque de canal lateral físico , en el que el canal lateral se lanza a partir de las interacciones entre un dedo y la pantalla táctil. La investigación fue ampliamente cubierta en la prensa técnica, incluidos informes en PC Pro , ZDNet , [7] y Engadget . [8] Los investigadores utilizaron las manchas dejadas en dos teléfonos inteligentes Android y pudieron descifrar la contraseña completamente el 68% del tiempo y parcialmente el 92% del tiempo en condiciones adecuadas. [1]
Una vez que se reconoció la amenaza, Whisper Systems presentó una aplicación en 2011 para mitigar el riesgo. La aplicación proporcionaba sus propias versiones de un bloqueo de patrón y autenticación con PIN que requerían que los usuarios completaran ciertas tareas para cubrir las manchas creadas durante el proceso de autenticación. Para la opción de verificación con PIN, las opciones numéricas estaban alineadas verticalmente y el usuario debía deslizar el dedo hacia abajo sobre el área manchada. Para el bloqueo de patrón, la aplicación presentaba una cuadrícula de 10x10 estrellas sobre la que los usuarios debían deslizar el dedo y resaltar antes de acceder a la pantalla de inicio. [9] [10]
La interpretación de las manchas en la pantalla requiere menos equipo y se necesita menos experiencia para ser un atacante. En combinación con las ramificaciones negativas para las víctimas de un ataque, existe mucha preocupación en relación con este tipo de ataque. El enfoque del ataque de manchas también podría aplicarse a otros dispositivos de pantalla táctil además de los teléfonos móviles que requieren un procedimiento de desbloqueo, como cajeros automáticos (ATM) , dispositivos de bloqueo domésticos y sistemas de entrada de PIN en tiendas de conveniencia. Aquellos que usan dispositivos o máquinas de pantalla táctil que contienen o almacenan información personal corren el riesgo de sufrir violaciones de datos. La tendencia humana a usar PIN y patrones mínimos y fáciles de recordar también conduce a contraseñas débiles , y las contraseñas de subespacios de contraseñas débiles aumentan la facilidad con la que los atacantes pueden decodificar las manchas. [11]
Los ataques de manchas son particularmente peligrosos, ya que las manchas de huellas dactilares pueden ser difíciles de eliminar de las pantallas táctiles, y la persistencia de estas huellas aumenta la amenaza de un ataque. El ataque no depende de encontrar huellas de manchas perfectas, y aún es posible que los atacantes descubran la contraseña incluso después de limpiar la pantalla con ropa o con huellas dactilares superpuestas. [2] Cha et al . [12] en su artículo, "Boosting the Guessing Attack Performance on Android Lock Patterns with Smudge Attacks", probaron un método de ataque llamado smug que combinaba ataques de manchas y ataques de adivinación pura. Descubrieron que incluso después de que se les pidió a los usuarios que usaran la aplicación de Facebook después de desbloquear el dispositivo, el 31,94% de los teléfonos fueron pirateados y se accedió a ellos. [12]
Otro peligro de los ataques de smudge es que el equipo básico necesario para realizar este ataque, una cámara y luces, es fácil de conseguir. Los kits de huellas dactilares también son un equipo accesible y adicional, pero no obligatorio, cuyo precio oscila entre 30 y 200 dólares. Estos kits aumentan la facilidad con la que un atacante puede acceder con éxito a un teléfono en posesión de un usuario. [13]
El equipo de la Universidad de Pensilvania identificó y consideró dos tipos de atacantes: pasivos y activos.
