Hersengolven gebruiken om wachtwoorden te raden

De Epoc+ is een headset met hersengolfdetectie van $ 800 die op de markt wordt gebracht om emotionele toestanden zoals frustratie of opwinding te detecteren, en je in staat te stellen robots met je gedachten te besturen.

Nitesh Saxena , een universitair hoofddocent aan de Universiteit van Alabama in Birmingham, heeft aangetoond dat het software ook kan helpen bij het raden van pincodes en wachtwoorden door de hersengolven van een persoon te controleren. De studie voegt zich bij een kleine maar groeiende hoeveelheid bewijs over de beveiliging van herseninterfaces, waarvan onderzoekers zeggen dat zelfs de beperkte headsets die tegenwoordig beschikbaar zijn, betere beveiliging nodig hebben.

Ik zou zeggen dat het een risico is voor de apparaten van vandaag, en met meer geavanceerde apparaten zou in de toekomst veel meer kunnen worden gedaan, zegt Saxena, van de vooruitzichten dat privégegevens worden gestolen met een herseninterface. Mensen moeten nadenken over de privacy- en beveiligingsmodellen van deze interfaces. Facebook en een nieuwe startup van Elon Musk zijn enkele van degenen die werken aan geavanceerdere herseninterfaces die grotere veiligheidsrisico's met zich meebrengen (zie Met Neuralink belooft Elon Musk mens-tot-mens telepathie. Geloof het niet ).

De Epoc+, gemaakt door Emotiv, is een van de weinige apparaten op de markt die een headset met elektroden gebruiken om spanningsveranderingen in de buitenste laag van de hersenen te detecteren, een benadering die bekend staat als elektro-encefalografie of EEG. De gadgets worden gebruikt in onderzoek en geneeskunde voor taken als het besturen van robots en het diagnosticeren van hersenschudding, en worden verkocht aan consumenten als gamecontrollers (zie VR besturen met je geest).

EEG-signalen kunnen niet worden gebruikt om eenvoudigweg uit te lezen wat een persoon denkt of doet, en de controle die ze kunnen bieden als interfaces is relatief grof. Maar de experimenten van de Universiteit van Alabama dragen bij aan het bewijs dat ze nog steeds privé-informatie kunnen vrijgeven.

De nieuwe studie testte het idee dat een persoon die een gamesessie onderbreekt en inlogt op een bankrekening terwijl hij nog steeds een EEG-headset draagt, het risico kan lopen dat kwaadaardige software via hersengolven op persoonlijke inloggegevens snuffelt.

Mensen voerden eerst willekeurige pincodes en wachtwoorden in terwijl ze de headset droegen, waardoor software het verband kon leren tussen typen en hersengolven. Saxena zegt dat deze trainingsstap in de echte wereld kan worden bereikt door een game die gebruikers bijvoorbeeld vraagt ​​om tekst of codes in te voeren als onderdeel van het spel.

Na het observeren van een persoon die ongeveer 200 karakters invoert, kunnen algoritmen gefundeerde gissingen maken naar nieuwe karakters die een persoon heeft ingevoerd door alleen maar naar de EEG-gegevens te kijken. Dat zou een kwaadaardig spel bijvoorbeeld kunnen laten rondsnuffelen in iemand die een pauze neemt om op internet te gaan. Het is verre van perfect, maar het verkleint de kans op het raden van een viercijferige numerieke pincode van één op 10.000 tot één op 20, en vergroot de kans op het raden van een zesletterig wachtwoord met ongeveer 500.000 keer, tot ongeveer één op 500.

Gevraagd naar het onderzoek zei een woordvoerder van Emotiv dat zo'n aanval onpraktisch zou zijn. Gebruikers zouden achterdochtig worden als een programma hen door de training zou leiden die nodig is om software te laten raden naar karakters die ze invoeren, en Emotiv keurt alle software goed die verbinding maakt met zijn headsets, aldus de woordvoerder. Maar Alejandro Hernández, een beveiligingsonderzoeker bij IOActive, die de beveiliging van EEG-hardware en aanverwante software heeft beoordeeld, acht de aanval in Alabama 100 procent haalbaar. Zijn onderzoek wees uit dat veel EEG-software die tegenwoordig wordt gebruikt, niet goed is ontworpen en gemakkelijk te hacken is.

Onderzoekers van de Universiteit van Washington hebben een andere manier aangetoond om privé-informatie te extraheren met behulp van een EEG-headset. Ze creëerden games die subliminale afbeeldingen zoals banklogo's flitsten en noteerden wanneer de hersengolven van een persoon herkenning registreerden. Dat zou waardevolle gegevens kunnen opleveren voor phishingcampagnes of advertenties, of zelfs informatie over iemands seksuele geaardheid kunnen ontlokken, zegt Tamara Bonacci , een onderzoeker die bij het werk betrokken was.

Verwant verhaal

Lees volgende De startup Neurable denkt dat zijn hersencomputer-interface snel en nauwkeurig genoeg zal zijn om games in VR te spelen.

De Washington-groep zegt dat een van de redenen voor hun onderzoek de manier is waarop bedrijven op agressieve wijze brede gegevens hebben verzameld over het gebruik van internet en van mobiele apparaten door mensen, bijvoorbeeld om advertenties te targeten.

Zelfs zonder toegang tot hersengegevens zoeken bedrijven al naar emotionele aanwijzingen in tekst om de emotionele toestand van mensen te meten, en documenten gelekt naar de Australische krant- laten zien dat Facebook heeft overwogen om advertenties op tieners te richten op basis van hun emoties. Vorige maand riep een advocaat en ethicus aan de Universiteit van Zürich op tot de ontwikkeling van nieuwe wettelijke kaders rond neurotechnologie, waaronder een recht op mentale privacy.

Bonaci zegt dat bedrijven die aan EEG-headsets werken, zich nu met deze problemen moeten bezighouden, omdat er steeds meer op het spel staat naarmate de vooruitgang in machinaal leren onderzoekers helpt om steeds meer uit EEG-gegevens te halen. De verbeteringen zijn de afgelopen jaren enorm geweest en ik verwacht dat dit doorzet, zegt ze.

zich verstoppen