एक एआई विधि जो एटीएम पर ‘शील्डेड’ पिन प्रविष्टियों को प्रकट करती है

इटली और नीदरलैंड्स के शोधकर्ताओं ने एक मशीन लर्निंग विधि विकसित की है जो एक बैंक ग्राहक द्वारा एटीएम में डाले गए पिन नंबर का अनुमान लगा सकती है, यहां तक कि जब ग्राहक अपने हाथ को कवर करता है तो भी – शोल्डर-सर्फिंग से बचाव के लिए।

विधि में एक कन्वोल्यूशनल न्यूरल नेटवर्क (सीएनएन) और एक लॉन्ग शॉर्ट-टर्म मेमोरी (एलएसटीएम) मॉड्यूल को प्रशिक्षित करना शामिल है, जो ‘शैडो’ एटीएम पर ‘कवर्ड हैंड’ पिन प्रविष्टियों के वीडियो पर प्रशिक्षित होता है, जिसमें लक्ष्य एटीएम के समान कीपैड होता है – जो उपकरण खरीदा जा सकता है, जैसा कि शोधकर्ताओं ने परियोजना के लिए किया था, एक ‘मिरर’ एटीएम बनाने के लिए डेटा इकट्ठा करने के लिए।

नकली एटीएम को निजी तौर पर प्रशिक्षित किया जा सकता है, जैसा कि शोधकर्ताओं ने किया है, सार्वजनिक स्थापना के जोखिम को समाप्त करते हुए नकली एटीएम, इस प्रकार के अपराध में एक सामान्य मोडस ऑपरेंडी।

बाएं, इतालवी शोध के लिए दो पिन पैड मॉडल। दाएं, ‘शैडो’ एटीएम जिसे शोधकर्ताओं ने प्रयोगशाला स्थितियों में बनाया था। स्रोत: https://arxiv.org/pdf/2110.08113.pdf

सिस्टम, जो हाथ की गति और स्थिति पर निर्भर करता है जब पिन इनपुट किया जाता है, वर्तमान में 41% 4-डिजिट पिन और 30% 5-डिजिट पिन नंबरों का अनुमान लगा सकता है तीन प्रयासों के भीतर (आम तौर पर एक बैंक द्वारा अनुमत अधिकतम प्रयासों की संख्या एक ग्राहक के खाते को लॉक करने से पहले)। परीक्षणों में 58 स्वयंसेवकों ने यादृच्छिक पिन नंबरों का उपयोग किया।

शोध, जिसका डेटा सार्वजनिक रूप से उपलब्ध है, यह पता चलता है कि प्रस्तावित प्रणाली एक मानव की क्षमता को चार गुना बढ़ाती है पिन का अनुमान लगाने में जब किसी पीड़ित को शोल्डर-सर्फिंग किया जाता है।

शोध पत्र, जिसका शीर्षक हैंड मी योर पिन! इन्फरिंग एटीएम पिन्स ऑफ यूजर्स टाइपिंग विद ए कवर्ड हैंड है, पांच शोधकर्ताओं द्वारा लिखा गया है पадуआ विश्वविद्यालय से, और एक द्वारा डेल्फ्ट यूनिवर्सिटी ऑफ टेक्नोलॉजी से।

शोधकर्ताओं ने उन कैप्चर को बाहर रखा जहां विषयों ने पिन पैड को पर्याप्त रूप से कवर नहीं किया (बाएं)।

शोधकर्ता दावा करते हैं कि उनकी प्रणाली समय, ध्वनि और थर्मल हस्ताक्षर पर आधारित पिछले काम से बेहतर परिणाम प्राप्त करती है, बिना वीडियो विश्लेषण घटक के।

वे यह भी ध्यान देते हैं कि ‘स्किमिंग’ डिवाइसों के बारे में बढ़ती जागरूकता कार्ड इनपुट स्लॉट के आसपास केंद्रित है, क्योंकि यह एक पारंपरिक हमले का तरीका है, और ग्राहकों को यह मानने का कोई कारण नहीं है कि कोई भी छिपी हुई माइक्रो-कैमरे उनके कवर्ड हाथों के माध्यम से ‘देख’ सकते हैं, या कि कुंजीपटल और प्रत्येक कुंजी दबाने के लिए समान फीडबैक ध्वनि का सामान्य क्लैटर कोई जानकारी प्रदान कर सकता है।

एटीएम के ‘अद्धितीय’ उपकरण इसलिए ऐसे स्थान पर दिखाई देंगे जहां कोई भी इसकी उम्मीद नहीं करेगा, एटीएम के ऊपरी आंतरिक सतह के नीचे, एक मोल्डेड एनक्लोजर के रूप में कैमरा उपकरण को छिपाते हुए – या यहां तक कि पूरी तरह से एटीएम सतह के बाहर, एक निकटतम भवन या पोस्ट से जुड़ा हुआ।