Un atacante activo se clasifica como alguien que tiene el dispositivo en la mano y controla la configuración y los ángulos de iluminación. Estos atacantes pueden alterar la pantalla táctil de manera que identifique mejor el PIN o el código de patrón al limpiarla o usar polvo para huellas dactilares. [2] Una configuración típica de un atacante activo podría incluir una cámara montada, el teléfono colocado sobre una superficie y una sola fuente de luz. Las ligeras variaciones en la configuración incluyen el tipo y el tamaño de la fuente de luz y la distancia entre la cámara y el teléfono. Un atacante más experimentado prestaría más atención al ángulo de la luz y la cámara, la fuente de iluminación y el tipo de cámara y lente utilizados para obtener la mejor imagen, teniendo en cuenta las sombras y las luces cuando la luz se refleja. [1]
Un atacante pasivo es un observador que no tiene el dispositivo en la mano y, en su lugar, tiene que realizar un ataque de tipo espionaje. [2] Esto significa que esperará la oportunidad adecuada para recopilar las imágenes de las huellas dactilares hasta que pueda hacerse con el dispositivo. El atacante pasivo no tiene control sobre la fuente de iluminación, el ángulo, la posición del teléfono ni el estado de la pantalla táctil. Depende del usuario autorizado y de su ubicación para obtener una imagen de buena calidad para descifrar el código de seguridad más adelante. [1]
Existen diferentes pasos y técnicas que los atacantes utilizan para aislar las manchas de huellas dactilares y determinar el patrón de bloqueo o el PIN. El atacante primero tiene que identificar el área exacta de la pantalla táctil, cualquier mancha relevante dentro de esa área y cualquier posible combinación o segmento de patrón. [12]
En los casos en los que las huellas dactilares no son muy visibles a simple vista, se utiliza un preprocesamiento para identificar las huellas dactilares más intactas determinadas por la cantidad de detalles de crestas que tienen. La selección de las huellas dactilares con más detalles de crestas diferencia entre las huellas dactilares del usuario y las de aquellos con quienes se comparte el dispositivo. [13] Al presionar un dedo sobre la superficie de la pantalla táctil para crear una huella dactilar, el líquido de los bordes de las crestas llena la región de contacto. Este líquido de huellas dactilares se compone de sustancias de la epidermis , las glándulas secretoras y contaminantes extrínsecos como suciedad o productos externos para la piel. A medida que se levanta la punta del dedo, el líquido también se retrae, dejando atrás los rastros sobrantes. [14] Los atacantes pueden usar polvo de huellas dactilares para espolvorear sobre estas manchas de aceite para revelar la huella dactilar visible y sus crestas. El polvo puede mejorar la reflexión difusa , que se refleja en superficies rugosas y hace que la mancha espolvoreada sea más visible para el ojo humano. Existen diferentes polvos para elegir según los colores que contrasten mejor con la pantalla táctil y el entorno. Algunos ejemplos de polvos son el aluminio, el bronce, el óxido cúprico, el hierro, el dióxido de titanio, el grafito, el polvo magnético y el fluorescente. Esta acción de espolvoreado también imita los procesos utilizados en una investigación de la escena del crimen. [13]
Para preservar las huellas dactilares se utiliza una cámara para capturar varias imágenes de las huellas dactilares o del teclado con diferentes variaciones de luz. Por lo general, las cámaras de alta resolución y las luces brillantes funcionan mejor para identificar manchas. El objetivo es limitar los reflejos y aislar las huellas dactilares claras. [13]
La visibilidad de la huella dactilar depende de la fuente de luz, el reflejo y las sombras. La pantalla táctil y la superficie de un dispositivo inteligente pueden tener diferentes reflejos que cambian la forma en que una persona ve la imagen de la huella dactilar. [13]
