Il sensore di luce ambientale come strumento di spionaggio

Un articolo su Science Magazine pubblicato a metà gennaio descrive un metodo non banale per spiare gli utenti di smartphone attraverso un sensore di luce ambientale. Tutti gli smartphone e i tablet hanno questo componente integrato, così come molti laptop e televisori. Il suo compito principale è rilevare la quantità di luce nell’ambiente in cui si trova il dispositivo e modificare di conseguenza la luminosità del display.

Prima, tuttavia, dobbiamo spiegare perché un autore di minacce dovrebbe utilizzare uno strumento inadatto per l’acquisizione di filmati invece della normale fotocamera del dispositivo. Il motivo è che tali sensori “inadatti” di solito sono totalmente privi di protezione. Immaginiamo che un utente malintenzionato abbia indotto un utente a installare un programma dannoso sul proprio smartphone. Il malware farà fatica ad accedere ai componenti presi di mira solitamente, come il microfono o la fotocamera. Ma al sensore di luce? Un gioco da ragazzi.

I ricercatori hanno quindi dimostrato che questo sensore di luce ambientale può essere utilizzato al posto di una fotocamera, ad esempio per ottenere un’istantanea della mano dell’utente che immette un PIN su una tastiera virtuale. In teoria, analizzando tali dati, è possibile ricostruire la password stessa. Questo post spiega i dettagli in un linguaggio semplice.

“Scattare foto” con un sensore di luce. Fonte

Un sensore di luce è un componente tecnologico piuttosto primitivo. È una fotocellula sensibile alla luce per misurare l’intensità della luce ambientale più volte al secondo. Le fotocamere digitali utilizzano sensori di luce molto simili, anche se più piccoli, ma in gran numero (diversi milioni). L’obiettivo proietta un’immagine su questa matrice di fotocellule, viene misurata la luminosità di ciascun elemento e il risultato è una fotografia digitale. Potremmo quindi descrivere un sensore di luce come la fotocamera digitale più primitiva che ci sia: la sua risoluzione è esattamente di un pixel. Come potrebbe mai una cosa del genere acquisire ciò che accade intorno al dispositivo?

I ricercatori hanno utilizzato il principio di reciprocità di Helmholtz, formulato a metà del XIX secolo. Questo principio è ampiamente utilizzato nella grafica digitale, ad esempio, dove semplifica notevolmente i calcoli. Nel 2005, il principio ha costituito la base per la proposta del metodo fotografico duale. Prendiamo un’illustrazione da questo documento per supportare la spiegazione:

A sinistra c’è una fotografia reale dell’oggetto. A destra c’è un’immagine calcolata dal punto di vista della sorgente luminosa. Fonte

Immaginiamo di fotografare degli oggetti su un tavolo. Una lampada illumina gli oggetti, la luce riflessa colpisce l’obiettivo della fotocamera e il risultato è una fotografia. Niente di eccezionale. Nell’illustrazione precedente, l’immagine a sinistra è proprio questa: una normale foto. Successivamente, in termini notevolmente semplificati, i ricercatori hanno iniziato a modificare la luminosità della lampada e a registrare i cambiamenti nell’illuminazione. Di conseguenza, hanno raccolto informazioni sufficienti per ricostruire l’immagine a destra, scattata dal punto di vista della lampada. Non c’è una fotocamera in tale posizione e non c’è mai stata, ma in base alle misurazioni, la scena è stata ricostruita con successo.

La cosa più interessante di tutte è che questo trucco non richiede nemmeno una fotocamera. Sarà sufficiente una semplice fotoresistenza… proprio come quella di un sensore di luce ambientale. Una fotoresistenza (o “fotocamera a pixel singolo”) misura i cambiamenti nella luce riflessa dagli oggetti e questi dati vengono utilizzati per creare una fotografia. La qualità dell’immagine sarà bassa e sarà necessario eseguire molte misurazioni (centinaia o migliaia).

