سرقت کلمات عبور با امواج مغزی

به گزارش واحد امنیت سایبربان؛ هم‌اکنون شرکت‌ها و موسسه‌های بسیاری روی بهبود ارتباط انسان و رایانه کار می‌کنند. شرکت فیس‌بوک در زمان برگزاری اجلاس خود روشی را برای تایپ با امواج مغزی معرفی کرد. از طرفی ایلان ماسک نیز با تأسیس شرکت نیورالینک (Neuralink) قصد دارد ایمپلنتی ایجاد کند که با قرار گرفتن در مغز انسان‌ها، هوش مصنوعی و بیولوژیکی را با یکدیگر ترکیب کرده، امکان درمان بیماری‌های مغزی و ارتباط انسان‌ها با هم تنها از طریق فکر کردن را فراهم سازد. یکی از اصلی‌ترین موضوعات مطرح شده بعد از معرفی این دو فناوری مربوط به سطح امنیت و میزان کارایی آن‌ها است.
نیتش ساکسنا (Nitesh Saxena)، استاد دانشگاه آلابامای بیرمنگام انگلیس (University of Alabama)، نشان داد می‌توان با نظارت بر امواج مغزی توسط هدست‌ها، رمز عبور و پین کد نرم‌افزارها و ابزارهای مختلف را حدس زده و آن‌ها را به دست آورد. این تحقیق نشان می‌دهد که حتی هدست‌هایی با کاربری محدود امروزی نیز باید از امنیت بهتری برخوردار شوند.
ساکسنا با اشاره به اینکه می‌توان داده‌های خصوصی را با استفاده از رابط‌های مغزی سرقت کرد، گفت: «دستگاه‌های امروزی در برابر خطر یاد شده قرار دارند و هر چه ابزارها در آینده بیشتر پیشرفت کنند، این خطر نیز افزایش پیدا می‌کند. مردم باید به حریم خصوصی و امنیت این گونه رابط‌های کاربری نیز فکر کنند.»
برای انجام پژوهش یاد شده از هدستی به نام ایپوک پلاس (Epoc+)، ساخته‌ی شرکت ایمُتیو¹ (Emotiv) استفاده شد. ایپوک یک کلاه الکترومغزنگاری است که می‌تواند تغییر ولتاژ لایه‌های بیرونی مغز را تشخیص داده و ثبت کند. از این وسیله برای انجام کارهای مختلفی مانند تحقیقات، پزشکی، هدایت روبات‌ها، و حتی کنترل محیط بازی‌ها (مانند واقعیت مجازی) بهره گرفت.
سیگنال‌های الکترومغزنگاری نمی‌توانند به سادگی افکار کاربرها را خوانده یا کارهایی که انجام می‌دهند را مشخص کند؛ اما بر اساس تحقیقات دانشگاه آلاباما شواهدی وجود دارد که امکان نشت داده‌های شخصی را میسر می‌سازد.
برای بررسی نظریه‌ی بالا آزمایشی با کلاه ایپوک صورت گرفت. در این آزمایش فردی که در حال انجام بازی‌های ویدئویی بود بازی را متوقف کرده و بدون اینکه کلاه را از سر خود بردارد، به حساب بانکی خود وارد شد. این موضوع باعث شد تا فرد در برابر نرم‌افزارهای جاسوسی که توانایی خواندن اطلاعات شخصی از طریق امواج مغزی را دارند، قرار بگیرد.
مردم در زمان انجام بازی و استفاده از هدست یاد شده ابتدا کاراکترهایی را به صورت تصادفی وارد می‌کنند. این نرم‌افزار نیز می‌تواند ارتباط بین امواج مغزی و عبارت نوشته شده را بررسی کرده و الگوی آن را کشف کند. بعد از وارد شدن 200 حرف الگوریتم‌ها تنها با نگاه کردن به امواج مغزی قابلیت حدس زدن حرف‌های بعدی را دارند.
