La tecnología nos suele dar sorpresas. Ya no basta cifrar los datos de nuestras páginas web, o mantener a buen resguardo los números de las tarjetas de crédito o las contraseñas de los sitios web que entramos. Parece que ninguna medida precautoria es suficiente. Ahora incluso un estudio sugiere que los cascos encefalográficos podrían ser usados para descubrir las contraseñas de quien se los ponga. Es decir, a través de ondas cerebrales un hacker podría descubrir los passwords que usamos.
Investigadores de las universidades de Alabama y Birmingham han sugerido esta posibilidad. La razón de ello es que estos cascos electro-encefalográficos ya pueden adquirirse en las tiendas de juguetes incluso, para controlar carritos robóticos con la mente. Hay un par de estos dispositivos a la venta en general y los costos van de 150 a 800 dólares.
El Dr. Nitesh Saxena, asociado al UAB College of Arts and Sciences Department of Computer and Information Sciences, junto con el estudiante de doctorado, Ajaya Neupane, y el Maestro en Ciencias, Md Luftor Rahman, hallaron que una persona que hace pausa en un videojuego y se conecta a su computadora para entrar a su cuenta bancaria mientras usa un casco como los que hemos mencionado, corre el riesgo de que su contraseña sea un dato que pueda ser robado por un programa malicioso de software.
“Estos nuevos dispositivos abren inmensas oportunidades para los usuarios de forma cotidiana”, dice Saxena. “Sin embargo, estos podrían hacer que se consideraran los problemas de seguridad y privacidad considerando esta nueva interfaz tecnológica cerebro/computadora”, añade.
Saxena y su equipo usaron un casco EEG disponible en tiendas en línea y un casco catalogado para uso médico. La idea era demostrar qué fácil se puede hacer un programa malicioso para tratar de capturar la información que el usuario está pensando. Mientras el usuario teclea en la computadora, sus entradas de datos en las teclas corresponden al procesamiento visual, así como al d de las manos y de los movimientos musculares. Todos estos datos son capturados por el casco EEG. El equipo le pidió a 12 personas que escribieran una serie de números personales al azar, así como contraseñas en una caja de texto como si se estuviesen conectando a un servicio en línea. Todos tenían puesto el casco EEG mientras hacían eso. De esta forma el software se iba entrenando sobre lo que el usuario tecleaba y las ondas cerebrales que generaba.
“En un ataque del mundo real, un hacker podría facilitar el paso de entrenamiento para que el programa malicioso fuese aún más preciso, por ejemplo, pidiéndole al usuario un conjunto predefinido de datos (números) de manera que pudiesen re-iniciar el videojuego que jugaban después de una pausa, algo similar al captcha, el cual se usa para demostrar que el usuario no es un robot sino una persona”, dice Saxena.
El equipo encontró qué, después de alimentar unos 200 caracteres, los algoritmos del software malicioso podría hacer suposiciones educadas sobre los caracteres alimentados por el usuario monitoreando los datos registrados en el casco EEG. El algoritmo abreviaría entonces las oportunidades de que un hacker hallara un PIN numérico de cuatro dígitos de forma que solamente tuviese probar unos 20 caracteres no 10,000.
Los cascos EEG usados en el campo médico como un método no invasivo de registrar la actividad eléctrica del cerebro, en donde se colocan electrodos en la superficie del cuero cabelludo para detectar así las ondas cerebrales, permite amplificar las señales y grabarlas en papel o en una computadora. Los EEG pueden ser combinados con una interfaz por computadora para permitir a las personas a usar dispositivos externos de control.
Pero como indican los investigadores: “Dada la creciente popularidad de los cascos EEG es claro que estos podrían usarse en una variedad de formas e inevitablemente podrían a empezar a ser parte de la vida cotidiana”. Saxena agrega: “E#s importante analizar los riesgos de seguridad y privacidad asociados a esta tecnología que apenas está emergiendo y desarrollar soluciones a los potenciales ataques de nuevo malware”.
Una solución elemental, propuesta por Saxena, es la inserción de ruido cuando un usuario está escribiendo una contraseña mientras usa un casco EEG.