Configurazione sperimentale: un tablet Samsung Galaxy View e la mano di un manichino. Fonte

Torniamo allo studio e al sensore di luce. Gli autori dell’articolo hanno utilizzato un tablet Samsung Galaxy View abbastanza grande con un display da 17 pollici. Sullo schermo del tablet erano visualizzati vari schemi di rettangoli in bianco e nero. Un manichino è stato posizionato di fronte allo schermo, nel ruolo di un utente che digita qualcosa sulla tastiera su schermo. Il sensore di luce ha acquisito i cambiamenti di luminosità. In diverse centinaia di misurazioni come questa, è stata prodotta un’immagine della mano del manichino. In altre parole, gli autori hanno applicato il principio di reciprocità di Helmholtz per ottenere una fotografia della mano, scattata dal punto di vista dello schermo. I ricercatori hanno trasformato efficacemente il display del tablet in una fotocamera di qualità estremamente bassa.

Confronto tra gli oggetti reali davanti al tablet e ciò che ha acquisito il sensore di luce. Fonte

Effettivamente l’immagine non è delle più nitide. L’immagine in alto a sinistra mostra ciò che doveva essere acquisito: in un caso, il palmo aperto del manichino, nell’altro come appare l'”utente” che tocca qualcosa sul display. Le immagini al centro sono una “foto” ricostruita con una risoluzione di 32×32 pixel, in cui non è visibile quasi nulla: c’è troppo rumore nei dati. Tuttavia, con l’aiuto di algoritmi di apprendimento automatico, il rumore è stato filtrato per produrre le immagini a destra, dove possiamo distinguere la posizione di una mano dall’altra. Gli autori dell’articolo forniscono altri esempi dei tipici gesti che le persone compiono quando utilizzano un tablet touchscreen. O meglio, esempi di come sono riusciti a “fotografarli”:

Acquisizione di varie posizioni delle mani utilizzando un sensore di luce. Fonte

Possiamo applicare questo metodo nella pratica? È possibile monitorare il modo in cui l’utente interagisce con il touchscreen di un tablet o uno smartphone? Come digita il testo sulla tastiera su schermo? Come inserisce i dati della carta di credito? Come apre le app? Fortunatamente, non è così semplice. Osserva le didascalie sopra le “fotografie” nell’illustrazione precedente. Mostrano quanto funziona lentamente questo metodo. Nella migliore delle ipotesi, i ricercatori sono stati in grado di ricostruire una “foto” della mano in poco più di tre minuti. L’immagine nell’illustrazione precedente ha richiesto 17 minuti per l’acquisizione. La sorveglianza in tempo reale a tali velocità è fuori discussione. Ora è anche chiaro il motivo per cui la maggior parte degli esperimenti prevedeva la mano di un manichino: un essere umano semplicemente non può tenere la mano immobile per così tanto tempo.

Ma questo non esclude la possibilità di migliorare il metodo. Consideriamo lo scenario peggiore: se l’immagine di ciascuna mano potesse essere ottenuta non in tre minuti, ma, ad esempio, in mezzo secondo; se l’output sullo schermo non fosse una strana figura in bianco e nero, ma un video o una serie di immagini o un’animazione di interesse per l’utente; e se l’utente facesse qualcosa che vale la pena spiare… in questo caso l’attacco avrebbe senso. Ma anche in questo caso, non avrebbe molto senso. Tutti gli sforzi dei ricercatori sono vanificati dal fatto che se un utente malintenzionato è riuscito a far penetrare un malware nel dispositivo della vittima, ci sono molti modi più semplici per indurlo a inserire una password o un numero di carta di credito. Forse per la prima volta nel trattare documenti di questo tipo (esempi: uno, due, tre, quattro), facciamo fatica persino a immaginare uno scenario reale per un simile attacco.

Possiamo solo stupirci della bellezza del metodo proposto. Questa ricerca serve come ulteriore promemoria del fatto che i dispositivi apparentemente familiari e poco appariscenti da cui siamo circondati possono contenere funzionalità insolite e meno conosciute. Detto questo, per chi è preoccupato per questa potenziale violazione della privacy, la soluzione è semplice. Tali immagini di bassa qualità sono dovute al fatto che il sensore di luce esegue misurazioni abbastanza di rado: 10-20 volte al secondo. Anche i dati di output mancano di precisione. Tuttavia, questo è rilevante solo per trasformare il sensore in una fotocamera. Per l’attività principale, la misurazione della luce ambientale, questa percentuale è persino troppo alta. Possiamo “approssimare” i dati ancora di più, trasmettendoli, ad esempio, cinque volte al secondo anziché 20. Per adattare la luminosità dello schermo in base al livello di luce ambientale, è più che sufficiente. Ma spiare attraverso il sensore (cosa già improbabile) diventerebbe impossibile. Forse è meglio così.