El mapeo de huellas dactilares utiliza las imágenes de manchas fotografiadas para determinar qué teclas se utilizaron al colocar las imágenes de manchas sobre el teclado o al comparar la imagen con una imagen de referencia. El mapeo de las posiciones de las manchas ayuda al atacante a determinar qué teclas pulsadas fueron utilizadas por el usuario autorizado. Primero, las huellas dactilares y las imágenes del teclado se redimensionan y se procesan para encontrar las áreas que ocupan las huellas dactilares y las teclas correspondientes. A continuación, se aplica el algoritmo de detección de bordes de Laplace para detectar los bordes de las crestas de un dedo, afinar la huella dactilar en general y eliminar cualquier mancha de fondo. Luego, la foto se convierte en una imagen binaria para crear un contraste entre las huellas dactilares blancas y el fondo negro. El uso de esta imagen con divisiones de cuadrícula también ayuda a aclarar dónde ha pulsado el usuario según las ubicaciones con la mayor cantidad de puntos blancos en cada área de la cuadrícula. [13]
En el caso de que haya varios usuarios, la agrupación de huellas dactilares puede ayudar a clasificar cuáles pertenecen a cada persona. Las huellas dactilares tienen crestas y valles, y su diferenciación está determinada por la estructura general y local de las crestas. Hay tres patrones de crestas de huellas dactilares ( arco , bucle y verticilo ) que representan la estructura general, y los extremos de las crestas o bifurcaciones representan la estructura local o los puntos de minucias . [4] Diferentes algoritmos incorporan estos rasgos y estructuras de las huellas dactilares para agruparlas e identificar las diferencias. Algunos ejemplos de algoritmos utilizados son Filterbank, el sistema de vectores de orientación adyacentes (AOV) y el filtro de correlación. [13]
Smug es un método de ataque específico que combina el procesamiento de imágenes con patrones de clasificación para descubrir contraseñas basadas en patrones. Primero, los atacantes toman una fotografía del área manchada usando una cámara e iluminación apropiadas. Usando un algoritmo de comparación de imágenes , la imagen capturada se compara con una fotografía de referencia del mismo dispositivo para extraer correctamente una fotografía recortada enfocada en las manchas. A continuación, los objetos manchados se identifican usando detección binaria de bordes Canny y transformación de Hough para mejorar la visibilidad de las ubicaciones de las huellas dactilares. Los posibles segmentos entre los deslizamientos y los puntos se detectan con un algoritmo para formar el patrón objetivo. Luego, los segmentos se filtran para eliminar los bordes no deseados y aislados para mantener solo los bordes que siguen la dirección del segmento. Estos segmentos se identifican al descubrir si la mancha entre dos puntos de la cuadrícula es parte de un patrón después de comparar la cantidad de objetos manchados con el umbral establecido. Por último, estos segmentos se utilizan en un modelo de contraseña para localizar posibles contraseñas (por ejemplo, el modelo de Markov de n -gramas ). Un experimento realizado descubrió que este método tuvo éxito en desbloquear 360 códigos de patrones el 74,17 % de las veces cuando se lo ayudó con ataques de manchas, una mejora en comparación con el 13,33 % de los ataques de adivinación pura. [12] [16]
Los ataques de smudge se pueden realizar en varios métodos de bloqueo de dispositivos inteligentes, como patrones de Android, PIN y contraseñas basadas en texto. Todos estos métodos de autenticación requieren que el usuario toque la pantalla para ingresar la combinación correcta, lo que genera susceptibilidad a ataques de smudge que buscan estas manchas. [17]
Los PIN no solo son susceptibles a ataques de smudge, sino también a otros ataques posibles a través de la observación directa, como ataques de espionaje o simplemente de adivinación, como ataques de fuerza bruta . También se usan mucho en transacciones electrónicas o para usar cajeros automáticos y otras situaciones bancarias. Si un PIN es compartido o robado, el dispositivo o la máquina no pueden detectar si el usuario es el propietario legítimo, ya que solo depende de si se ingresa el número correcto. En relación con los ataques de smudge, esto permite a los atacantes robar información fácilmente, ya que no hay otra forma de autenticar al usuario por quién es realmente. [18]
