Pincode publiek geheim

Je moet je pincode geheim houden is het devies.
Maar ook al doe je dat, dan nog zijn er gevallen
bekend waar geld wordt afgeschreven.  De banken
zijn niet snel geneigd om te vergoeden.  Pincodes
worden namelijk via familyfraud misbruikt of
middels shouldering geoogst door onverlaten.
Dus niet doorgeven aan je naasten en wat je intikt
uit het zicht houden.  Maar helpt dat wel?

Er is onderzoek waaruit blijkt dat het geluid van
een keyboard al genoeg is om te weten wat men
intikt.  Uiteraard moet je dan wel dat geluid
opnemen, en zorgen dat het algoritme de
toetsaanslagen kent.  Dus dat is nogal omslachtig.
Wat je er tegen kunt doen?  Hardop zingen tijdens
het intikken van je pincode!

Naast acoustic eavesdropping kan men tegenwoordig
ook via camera's in smartphones en Google Glasses
op afstand meekijken naar je pincode.  Het is
zelfs mogelijk pincodes te achterhalen zonder dat
je precies ziet wat wordt ingetikt.  Dit meet men
af aan de bewegingen van de hand.  Dit werkt zelfs
op afstand met een success rate van 100% zo blijkt
uit een presentatie van een student op de Black
Hat conferentie van 2014.  En deze aanval kan
geautomatiseerd worden.  Kortom hang een camera op
aan de overkant van de weg en oogst pincodes.
Tijdens het hardop zingen dus ook met je handen
een funny walk van John Cleese proberen te
imiteren bij het intoetsen van je pincode.

Wat ook helpt is een privacy enhancing keyboard.
De tekens die je in moet tikken worden random
aangeboden.  Dus welke posities je raakt weet men
dan wel te achterhalen maar omdat het keyboard
elke keer anders is, weet je niet wat er dan is
ingetikt.  Handig als je je pincode goed onthouden
kan vanwege een symmetrisch patroon op het keypad
zoals 1-3-9-7!

De akoestische en visuele methodes hebben gemeen
dat er wat gedoe aan te pas komt om pincodes te
achterhalen.  Er is sinds kort een heel goedkoop
en gemakkelijk alternatief.  Dat is thermisch
afluisteren.  Er is een adaptertje op de markt
gekomen van Flir, dat je aan een smartphone kunt
koppelen.  Deze adapter maakt van je smartphone
een infraroodcamera.  Heel handig als je een
waterlek wilt opsporen, of een kat in de donkere
tuin zoekt die maar niet binnen wil komen.  En
verdomd handig om een pincode af te luisteren.

Op YouTube is een filmpje verschenen van Mark
Rober waarin hij dit pijnlijk eenvoudig
demonstreert.  Een nietsvermoedende klant gaat een
product afrekenen bij de kassa en betaalt via een
POS terminal van de winkel.  Mark loopt er
nonchalant langs om zijn aankoop te doen en stopt
even met appen of muziek luisteren, althans zo
lijkt het.  In werkelijkheid neemt bij een
infrarood foto van de net bediende POS terminal
terwijl hij zijn aankoop doet.  Die thermische
signaturen blijven minutenlang zichtbaar.

Het is tegenwoordig totaal onverdacht dat iemand
met een of ander scan apparaatje rondloopt omdat
het alledaagse beeld van de appende medemens al zo
is ingeburgerd in onze maatschappij.  Tien jaar
geleden zou dat er zeker verdacht uitgezien
hebben.  Toen had je nog geen geminiaturiseerde
infraroodcamera's.  Het zet je wel aan het denken
door onopgeloste pinfraudes van weleer.  Wat nu
als onverlaten in het verleden toch zo'n camera in
een kinderwagen hebben gemonteerd?  En dan overal
en nergens pincodes aflezen en proberen de pasjes
te stelen.

Inderdaad: in 2005 liet iemand op Internet al zien
hoe je met een Flir handheld infraroodcamera van
vele duizenden dollars een safe kon openkrijgen
door een thermogram te nemen van de keypad van het
elektronische cijferslot van een net bediende
kluis.  De apparatuur was dusdanig gevoelig dat
het de tijdsvolgorde vasthield: hoe roder het
beeld, hoe later het cijfer was ingetoetst.  Dus
van geel naar rood gaf de juiste cijfercombinatie
in de juiste volgorde in een klap weer.

Tien jaar later heeft diezelfde Flir dus nu hun
uiterst gevoelige infraroodcamera's
geminiaturiseerd en de prijs is meegekrompen: 350
dollar aldus de website.  Daarmee is het aflezen
van pincodes, kluiscodes of toegangscodes voor
iedereen toegankelijk geworden.  De waarschuwingen
van tien jaar terug zijn massaal in de wind
geslagen want het stikt nog van de keypads die de
warmte zo slecht geleiden dat een thermogram de
meeste pincodes nog na minuten prijs geeft.

Dus als je bankrekening leeggeroofd is, en je hebt
je pincode werkelijk niet prijs gegeven, dan is
het toch goed mogelijk dat deze is achterhaald via
een thermogram.  De POS terminal zoal wij hem
kennen heeft wat mij betreft zijn langste tijd
gehad.  Een radicaal nieuw design is nodig om
veilig elektronisch te kunnen betalen want met de
komst van smartphones en hun oneindige reeks aan
toepassingen is je pincode binnenkort een publiek
geheim.

X

Meer weten over de wondere wereld van ICT
in Jip en Janneke taal? Ga dan naar de
knipselkrant van Chris Verhoef

Prof. dr Chris Verhoef is hoogleraar informatica
aan de Vrije Universiteit in Amsterdam en
wetenschappelijk adviseur voor overheid en
bedrijfsleven.  Hij schrijft regelmatig een
column in de AG.  Hij is te bereiken via email:
x@cs.vu.nl.  Deze tekst is copyright SDU.  Niets
van deze uitgave mag zonder schriftelijke
toestemming van de uitgever worden overgenomen of
worden gepubliceerd.