Vos codes secrets sur le bout des doigts

L’idée n’est pas nouvelle, mais des chercheurs ont étudié la technique de récupération de mots de passe à l’aide d’une caméra thermique, en se basant sur le transfert de chaleur entre les doigts et les touches d’un clavier. En filmant le clavier d’un DAB après une personne qui vient de passer, il est possible de deviner le code de carte bancaire utilisé par cette personne.

Ce genre d’attaque avait été déjà tenté sur les serrures à clavier, et les recherches progressent sur les écrans tactiles de vos smartphones.

Des chercheurs ont publié une étude à l’occasion du WOOT 2011 (Workshop On Offensive Technologies) qui démontre que les touches de claviers utilisées emmagasinent la chaleur des doigts. On passe donc de 10 000 codes possibles aux 4!=24 combinaisons possibles avec 4 chiffres. Avec seulement 3 essais possibles sur un distributeur, nous serions quand même à l’abri?

C’était sans compter sur cette chaleur, qui s’estompe de 80% après 10 secondes, de 60% après 45 secondes, ce qui permet directement de deviner l’ordre dans lequel ont été tapées les touches. En effet, la dissipation de la chaleur permet de deviner même l’ordre des touches tapées, la première touche étant plus froide que la dernière. La technique ne fonctionne pas bien avec des claviers en métal, à cause de la conductivité thermique élevée de cette matière, mais fonctionne sans soucis sur les claviers en plastique.

La rémanence de la chaleur des touches laisse à l’attaquant quelques minutes après votre départ pour percer votre code secret, cela dépendra de la sensibilité de la caméra thermique employée. Combiné à un vol de carte ou une copie par skimming, votre compte bancaire n’est plus à l’abri!

Insuffisant de cacher le clavier avec votre autre main pour éviter les regards indiscrets, une caméra thermique sera efficace pour faire apparaître les points de chaleur une fois le code tapé. La parade est toute fois simple : taper sur d’autres touches après le code ou composer son code sur le clavier avec un matériau intermédiaire (une pièce, un capuchon de stylo, un cure dent, une clef).

Sources :
- publication « Characterizing the efficacy of thermal camera-based attacks »- article du 19 août 2011 sur Korben.info
- article du 17 août 2011 sur NakedSecurity