Un equipo de investigadores de las Universidades de Padua (Italia) y Delft (Países Bajos) ha publicado un método para usar el aprendizaje automático para recrear un PIN ingresado a partir de un video de un área de entrada cubierta a mano en un cajero automático. Al ingresar un PIN de 4 dígitos, la probabilidad de predecir el código correcto se estima en un 41%, dada la posibilidad de realizar tres intentos antes del bloqueo. Para códigos PIN de 5 dígitos, la probabilidad de predicción fue del 30%. Por separado, se realizó un experimento durante el cual 78 voluntarios intentaron predecir el código PIN a partir de videos grabados de manera similar. En este caso, la probabilidad de una predicción exitosa fue del 7.92% en presencia de tres intentos.
Al cubrir el panel digital del cajero automático con la palma de la mano, la parte de la mano que se utiliza para la entrada permanece descubierta, lo que es suficiente para predecir la presión cambiando la posición de la mano y moviendo los dedos cubiertos de forma incompleta. Al analizar la entrada de cada dígito, el sistema excluye las teclas que no se pueden presionar, teniendo en cuenta la posición de la mano que cubre, y también calcula las opciones más probables para presionar según la posición de la mano que presiona, en relación con la ubicación de las llaves. Para aumentar la probabilidad de determinar la entrada, se puede grabar adicionalmente el sonido de la pulsación, que es ligeramente diferente para cada tecla.
El experimento utilizó un sistema de aprendizaje automático basado en el uso de una red neuronal convolucional (CNN) y una red neuronal recurrente basada en la arquitectura LSTM (Long Short Term Memory). La CNN fue responsable de extraer los datos espaciales de cada cuadro, y la red LSTM usó estos datos para extraer los patrones variables en el tiempo. El modelo se entrenó en videos de 58 personas diferentes que ingresaban un código PIN utilizando métodos de cobertura de entrada elegidos por los participantes (cada participante ingresó 100 códigos diferentes, es decir, se usaron 5800 ejemplos de entrada para el entrenamiento). Durante la capacitación, se descubrió que la mayoría de los usuarios utilizan uno de los tres métodos principales para cubrir la entrada.
Para entrenar el modelo de aprendizaje automático se utilizó un servidor basado en un procesador Xeon E5-2670 con 128 GB de RAM y tres tarjetas Tesla K20m con 5 GB de memoria cada una. La parte del software está escrita en Python utilizando la biblioteca Keras y la plataforma Tensorflow. Dado que los paneles de entrada de cajeros automáticos son diferentes y el resultado de la predicción depende de características como el tamaño y la disposición de las teclas, se requiere un entrenamiento independiente para cada tipo de panel.
Como medidas de protección contra el método de ataque propuesto, se recomienda, si es posible, usar códigos PIN de 5 dígitos en lugar de 4, y también tratar de cubrir el mayor espacio de entrada posible con la mano (el método sigue siendo efectivo si alrededor de 75 % del área de entrada está cubierta con la mano). Se recomienda a los fabricantes de cajeros automáticos que utilicen pantallas protectoras especiales que oculten la entrada, así como paneles de entrada no mecánicos, sino táctiles, la posición de los números en los que cambia aleatoriamente.
Fuente: opennet.ru