Los dispositivos de pantalla táctil que utilizan contraseñas basadas en texto contienen manchas de huellas dactilares en la ubicación de los números o letras correspondientes en el teclado alfanumérico. Los atacantes pueden usar esto para realizar el ataque de manchas. La desventaja de las contraseñas basadas en texto no es solo su vulnerabilidad a los ataques de manchas, sino también la tendencia de los usuarios a olvidar la contraseña. Esto hace que muchos usuarios usen algo que sea fácil de recordar o reutilicen múltiples contraseñas en diferentes plataformas. Estas contraseñas caen dentro de lo que se llama un subespacio de contraseña débil dentro del espacio de contraseña completo y hace que sea más fácil para los atacantes entrar mediante ataques de diccionario de fuerza bruta . [11] Un estudio de 2017 revisó 3289 contraseñas, y el 86% de ellas tenían algún tipo de similitud estructural, como contener palabras del diccionario y ser cortas. [19]
Draw-a-Secret es un esquema de autenticación gráfica que requiere que los usuarios dibujen líneas o puntos en una cuadrícula bidimensional. Una autenticación exitosa depende de si el usuario puede replicar exactamente la ruta dibujada. Android Pattern Password es una versión de Pass-Go que sigue el concepto de DAS. [20] [21]
Pass-Go utiliza una cuadrícula, por lo que no es necesario almacenar una base de datos gráfica y permite al usuario dibujar una contraseña tan larga como desee. A diferencia de DAS, el sistema se basa en seleccionar las intersecciones de una cuadrícula en lugar de las celdas de la pantalla, y los usuarios también pueden dibujar líneas diagonales. Tao y Adam, quienes propusieron este método, descubrieron que durante su estudio de tres meses, muchas personas dibujaron contraseñas con patrones más largos, lo que va en contra de la tendencia a elegir contraseñas mínimas y fáciles de recordar. [22]
El bloqueo de patrones de Android es un método gráfico de contraseñas introducido por Google en 2008, en el que los usuarios crean un patrón en una cuadrícula de 3x3 líneas conectadas. [16] Alrededor del 40% de los usuarios de Android utilizan el bloqueo de patrones para proteger sus teléfonos. [16] Hay 389.112 patrones posibles que el usuario puede dibujar. [23] Cada patrón debe contener al menos 4 puntos en la cuadrícula, utilizar cada punto de contacto una vez y no puede omitir puntos intermedios entre puntos a menos que se haya utilizado anteriormente. [21] Los dispositivos de pantalla táctil que utilizan el bloqueo de patrones de Android dejarán rastros que revelarán la ubicación y la combinación correctas que necesita un atacante para desbloquear el teléfono como usuario no autorizado. La seguridad del bloqueo de patrones de Android contra ataques de manchas fue probada por investigadores de la Universidad de Pensilvania, y a partir de los rastros que quedaron del patrón dibujado, pudieron discernir el código completamente el 68% del tiempo y parcialmente el 92% del tiempo en condiciones adecuadas. [1]
Recientemente se han implementado en dispositivos móviles métodos biométricos fisiológicos como Android Face Unlock, iPhone Touch ID y Face ID y Trusted Voice como método principal o alternativo de validación. También existen otras formas novedosas que tienen potencial para ser un futuro esquema de seguridad, pero que aún no se han implementado en el uso generalizado. [24] Algunas de estas formas evitan el requisito de ingresar algo con los dedos y, por lo tanto, eliminan la posibilidad de que los atacantes usen manchas para determinar el bloqueo de contraseña.
Aunque existen muchas contramedidas que ayudan a protegerse contra ataques de smudge, crear contraseñas seguras puede ser el primer paso para proteger un dispositivo. Algunos de los pasos recomendados son: [25]
Aunque estos son los consejos recomendados para crear contraseñas más seguras, los usuarios pueden quedarse sin opciones de contraseñas seguras que puedan recordar y luego olvidar la clave de acceso después de cambiarla con frecuencia. Para evitar esto, los usuarios tienden a elegir contraseñas cortas y más débiles para que sea más conveniente y acorte el tiempo de desbloqueo. [26]
Los investigadores han estudiado las propiedades antihuellas que pueden permitir a las personas mantener sus esquemas de contraseñas actuales y no preocuparse por las manchas restantes. Las superficies que pueden repeler el agua y los aceites del dedo se denominan lipofóbicas. Las superficies que tienen baja energía superficial y transparencia superficial (baja rugosidad) suelen ser antimanchas debido a sus mayores ángulos de contacto y baja atracción molecular . La baja atracción molecular significa que hay poca o ninguna adhesión para que las moléculas de aceite y agua se unan a la superficie y dejen un rastro. Sin embargo, lograr estas propiedades mientras sigue funcionando como una pantalla táctil es difícil, ya que la baja energía superficial altera la durabilidad y la funcionalidad de la propia pantalla táctil. [14]