पिन मनी

इसके गंभीर परिणामों के बावजूद, पिन नंबर हमारे द्वारा उपयोग किए जाने वाले सबसे छोटे और सबसे आसानी से अनुमान लगाने वाले पासवर्ड हैं; अनुमान लगाया गया है कि एक हमलावर को पहले ही 1-में-10 का मौका मिल चुका है पिन को सही ढंग से अनुमान लगाने का। सामाजिक इंजीनियरिंग हमेशा आवश्यक नहीं है अधिक जटिल एआई-आधारित हमलों के लिए, क्योंकि 1234 का अनुमान लगाया गया है कि यह सभी पिन का 11% प्रतिनिधित्व करता है, जबकि 19 (एक जन्म वर्ष के पहले भाग के रूप में) 80% से अधिक पिन नंबरों में पहले दो अंकों का प्रतिनिधित्व करता है।

फिर भी, नए शोध पत्र के लेखकों ने खुद को यह लाभ नहीं दिया है, बल्कि यह जांच करने का प्रयास किया है कि ‘शील्डेड’ पिन प्रविष्टियों की हाथ की गति में एक व्याख्यात्मक पैटर्न है या नहीं जो यह इंगित कर सकता है कि कौन से नंबर दबाए जा रहे हैं।

एक आधार रेखा स्थापित करने के लिए, शोधकर्ताओं ने डेटा संग्रह के उद्देश्य से एक नकली एटीएम का निर्माण किया (ऊपर पहली छवि देखें)। यह प्रस्तावित гипотेटिकल हमले का तरीका प्रतिनिधित्व करता है, जहां एक दुर्भाग्यपूर्ण व्यक्ति लंबे समय तक पिन इनपुट विशेषताओं का विश्लेषण करेगा तैयारी के लिए बाद में ‘स्वीप’ पर खातों के लिए।

हालांकि यह बहुत ‘अध्ययन’ दृष्टिकोण सामान्य है जटिल एटीएम अपराध में, कई नकली एटीएम के मामलों में ग्राहक डेटा को लंबे समय तक निकालने के साथ, इस मामले में हमलावर अपने स्थान पर नकली एटीएम सेट कर सकता है और इसे बिना सार्वजनिक इनपुट के प्रशिक्षित कर सकता है।

चूंकि एटीएम की स्क्रीन पिन इनपुट के दौरान छिपाई जाने की संभावना नहीं है, कुंजी दबाने का समय एटीएम स्क्रीन में दिखाई देने वाले ‘मास्क’ अंकों (आम तौर पर अंकों) के साथ हाथ की गति को सिंक्रोनाइज़ करके स्थापित किया जा सकता है उपयोगकर्ता इनपुट के प्रतिक्रिया में, और सामान्य फीडबैक ध्वनियों (जैसे बीप) के साथ जो स्ट्रोक के साथ मेल खाते हैं। यह सिंक्रोनाइजेशन ‘शील्डेड’ दृश्य में हाथ की सटीक स्थिति को इनपुट के क्षण में प्रकट करता है।

विशिष्ट कीपैड पर लक्ष्य

पहले, एक मॉडल को अवलोकन और रिकॉर्डिंग द्वारा विकसित किया जाना चाहिए ‘शील्डेड’ पिन प्रविष्टियों की। आदर्श रूप से, कीपैड एक विशिष्ट उद्योग मानक मॉडल होना चाहिए, हालांकि कुछ मिलीमीटर का भिन्नता विधि को काम करने से नहीं रोकेगी। कुंजी दबाने का समय ऑडियो और दृश्य संकेतों (यानी, फीडबैक बीप, कुंजी क्लैटर, और अंक फीडबैक) द्वारा प्राप्त किया जा सकता है।

इन ब्रेकपॉइंट के साथ, हमलावर एक प्रशिक्षण सेट को स्वचालित रूप से निकाल सकता है और एक मॉडल को प्रशिक्षित कर सकता है जो एक विशिष्ट कुंजी दबाने के लिए प्रतिनिधित्वात्मक हाथ कॉन्फ़िगरेशन की पहचान करने में सक्षम है। यह एक संभावना की रैंक्ड सूची का उत्पादन करेगा कार्ड के पिन के लिए, जिसमें से शीर्ष तीन का चयन हमले के लिए किया जाएगा जब प्रणाली द्वारा वास्तविक दुनिया के दृश्य में वास्तविक ग्राहक डेटा की पहचान की जाती है।

विधि

डेटा संग्रह दो सत्रों में, दाएं हाथ वाले स्वयंसेवकों का उपयोग करते हुए किया गया था। प्रत्येक प्रतिभागी ने 100 यादृच्छिक रूप से उत्पन्न 5-डिजिट पिन नंबर टाइप किए, सभी दस संभावित कीपैड दबाने की समान कवरेज सुनिश्चित करने के लिए। इस तरह, शोधकर्ताओं ने 5,800 व्यक्तिगत पिन प्रविष्टियां एकत्र कीं।

परीक्षणों में उपयोग किए गए पिन पैड डावो लिन मॉडल डी-8201एफ और डावो लिन मॉडल डी-8203 बी मॉडल थे। वे व्यावसायिक मॉडल हैं जो एटीएम में उपयोग किए जाते हैं, और क्रमशः यहां और यहां (साथ ही कई अन्य विक्रेताओं पर) उपलब्ध हैं।

