Smartwatch-App „MoLe“ verrät Getipptes

Wie jedes Gadget sind auch Smartwatches für Hacker anfällig, doch dank der diversen verbauten Sensoren bergen sie teils überraschende Risiken. Das haben Forscher an der University of Illinois at Urbana-Champaign mit ihrem Projekt "MoLe" gezeigt. Diese App nutzt die Bewegungssensoren einer Samsung Gear Live, um zu erkennen, was der Träger auf einem Computer-Keyboard tippt. Damit will das Team aufzeigen, wie vielfältig die Datenschutz-Risiken der neuen Mode-Gadgets sein dürften. [...]

„Sensordaten von tragbaren Geräten werden offensichtlich ein zweischneidiges Schwert“, meint Romit Roy Choudhury, Professor für Elektro- und Computertechnik. Denn wenngleich Gadgets wie Smartwatches beispielsweise wertvolle Einblicke in die Gesundheit versprechen, können sie auch schwere Verletzungen der Privatsphäre ermöglichen. „Die wesentliche Herausforderung ist zu beschreiben, was aus Sensordaten abgeleitet werden kann und was nicht.“ Eben hier setzt MoLe – „Motion Leaks through Smartwatch Sensors“ sowie englisch für Maulwurf, auch im Sinne eines Spions – an.

Die MoLe-App nutzt Beschleunigungssensoren und Gyroskop der Samsung-Smartwatch, um jene Bewegungen zu verfolgen, die der Träger beim Tippen auf einer Tastatur macht. Ein Anlysemodul wertet das Timing einzelner Anschläge aus und auch, wie weit sich die Hand dabei bewegt hat. Immerhin bewegt sich beispielsweise das linke Handgelenk etwas weiter aus der Ruheposition, wenn ein „T“ gedrückt wird als bei einem „F“. Damit wird es möglich abzuschätzen, was genau der Nutzer tatsächlich getippt hat.

Theoretisch wäre es möglich, dass Hacker ähnliche Funktionalität in einer App verstecken, die sie dann über iTunes oder Google Play vertrieben. Doch wird der Angriff den Forschern zufolge erst dadurch möglich, wie viele Daten die Bewegungssensoren eigentlich sammeln. Denn sie registrieren standardmäßig 200 Mal pro Sekunde Werte – mehr, als für viele Anwendungen je nötig wäre. Würde diese Sampling-Rate auf unter 15 Hertz, also Messungen pro Sekunde, gesenkt, wäre die Tipp-Verfolgung per MoLe kaum mehr möglich.

Zudem räumt Choudhurys Team ein, dass MoLe noch einige Probleme beim Erkennen getippter Inhalte hat. So ist die Leertaste schwer zu erfassen. Bislang kann das System auch keine Sonderzeichen erkennen. Ein besseres Passwort als das laut SplashData nach wie vor äußerst beliebte „password“ wäre also sicher. Außerdem kämpft das Team mit der Tatsache, dass User in der Regel nur an einer Hand eine Smartwatch tragen und nicht alle gleich tippen. Doch arbeiten die Forscher bereits daran, MoLe noch weiter zu verfeinern – was im Prinzip auch echte Hacker tun könnten. (pte)