Con esta investigación, se han lanzado al mercado varios protectores de pantalla antimanchas, como el protector de pantalla antirreflejos y antihuellas de Tech Armor y los protectores de pantalla antimicrobianos InvisibleShield Premium Film y Glass Elite ( vidrio templado ) de ZAGG. ZAGG comercializa su InvisibleShield como resistente a las manchas, al reflejo y a los arañazos. [27] Estos accesorios para teléfonos pueden costar entre 30 y 60 dólares. [28]
También ha habido varios teléfonos inteligentes en el mercado que se han promocionado como poseedores de un revestimiento oleofóbico , que resiste el aceite para mantener la pantalla táctil libre de huellas dactilares. La pantalla oleofóbica absorbe los residuos de aceite, evitando que se adhieran a la superficie y facilitando la limpieza de los residuos de los dedos sin manchar. [29] En julio de 2016, Blackberry lanzó el teléfono inteligente DTEK50 con un revestimiento oleofóbico. [30] [28] Otros desarrolladores de teléfonos han utilizado esto para las pantallas táctiles de sus dispositivos, como las muchas generaciones de iPhones de Apple, [31] [32] Nokia y Lumia y HTC Hero . [33]
La biometría es un tipo de autenticación que identifica a un usuario en función de su comportamiento o características físicas, como las pulsaciones de teclas , la forma de andar y el reconocimiento facial , en lugar de lo que uno puede recordar o memorizar. [4] Un sistema biométrico toma las características únicas del individuo y las registra como una plantilla biométrica, y la información se compara con la entrada capturada actual para autenticar a un usuario. [34] La biometría está categorizada como fisiológica o conductual por el Subcomité del Consejo Nacional de Ciencia y Tecnología de EE. UU. (NSTC) sobre Biometría. [35] Este tipo de seguridad puede servir como protección secundaria a los métodos de contraseña tradicionales que son susceptibles a ataques de borrado por sí solos, ya que no se basa en ingresar un número o patrón memorizado o recordar una imagen. La investigación realizada sobre la autenticación biométrica descubrió que una mezcla o híbrido de biometría y contraseñas o PIN tradicionales puede mejorar la seguridad y la facilidad de uso del sistema original. [36]
Una de las desventajas de la biometría son los ataques de mimetismo, en los que los atacantes imitan al usuario. Esto puede aumentar la vulnerabilidad del dispositivo si los atacantes recurren a métodos que les permitan copiar el comportamiento de la víctima. Algunos de estos métodos incluyen el uso de una aplicación basada en la realidad que guía a los atacantes al ingresar al teléfono de la víctima o el uso de una película transparente con punteros y señales de audio para imitar el comportamiento de la víctima. [37] Otra vulnerabilidad es que la plantilla biométrica puede filtrarse o robarse mediante piratería u otros medios diversos a personas no autorizadas. [38] [39] Una posible solución a cualquier robo, filtración o mimetismo son los esquemas de protección de plantillas de huellas dactilares, ya que dificultan que los atacantes accedan a la información mediante cifrado y técnicas adicionales. [36] [38]
La biometría fisiológica autentica a un usuario en función de sus características humanas. La medición de las características exclusivas de cada individuo crea un mecanismo estable y en su mayor parte consistente para autenticar a una persona, ya que estas características no cambian muy rápidamente. A continuación se enumeran algunos ejemplos de métodos de autenticación biométrica fisiológica. [35]
La biometría del comportamiento autentica a un usuario basándose en el comportamiento, los hábitos y las tendencias del usuario real. Algunos ejemplos incluyen el reconocimiento de voz , la forma de andar , el movimiento de las manos y la dinámica de pulsación de teclas . [35] Los esquemas que se enumeran a continuación se han propuesto para proteger específicamente contra los ataques de smudge.