एकत्रित वीडियो खंडों को ग्रेस्केल में परिवर्तित किया गया और सामान्यीकृत और फसल किया गया, और फिर मशीन लर्निंग प्रशिक्षण सत्र में शामिल होने के लिए 250×250 पिक्सेल तक आकार दिया गया। क्लिप को कुंजी दबाने से संबंधित फ्रेम की उप-क्रम को प्राप्त करने के लिए खंडित किया गया था। ऑडियो संकेत (जैसा कि ऊपर उल्लेख किया गया है) का उपयोग प्रेस इवेंट के लिए टाइमस्टैम्प मार्कर के रूप में किया गया था।

प्रशिक्षण

डेटासेट को प्रशिक्षण, सत्यापन और परीक्षण सेट में विभाजित किया गया था, जिसमें प्रशिक्षण एक एक्सियोन (आर) इंटेल सीपीयू पर हुआ था जो 2.60GHz पर चल रहा था, और 128GB रैम से लैस था। डेटा को केरास 2.3.0-टीएफ (टेंसरफ्लो 2.2.0) और पायथन 3.8.6 पर तीन टेस्ला के20मी जीपीयू पर लागू किया गया था, जिसमें प्रत्येक में 5gb का वीआरएएम था।

कैप्चर वातावरण (प्रकाश, कैमरा कोणों में हल्के अंतर, आदि) में भिन्नता के लिए खाते में, सिंथेटिक उदाहरण और विकृतियां (जैसे कि घुमाव और दृश्य बदलाव) उत्पन्न की गईं, और लेखकों का कहना है कि इस प्रकार का डेटा वृद्धि मॉडल की प्रभावशीलता में सुधार करने में एक बड़ा सहायक है।

परिणाम

मॉडल को तीन परिदृश्यों के खिलाफ परीक्षण किया गया था: ‘एकल पिन पैड’, जहां हमलावर पिन पैड का मॉडल जानता है, और विशेष रूप से इसके लिए प्रशिक्षित है; ‘पिन पैड स्वतंत्र’, जहां मॉडल एक पैड पर प्रशिक्षित होता है जो लक्ष्य पिन पैड के समान (लेकिन समान नहीं) है; और एक ‘मिश्रित परिदृश्य’, जहां हमलावर के पास दोनों पिन पैड की एक प्रति है।

तीन परिदृश्यों में सामान्य परिणाम, जहां टॉप-एन एक एन प्रयासों के भीतर अनुमान लगाने का प्रतिनिधित्व करता है।

5-डिजिट और 4-डिजिट पिन के अनुमान के लिए सटीकता में एक उल्लेखनीय अंतर है:

प्रतिकार

मौजूदा प्रणालियों (यानी, पूरे पिन/एटीएम सुरक्षा बुनियादी ढांचे के एक कट्टरपंथी पुनर्विचार के बिना) के खिलाफ प्रतिकार पर विचार करते हुए, शोधकर्ता यह मानते हैं कि इस प्रकार के हमले के खिलाफ कोई वास्तविक रूप से कार्यशील रक्षा नहीं है।

न्यूनतम आवश्यक संख्याओं को लंबा करने से पिन अधिक कठिन हो जाएगा याद रखने के लिए; टच-स्क्रीन सॉफ्टवेयर कीबोर्ड के साथ कीपैड के नंबरों को यादृच्छिक करना, हालांकि एटीएम तैनाती में बढ़ती जा रही है, भी उपयोगिता मुद्दों का उत्पादन करती है; और स्क्रीन प्रोटेक्टर न केवल मौजूदा एटीएम पर तैनात करने के लिए महंगे होंगे, बल्कि शोध पत्र के हमले को और भी आसान बना सकते हैं, यह इस बात पर निर्भर करते हुए कि यह कितना कवर प्रदान करता है। शोधकर्ता दावा करते हैं कि उनका हमला तब भी काम करता है जब पिन पैड का 75% हिस्सा कवर किया जाता है (और अधिक कवर करने से ग्राहक के लिए टाइप करना मुश्किल हो जाएगा)।

एक मानव-आधारित समकक्ष को विकसित करने में, वास्तविक लोगों ने हमले के लिए समान जानकारी के आधार पर पिन का अनुमान लगाने में केवल एक अंश ही प्राप्त किया था एआई प्रणाली की सटीकता।

काम के भविष्य के विकास में, शोधकर्ता गैर-दाएं हाथ वाले लोगों से परिणामों की जांच करने और हमले को कम करने के लिए हाथ-कवरिंग रणनीतियों की जांच करने का इरादा रखते हैं। वे यह भी इरादा रखते हैं कि अधिक उम्र और नस्लों के विविधता के साथ प्रयोग दोहराएं, क्योंकि वे देखते हैं कि बड़े लोग पिन दर्ज करते समय अधिक महत्वपूर्ण और बताने वाले हाथ की गति करते हैं, और यह हमला ‘लोगों की अन्य नस्लों के लिए काम करने में कठिनाइयों का सामना करेगा’ (कोकेशियान के अलावा)।