Schreibverhalten kann zur Deanonymisierung verwendet werden (auch in TOR)

[tokotoko]

Da das Thema des Threads "Schreibverhalten kann zur Deanonymisierung verwendet werden (auch in TOR)" ist und der letzte Satz sich u.a. auch auf den Tor Browser bezog der ja nunmal keinen Schutz dagegen bietet, kommt das irgendwie nicht so rüber das du nur auf das PlugIn hinweisen möchtest.
Ich würde zumindest die Überschrift dann anders gestalten.

 

[m4yos]

@Togijak: so scheiße wie ich dieses geh weg/geh in Keller/geh sterben dazwischengrätschen generell finde; zwei, drei Sätze von den Entwicklerseiten (Paul Moore/ Per Thorsheim) zur Idee des Projekts (BehavioSec) & Technik hinter dem Plugin und es wär von Anfang an klar gewesen, auf welche alten/neuen Ergebnisse sich die beiden beziehen, und das das Plugin erstmal nur als Proof of Concept zu verstehen ist. Bei Moore gibts dazu weiter unten Kommentare zu Performanceschwächen ect.

Das man sich einen Haufen Javascript installieren soll, der das Keyboard überwacht, um dadurch mehr Privacy zu bekommen, klingt für mich wie aus Huxley's 'schöne neue Welt', oder einem Doctorow Roman.

 

[Togijak]

@m4yos

Ich stimme Dir zu aber - betrachte die Art als (un)gewollten Intelligenz / Niveau Test - Du hast ihn bestanden, ein paar andere nicht. Abgesehen davon bin ich mir fast sicher, dass selbst beim genialsten Beitrag Kritik gekommen wäre und sei es nur in der Form - was erklärst Du das so ausführlich, dass wissen wir doch schon alles und außerdem ....

 

[accC]

Schämst du dich eigentlich nicht, so einen Mist von dir zu geben? Die eigenen Fehler als Intelligenztest für andere auszugeben.. Leidest du eigentlich an Wahrnehmungsstörungen, Größenwahn, Arroganz oder allem?

 

[mathmos]

Ich stimme Dir zu aber - betrachte die Art als (un)gewollten Intelligenz / Niveau Test - Du hast ihn bestanden, ein paar andere nicht.

Sagt gerade der, der mit dieser Aussage erfolgreich gegen die allgemeinen Boardregeln verstoßen hat und sich somit just in diesem Moment eine Verwarnung von mir eingehandelt hat.

So und nun wird der Thread, wenn noch Bedarf besteht, zivilisiert weitergeführt. Das gilt für alle.

 

[tool]

Eine ähnliche Technik wie die, die in dem oben verlinkten Artikel beschrieben wird, kann auch genutzt werden, um das Kennwort von einem Benutzer gezielt festzustellen. Dabei handelt es sich jedoch seltener um JavaScript (denn dann könnte man das Kennwort auch direkt aus dem Kennwort-Feld auslesen). Stattdessen wird auch nur die Zeit zwischen den einzelnen Tastenanschlägen gemessen, um daraus Informationen über das Kennwort zu gewinnen (Lage der Tasten, Erkennung von charakteristischen Buchstabenfolgen,...). Ich schaue mal, ob ich ausführlichere Informationen dazu auftreiben kann, ich hab es leider auch nur am Rand mitbekommen, dass so ein Angriff wohl erfolgreich durchgeführt wurde...

 

[bevoller]

Stattdessen wird auch nur die Zeit zwischen den einzelnen Tastenanschlägen gemessen, um daraus Informationen über das Kennwort zu gewinnen (Lage der Tasten, Erkennung von charakteristischen Buchstabenfolgen,...). Ich schaue mal, ob ich ausführlichere Informationen dazu auftreiben kann...

Wäre mal interessant. Ich würde mal stark annehmen, dass jemand, der einigermaßen gut mit 10-Finger-Suchsystem schreiben kann, die meisten Zeichen relativ gleichmäßig eintippen kann. Je nach Messgenauigkeit wären vermutlich die Zeitabstände bei allen Zeichen in Reihe 1 (Q) und 3 (Y) etwas größer, weil die Finger ja ohnehin auf Zeile 2 (A) liegen. Ob man daraus bei der hoffentlich menschlichen Ungenauigkeit im Tipprhythmus gesicherte Rückschlüsse auf ein Passwort ziehen kann, bezweifele ich an dieser Stelle einfach mal.

 

[tool]

Über Google habe ich ein Paper zu dem Thema gefunden, in dem der Angriff detailliert erklärt wird. Die Zusammenfassung jedenfalls legt nahe, dass 5-stellige alphabetische Kennwörter mit Wahrscheinlichkeit von 90% in weniger als 20 Versuchen geknackt wurden. 10-stellige Kennwörter immerhin noch mit Wahrscheinlichkeit von 80% bei weniger als 75 Versuchen. Wenn es nicht nur um Kennwörter geht, können bis zu 96% des getippten Textes auf diese Art rekonstruiert werden.

Zu deiner Anmerkung bezüglich des 10-Finger-Systems: Auch das wird berücksichtigt und angesprochen. Charakteristisch ist wohl beispielsweise, dass man für ein 'y' länger braucht als für ein 'h', obwohl beide Tasten direkt neben einem Finger liegen. Der Zeitunterschied bezieht sich also nicht nur auf die Distanz von Tasten zueinander, sondern auch auf den Finger, der für den Anschlag benutzt wird.

Eine Gegenmaßnahme, die ich in dem Paper jedoch nicht finden konnte, wäre das Einsetzen einer Tastatur mit alternativem Layout als Maßnahme zur Verschleierung. Sobald das aber dem Angreifer bekannt ist, bringt es natürlich gegen den Angriff selbst auch nichts mehr.

 

[Togijak]

@mathmos

aber das ist OK obwohl es zu keinem Resultat führt wenn man sucht (was ich schon vorher getan hatte)?