是否可以使用用于输入密码的键盘图片来改进密码的暴力猜测?

信息安全 密码 蛮力 身体的 社会工程学 字典
2021-08-22 21:08:07

将键盘的照片发布到社交媒体上是不是一个坏主意?

我可以查看键盘照片并确定帐户密码吗?

假设某个(一组)密码是给定键盘上最常输入的字符序列:

  • 通过分析键盘上的油脂图案,该键盘照片中的分辨率是否足以确定最常用的一组按键?

  • 如果我知道最常用的键,那么现在暴力攻击是否可行,因为我可以限制字典的大小?

这个问题的灵感来自一次我看到一扇由数字键盘保护的门,其中三个键上的油漆缺失。房间号是三位数,每个房间的钥匙上都没有油漆。不出所料,组合是房间号颠倒了。

4个回答

在某些情况下是的,您可以通过磨损痕迹猜出最常用的按键。这就是我知道我显然经常使用 L、M、N、A 和 E 键的原因——这些键现在只是黑色的,字母褪色了。

并且一个特殊键的使用率明显高于其他键 - 除非它是“{”、“}”或“;” 而你恰好是一名程序员——可以允许将其包含在暴力破解中,或者排除其他人(这绝对不是我的键盘,但仍然):

脏键盘——不是我的!

但大多数人不只是为了密码而使用键盘,而且磨损模式还受到敲击方向、角度和压力的影响——键盘下方的键与更近的键的按下方式不同。我穿得更快的钥匙似乎正好在控制它们的手下,现在我注意到了,我比其他人更用力地敲击它们(好吧,我也是一个可怕的打字员)。

键盘可能会(微弱地)提示最常输入的单词或其字谜可能是什么。但这与您的密码不同,除非在非常特殊的情况下(例如输入键盘)。

在更具体的情况下,例如热传导输入键盘、FIR 或在打字后立即拍摄的强紫外线照片,以便可以欣赏到皮肤油脂的余热或荧光或相位干扰,您可能会得到一些东西。但是一张普通的图片没有传达这样的信息。

所以我的观点是键盘图片大多是无害的。

另一方面,我有时会在显示器和自拍人背后的木板上看到带有字母和数字的便利贴,所以我还要说,查看照片(以及其他任何东西)总是一个好主意) 你在社交媒体上发帖,用攻击者的眼光看商品:

  • (破损/有缺陷/jimmied?)锁和/或对研究方法有用的品牌名称的内部视图
  • 关于位置的提示(这可能与确定您是否在国外度假以及估计您的房屋将空置多长时间有关)
  • 有价值的物品(可能会给人们关于它们或您的财富的想法,这可以给人们一些想法)
  • 显示的内容与您告诉任何可能了解的人(例如雇主、保险公司、重要的其他人等)之间的差异。

至少有一次,在这个答案发布几个月后,最后一个案例实际上发生了

有两种不同的情况。如果键盘仅用于输入密码,这将是一个有效的问题。门上的数字键盘,这是你不应该在社交媒体上发布的东西。但是您可以通过说您的键盘上有可能包含在您的凭据中的特殊字符来争论这一点,因为通常我们在日常工作中不会经常使用这些字符。因此,在您在社交媒体上发布图片之前,您最好先看看您的键盘 :)

仅当键盘的唯一目的是键入一个密码时。

否则,您会发现元音、WASD 和修饰符等更常用的键也会有油渍和磨损迹象。如果密码是包含自然语言的密码短语,则变得尤其困难。

最大的区别在于规模。锁上的键盘通常只用于输入密码,因此密码钥匙是唯一被使用和佩戴的钥匙。“任何给定的键盘”通常不仅仅用于输入密码。

键盘上还使用了许多其他攻击方式:摄像机监视您输入密码、热感应 (flir),甚至使用指纹粉末查看最常用的按键。(感谢布赖恩·布拉伍德)

我用我的前三个手指覆盖整行数字来解决这个问题,我遍历并触摸每个键,无论它是否在组合中。