SmudgeSafe es otro método de autenticación protegido contra ataques de smudge que utiliza transformaciones de imágenes en dos dimensiones para rotar, voltear o escalar la imagen en la página de inicio de sesión. El usuario dibujará un modelador gráfico de contraseñas creado a partir de los puntos de una imagen como de costumbre, pero la imagen se verá diferente cada vez que el usuario inicie sesión. Los cambios realizados en la imagen son aleatorios, por lo que los borrones de inicio de sesión anteriores no dan pistas a los atacantes sobre cuál es la entrada. Para garantizar que las transformaciones aplicadas cambien significativamente las ubicaciones de los puntos de contraseña, se restringe el área de estas ubicaciones específicas en la imagen. En un estudio que compara el método de autenticación gráfica de SmudgeSafe con patrones de bloqueo y PIN, SmudgeSafe tuvo el mejor desempeño con una media de 0,51 contraseñas adivinadas por participante. El bloqueo de patrones tuvo una media de 3,50 y los PIN tuvieron una media de 1,10 contraseñas adivinadas correctamente por participante. [6]
TinyLock fue propuesto por Kwon et al. [5] y utiliza dos cuadrículas; la superior es para las celdas presionadas para el proceso de confirmación, y la inferior es un panel de dibujo para el proceso de autenticación. [5] La cuadrícula superior se utiliza para notificar al usuario mediante parpadeo y vibración si el usuario está en el punto inicial correcto antes de comenzar a dibujar. La mitad inferior de la pantalla contiene una pequeña cuadrícula de 3 x 3 utilizada para dibujar la contraseña secreta. La cuadrícula es mucho más pequeña en tamaño en comparación con los bloqueos de patrones tradicionales, lo que obliga al usuario a dibujar en un espacio confinado para comprimir todas las manchas en un área pequeña. Este método mitiga los ataques de manchas porque todas las manchas se aplastan juntas, y los usuarios deben dibujar una rueda virtual circular en cualquier dirección después de dibujar la contraseña de patrón. Sin embargo, este método no está completamente libre de ataques de espionaje por encima del hombro. [20] Además, otro inconveniente es que los puntos de la cuadrícula son difíciles de visualizar debido al pequeño tamaño, lo que dificulta dibujar patrones complejos y desbloquear sin errores. [16]
ClickPattern utiliza una cuadrícula de 3 x 3 etiquetada del uno al nueve, y el usuario tiene que hacer clic en los nodos que se correlacionan con el final de una línea dibujada para evitar deslizar el dedo sobre la pantalla. Hacer esto crea manchas que son más difíciles de distinguir del uso normal de la pantalla. En todo caso, las manchas creadas revelarán los nodos utilizados, pero no el patrón, por lo que estará más protegido contra ataques de manchas que el bloqueo de patrones de Android. En la pantalla de bloqueo, ClickPattern consta de estos tres componentes: [42]
El usuario se autentica cuando el patrón introducido es el mismo que el patrón original y en el mismo orden y dirección exactos. Para crear un patrón válido, el patrón debe tener al menos 4 puntos y ninguno de ellos puede usarse más de una vez. El patrón también siempre contendrá puntos entre una secuencia, aunque no necesariamente sea necesario hacer clic en él. Los usuarios también pueden pasar por los puntos utilizados anteriormente para acceder a un nodo no utilizado. [42]
Esta autenticación multitáctil utiliza características geométricas y de comportamiento para verificar a los usuarios en un dispositivo de pantalla táctil. Según Song et al ., [43] este gesto TFST tarda una media de 0,75 segundos en desbloquearse, es muy fácil de usar y sencillo de seguir. El usuario junta de dos a cuatro dedos en posición recta, lo que disminuye la cantidad de superficie en comparación con otros métodos multitáctiles. Con los dedos en esta postura fija de la mano, el usuario puede elegir trazar un patrón simple o complejo, y la pantalla recogerá las posiciones de los dedos y registrará cada movimiento de trazado en forma de eventos táctiles. Estos eventos táctiles tienen en cuenta las coordenadas X e Y, la cantidad de presión aplicada, el tamaño del dedo, la marca de tiempo y el tamaño del área tocada, y se comparan con la plantilla creada durante el proceso de registro. [19] Las características fisiológicas o geometría de la mano incluyen una medición entre los posibles trazos del gesto realizado. Los trazos horizontales rastrean las diferencias de longitud de los dedos y los trazos verticales rastrean el ancho de los dedos. Como el usuario siempre coloca sus dedos en posición recta, las medidas del dedo permanecerán iguales y proporcionarán una verificación consistente. Por último, hay características de comportamiento que se rastrean, específicamente la longitud del trazo, el tiempo que lleva, la velocidad del trazo, la herramienta o el área para cada punto de contacto en relación con el tamaño del dedo, el tamaño del área de contacto, la presión aplicada y el ángulo del trazo. Para un trazo, hay 13 características de comportamiento, y esta cifra aumenta a 26, 39 y 52 para hasta cuatro trazos. [43]
