的群移动设备现代智能手机和平板电脑中的传感器使它们更像是口袋大小的实验室和媒体工作室，而不仅仅是通信设备。摄像头、麦克风、加速度计和陀螺仪为应用程序开发者和移动设备用户提供了难以置信的灵活性和实用性。但各种各样的输入也给聪明的黑客提供了绕过传统移动安全系统的新方法，甚至还能在设备之外收集敏感信息。

无论是对自己还是对终端用户来说，任何认真对待安全和隐私问题的人都应该考虑这些传感器是如何产生独特的漏洞并被网络罪犯利用的。

多年来，各种黑客都在利用移动设备的传感器。在2012年,研究人员开发了名为PlaceRider的恶意软件该公司利用Android传感器开发出用户物理环境的3D地图。在2017年,研究人员使用了一种智能算法在三次尝试中几乎完全成功解锁了各种安卓智能手机，即使这些手机有相当强大的安全防御。

但随着针对最严重漏洞的补丁更新的发布，黑客在2019年的回应是找到了更有创意的方法，利用传感器窃取易受攻击的数据。

“听”的密码

研究人员能够通过访问传感器来学习计算机密码移动设备的麦克风．剑桥大学和林雪平大学的研究人员创造了一个人工智能(AI)分析打字声音的算法。在接受测试的45人中，他们的密码在27人中被破解了7次。这种技术在药片上甚至更有效，在10次尝试中，27次中有19次是正确的。

研究人员写道:“我们发现，这种攻击可以成功地恢复PIN码、单个字母和整个单词。”想想看，大多数手机用户是多么容易地允许应用程序访问他们设备的麦克风，而没有考虑到他们在屏幕上的点击声音可能被用来破译密码或其他短语。

虽然这种类型的攻击从来没有在野外发生过，但它提醒用户在允许应用程序访问其移动设备的麦克风时要格外小心，尤其是在应用程序的功能没有明确需要的情况下。

不用麦克风偷听

其他分析人士发现，黑客不需要访问设备的麦克风就可以窃听音频。阿拉巴马大学伯明翰分校(University of Alabama at Birmingham)和罗格斯大学(Rutgers University)的研究人员利用加速度计窃听了Android设备扬声器播放的音频。加速度计是用来检测设备方向的传感器。他们觉得声音够大了音频会影响加速计，泄露了有关言语模式的敏感信息。

研究人员将这种能力称为“spearphone窃听”，称威胁行为者可以通过语音识别或重建的方法确定设备所有者的性别、身份，甚至部分单词。由于加速度计总是开着的，而且不需要许可就可以操作，恶意应用程序可以记录加速度计数据，并通过语音识别软件播放音频。

虽然一个有趣的攻击矢量难以保护加速度计功能的访问或使用会严重限制智能设备的可用性 - 但这种漏洞将要求Cyber​​iminals开发恶意应用程序并说服用户下载它以下载。一旦在用户的设备上，就会更有意义地删除其他形式的恶意软件或请求访问麦克风以将易于阅读/侦听到数据拉动。

由于现在的用户往往不太注意许可通知或eula，无需许可就能访问加速计的优势还不能为犯罪分子提供足够的投资回报。然而，我们再次看到移动设备传感器的一种功能可能被滥用为其他目的。

带有传感器的指纹识别设备

今年5月,英国研究人员宣布他们做到了开发了一种指纹技术，通过使用容易获得的工厂设置的传感器校准细节，可以在互联网上跟踪移动设备。攻击,被称为SensorID，利用加速器、陀螺仪和磁力计传感器的校准细节，可以跟踪用户的网页浏览习惯。当用户在浏览器和第三方应用程序之间切换时，这种校准数据也可以用来跟踪用户，假设允许某人全面了解用户在他们的设备上做什么。

Apple在iOS 12.2中修补了漏洞，而谷歌尚未修补Android中的问题。

避免加速度计检测

今年早些时候，趋势科技发现了两个谷歌Play上的恶意应用程序投放了广泛的银行恶意软件．这些应用程序似乎是货币转换器和电池avermobi等基本工具。这些应用程序巧妙地使用了运动传感器，以避免被发现为恶意软件。

一个不产生运动传感器信息的设备很可能是研究人员用来检测恶意软件的模拟器或沙箱环境。然而，一个能够生成运动传感器数据的设备会告诉威胁参与者，这是一个真正的用户拥有的设备。因此，恶意代码只在设备处于运动状态时运行，从而帮助它避开可能试图在虚拟环境中检测恶意软件的研究人员。

当这些应用程序从谷歌Play上被下架时，这种规避技术很容易被整合到第三方平台的其他恶意应用程序中。

未来的移动安全挑战

移动设备传感器特别容易被滥用，因为访问这些传感器不需要特殊的许可或升级。

大多数最终用户都能够使用强密码并保护其设备反恶意软件的软件．但是，他们可能不习惯于如何使用其设备的陀螺仪。

好消息是，移动操作系统开发者正在努力为传感器增加安全保护。安卓派加强了安全性通过限制传感器和用户输入数据。在运行的设备上运行的应用程序运行Android派的设备无法访问麦克风或相机。另外，使用连续报告模式的传感器，例如加速度计和陀螺仪，不接收事件。

这意味着，传统加密技术无法解决未来的移动安全挑战。只要黑客能够访问探测和测量物理空间的传感器，他们就会继续利用这些容易访问的数据来保护他们想要的敏感信息。

随着移动设备传感器工具箱的扩展，将会产生新的漏洞——以及安全专业人员尚未发现的挑战。