“加速度传感器是目前智能手机中最常见的一种嵌入式传感器，主要用于探测手机本身的移动，常见的应用场景包括移动检测、步数统计、游戏控制等。”任奎告诉记者，它之所以能被用来监听电话，主要是由于智能手机本身的物理结构，“由于声音信号是一种由震动产生的可以通过一些介质进行传播的声波，因此手机扬声器发出的声音会引起手机的震动，而加速度传感器可以准确感知到这些震动，因此攻击者可以通过它来捕捉声音信号引起的手机震动进而推断出其中所包含的敏感信息。”
; w0 q5 C4 ?, l0 X9 x1 l3 k 这个团队的实验结果显示，窃听语音的准确率与具体的窃听任务有关，在一些关键字的检测任务中，这种窃听攻击可以以平均90%的准确率识别并定位用户语音中所携带的关键字。攻击者在训练自己的模型时可以自行选择想要识别哪些关键字。在数字识别的任务中，这种窃听攻击可以以接近80%的准确率对0～9这10个数字的英文发音进行区分。准确率有所降低的原因是数字的发音较为简单，越复杂的词汇识别率越高。在实际攻击中，攻击者还能结合上下文信息和实际语言中各词汇的使用频率进一步提升窃听语音的准确率。
据了解，可以收集语音信息意味着攻击者可以从用户的手机中窃取多种隐私数据，比如通过窃听用户的电话、语音信息、语音备忘录等，可从中提取出用户的家庭住址、信用卡信息、身份证号、用户名密码等重要信息；通过窃听手机地图的语音导航系统，能提取出一些跟位置有关的关键字，推断出用户目前的位置、目的地；通过窃听用户手机播放的音乐和视频，能推断出用户在这些方面的偏好。总之，这是一种用途非常广泛的攻击方式，对用户隐私威胁很大。
$ g) F) O, Y! M7 y3 F “针对这次的研究发现，我们建议各大手机厂商提高加速度传感器的权限级别，尽量避免各类应用在非必要的情况下采集加速计数据。同时，各大厂商还应限制加速计的采样频率，或通过系统内置滤波器提前过滤掉加速度传感器信号中包含最多语音信息的高频部分。”任奎呼吁，为避免将来出现类似的漏洞，各大手机厂商应重新评估一些传感器的安全性和敏感性，修改操作系统对手机App调用各种传感器数据的使用权限，从系统层面来考虑杜绝未来的侧信道攻击路径。
据了解，目前，在法律法规方面，根据最新的《信息安全技术个人信息安全规范》和《关于开展App违法违规收集使用个人信息专项治理的公告》，对个人敏感信息的保护主要是对证件号码、银行账户、通信记录等具体的个人敏感信息进行保护，重点治理各类APP运营者违法违规收集个人信息的行为。由于加速计数据本身并不属于个人敏感信息，且攻击者可以通过记步软件等必须用到加速计的APP“合理合法”地对加速计数据进行收集，因此采集加速计数据本身并不违法。这就意味着，这种窃听方式游离在法律法规之外，处于一种灰色地带，除了在技术方面需要“打补丁”，在法律层面也亟需一定的规制。
) U0 D- Z# q$ B6 C文章来源：工人日报,若有不妥联系删帖。: e( g' X* @- P
( _5 q" R1 ^4 [/ y
/1 
发表于 2020-3-12 14:34
收藏
淘帖
支持！
反对！