Con la nueva tecnología orientada a crear una pantalla flexible para dispositivos de teléfonos inteligentes, existen más oportunidades para crear nuevos métodos de autenticación. Las contraseñas de flexión son un tipo original de autenticación de contraseñas que se utiliza para pantallas flexibles. Implica diferentes gestos de flexión que los usuarios realizan girando o desfigurando la superficie de la pantalla, y hay un total de 20 gestos disponibles actualmente. La flexión puede ser parte de un solo gesto al doblar individualmente una de las cuatro esquinas de la pantalla o parte de un gesto de flexión múltiple al doblar simultáneamente pares de esquinas. [44]
Un nuevo método de autenticación propuesto, denominado Técnica de Autenticación Basada en Fractales (FBAT, por sus siglas en inglés), utiliza el Triángulo de Sierpinski para autenticar a los usuarios. Este proceso combina la autenticación basada en reconocimiento y la basada en recordatorios, ya que los usuarios tienen que reconocer y hacer clic en sus triángulos de color preseleccionados a medida que aumenta el nivel de triángulos. En el caso de los teléfonos inteligentes, el nivel de triángulos se establece en 3 debido al tamaño limitado de la pantalla táctil, pero puede aumentar en el caso de las tabletas más grandes. En el nivel 3, la probabilidad de que un atacante adivine la contraseña es del 0,13 %. El método basado en reconocimiento requiere que los usuarios reconozcan imágenes preseleccionadas y el método gráfico basado en recordatorios requiere que los usuarios hagan clic en puntos preseleccionados de una imagen. En el triángulo de Sierpinski, se crea un patrón de color seleccionado durante el registro y se oculta en el dispositivo. Para autenticarse, el usuario debe seleccionar el patrón correcto en cada nivel mientras los triángulos se mezclan aleatoriamente. Dado que los triángulos de colores se generan aleatoriamente, se pueden encontrar en diferentes lugares para cada autenticación, por lo que dejan manchas que no dan ninguna pista a los posibles atacantes. Esta técnica se puede utilizar en dispositivos Android, cajeros automáticos, computadoras portátiles o cualquier dispositivo que utilice autenticación para desbloquear. [25]
Knock Code es un método de autenticación introducido por LG Electronics que permite a los usuarios desbloquear un teléfono sin encenderlo tocando el área correcta en la secuencia correcta. La pantalla se divide en cuatro secciones, con líneas verticales y horizontales que van cambiando. [45] Se han propuesto dos variantes de Knock Code: el código de toque 2 x 2 y el código de toque 1 x 2. Estas variantes pueden proteger contra ataques de manchas debido a las operaciones de deslizamiento que borran los golpes al final después de que se ingresan los toques. En un estudio de usuarios que comparó el Knock Code original y el Android Pattern Lock, estos esquemas de variación fueron más resistentes a los ataques de manchas. [20]
En la actualidad, se ha producido un movimiento hacia la autenticación biométrica fisiológica en la seguridad de los teléfonos inteligentes, como el reconocimiento de huellas dactilares y facial, que permite al usuario reemplazar sus PIN y códigos de acceso alfanuméricos. [4] Sin embargo, incluso los métodos de autenticación nuevos y avanzados tienen fallas y debilidades que los usuarios pueden aprovechar. Por ejemplo, en un examen de la autenticación táctil, los investigadores observaron un comportamiento de deslizamiento y presión de los dedos similar en una gran cantidad de usuarios de teléfonos, y esta información genérica puede ayudar a los atacantes a realizar ataques exitosos. [39] La investigación sobre biometría y métodos de autenticación multigestual continúa ayudando a combatir los ataques a las contraseñas tradicionales y eliminar las vulnerabilidades de los esquemas novedosos a medida que se desarrollan nuevas tendencias y nuevas tecnologías. [18]
{{cite web}}: CS1 maint: URL no apta ( enlace )