一种基于内容查询的口令窃取侧信道分析

撰文 | 胡耀元

编辑 | 刘梦迪

口令（password）作为防止未经授权访问的第一道防线，是移动安全中认证用户的重要手段。在Android设备上，恶意软件经常使用无障碍服务来窃取用户口令。无障碍服务最初是为了帮助残疾用户使用安卓应用程序而设计的，但它很容易被恶意软件利用，收集口令等敏感信息。这是因为无障碍服务能够与受害应用程序交互，并在不涉及用户的情况下获取诸如前台窗口内容和应用程序生命周期等信息。攻击者可以利用无障碍服务通过可访问性事件被动收集用户凭据，也可以主动劫持输入或输出通道拦截用户凭据。

在2023年的NDSS会议上，来自东南大学的凌振老师团队提出一种基于内容查询的口令窃取侧信道分析方法。该团队发现安卓无障碍服务提供的API接口的漏洞，其可以绕过现有的口令窃取防御手段，通过编写恶意程序定位用户UI元素，进而窃取真实口令字段。

2.1 方法假设

作者提出的分析方法需要如下几个假设前提：

假设受害者已经在他们的Android移动设备上安装了恶意软件，并授予其访问服务权限。

假设受害者使用的是最新的Android手机，因为旧版本的Android更容易被已有的攻击所破坏。

假设受害者已经关闭了“使口令可见”选项，以防止通过可访问性事件直接提取口令字符。

2.2 方法内容

作者团队发现在Android无障碍服务提供的开发API中，findAccessibilityNodeInfosByText(text) 的作用是接受一个特定的字符串并返回包含该字符串的UI组件列表。而Android系统并没有阻止该API对口令输入框的搜索。因此，假设用户将其口令输入到口令输入框中，作为攻击者，我们可以通过调用findAccessibilityNodeInfosByText(text)并检查返回的列表是否包含口令输入框来查询用户的口令中是否包含特定字符串。随着用户不断输入口令，口令输入框中的文本也会随之发生变化，攻击者可能仅需要多次查询便可完全推导出口令。完整的分析流程如下图所示。

基于内容查询的口令窃取侧信道分析完整流程

从上图可以看出基于内容查询的口令窃取侧信道分析主要面临三个挑战：

挑战1：如何有效区分UI组件属性与实际口令文本？

作者团队提出懒惰查询算法，其可以有效区分UI组件属性与实际口令文本。

挑战2：如何有效得知开始查询的时间？

作者团队利用“轮询”的思想，使恶意程序始终查询口令输入框中字符串的长度，根据口令长度的增加来确定何时需要执行查询。

挑战3：如何区分口令文本的大小写？

作者团队利用时间侧信道的信息来区分所得到的口令文本的大小写。直观地说，如果在大写字母和小写字母之间切换，用户输入下一个字母可能需要更长的时间。这种时间差异可以用作侧通道，以检测用户何时在不同情况之间切换。

作者团队从大学校园招募了20名志愿者参与实验，志愿者使用的手机厂商、设备名称、操作系统如下表所示。

实验包含的手机厂商、设备名称、操作系统信息

志愿者被要求在自己的手机上安装指定的恶意软件和受害者应用程序，并允许恶意软件访问无障碍服务。然后，他们被要求使用他们常用的键盘在受害者应用程序中输入几个预先选择的真实口令。然后对实验中恶意软件收集的不区分大小写的口令和输入时间间隔序列进行处理，以评估恢复密码的效率。实验中使用的真实口令是从Rockyou口令数据集中选择的，具体实验中选择的口令表如下。

Rockyou password数据集中使用具体的密码表

为了确保志愿者对分配的口令熟悉，我们启发式地省略了输入口令前10次收集的数据，只考虑每个口令的最后10次用户输入作为实验的有效数据。口令恢复准确率如下图所示。

不同口令类型的密钥恢复准确率

在这项工作中，作者团队提出了一种新的基于内容查询的口令窃取侧信道分析方法。通过在Android无障碍服务中利用基于查询的侧通道，打破了现有的Android对口令窃取攻击的防御，并且可以在现实场景中被滥用来发起口令窃取攻击。为了更好的实现口令恢复，作者团队引入了用于消除查询结果歧义的惰性查询技术、用于确定查询时间的主动查询技术以及用于恢复区分大小写口令的时间侧通道信息和状态机。除此之外，作者团队经过大量的实验表明，该分析方法能够以很高的成功率窃取用户口令。

[1] Lei C, Ling Z, Zhang Y, et al. Do not give a dog bread every time he wags his tail: Stealing passwords through content queries (CONQUER) attacks[C]//The Network and Distributed System Security Symposium (NDSS). Internet Society, 2023.

• FREEEAGLE：一种针对深度神经网络的无数据后门检测方法

• 针对32位设备上Ascon密码算法的侧信道模板攻击