ساکسنا گفت: «مرحله‌ی آموزشی یاد شده می‌تواند در بازی‌های واقعی آینده نیز حضور پیدا کرده و از کاربران بخواهند به عنوان بخشی از روند بازی متن یا کد خاصی را وارد کنند.»
براساس گفته‌های ساکسنا احتمالاً بازی‌های ویرانگری به وجود خواهند آمد که می‌توانند فعالیت افراد مختلف در سطح اینترنت را ردیابی کنند. با وجود این که هک امواج مغزی در مراحل اولیه خود قرار دارد؛ اما نشان داده شد با کمک این روش حدس زدن یک پین کد 4 رقمی از احتمال یک به 10 هزار، به یک به 20 کاهش پیدا می‌کند. همچنین شانس تخمین یک رمز 6 حرفی از 500 هزار حالت ممکن به میزان یک به 500 کم می‌شود.
سخنگوی شرکت ایموتیو روش حمله‌ی یاد شده در بالا را تکذیب کرده و آن را غیرممکن می‌داند. وی معتقد است کاربران مطمئناً در صورتی که برنامه‌ها سعی کنند از طریق یک رابط آموزشی الگویی را شناسایی کنند، متوجه آن خواهند شد. در مقابل آلخاندرو هرناندز (Alejandro Hernández) محقق امنیتی آی.اُ.اکتیو² (IOActive) هک امواج مغزی شرح داده شده را 100 درصد امکان‌پذیر می‌داند. تحقیقات وی نشان می‌دهد بسیاری از نرم‌افزارهای کلاه‌های الکترومغزنگاری امروزی به راحتی هک می‌شوند.
گروهی از پژوهشگران دانشگاه واشنگتن روش متفاوتی را برای به دست آوردن اطلاعات خصوصی با استفاده از هدست‌های مذکور ایجاد کردند. آن‌ها یک بازی ویدئویی ایجاد کردند که در آن آرم مؤسسات بانکی مختلف به نمایش در آمده و زمانی که کاربر هر یک از علامت‌ها را شناسایی می‌کرد، امواج مغزی وی ثبت می‌گردید.
توماری بوناچی (Tamara Bonaci)، محقق دانشگاه واشنگتن توضیح داد با استفاده از بازی یاد شده یا نمونه‌های مشابه می‌توان به اطلاعات بسیار ارزشمندی برای انجام حملات فیشینگ دست پیدا کنند. همچنین به کمک آن می‌توان تبلیغات را به شکل هوشمندانه‌تری انجام داده و علایق یا حتی گرایش‌های فرد به موضوعات مختلف را نیز شناسایی کرد.
البته هم‌اکنون نیز شرکت‌های بسیاری وجود دارند که سعی دارند تنها از روی متن احساسات و سلیقه‌ی کاربران را تشخیص بدهند. به عنوان مثال می‌توان به اطلاعات لو رفته از فیس‌بوک اشاره کرد که نشان می‌دهد در حال مطالعه پست‌های نوجوانان استرالیا و نیوزلندی است تا بتواند برای آن‌ها تبلیغات هوشمند انجام بدهد. همچنین مدتی قبل در دانشگاه زوریخ چارچوب قانونی جدیدی برای حریم خصوصی ذهنی تصویب شد.
بوناچی به شرکت‌های تولیدکننده کلاه‌های الکترومغزنگاری توصیه کرده است تا از هم‌اکنون به فکر رفع مشکل امنیتی آن‌ها باشند؛ زیرا الگوریتم‌های یادگیری ماشینی به سرعت در حال پیشرفت بوده و با گذر زمان اطلاعات بیشتری را از امواج مغزی به دست می‌آورند و در اختیار محققان قرار می‌دهند.

______________________________

1- ایمُتیو یک شرکت فناوری آمریکایی است که روی تولید کلاه‌های الکترومغزنگاری پوشیدنی تمرکز می‌کند.
2- آی.اُ.اکتیو یک شرکت امنیتی آمریکایی است که در این زمینه به صورت جهانی مشاوره می‌دهد.