Nella sicurezza informatica, il shoulder surfing (letteralmente "fare surf sulle spalle") è una tecnica di ingegneria sociale usata per ottenere informazioni come codici PIN, password ed altri dati confidenziali osservando la vittima standole alle spalle^[1]. L'attacco può venire effettuato sia da vicino (osservando direttamente la vittima) o da più lontano, usando ad esempio riprese di telecamere a circuito chiuso, binocoli o dispositivi simili^[2]. Attaccare usando questa tecnica non richiede nessuna abilità particolare; l'attenta osservazione di ciò che sta intorno alla vittima e dei movimenti da lei effettuati con la mano mentre digita un PIN sono sufficienti. I posti affollati sono quelli in cui è più facile che una vittima venga attaccata tramite shoulder surfing. Negli Stati Uniti, all'inizio del 1980, il shoulder surfing era praticato per rubare il numero identificativo delle tessere per i telefoni pubblici, al fine di rivenderlo a prezzi più bassi o effettuare chiamate interurbane. L'avvento di moderne tecnologie quali telecamere e microfoni nascosti fa sì che gli attacchi di shoulder surfing siano più facili da effettuare da lontano. Una telecamera nascosta consente all'attaccante di registrare l'intero processo di login ed altri dati confidenziali della vittima, la quale subisce una perdita di denaro o un furto d'identità^[3].

Il shoulder surfing avviene solitamente in luoghi affollati in quanto è più semplice osservare una vittima senza attirare la sua attenzione^[4]. Un attacco di shoulder surfing avviene, ad esempio, durante l'inserimento del PIN in uno sportello per il prelievo di denaro o in un POS, la digitazione di una password ad un internet point, in biblioteche pubbliche ed universitarie, a check-in automatici in aeroporto, durante l'immissione del codice in un armadietto pubblico affittato in piscine o aeroporti, la digitazione del PIN o della password sullo smartphone^[5].

Un sondaggio di professionisti in IT su libro bianco^[6] per Secure ha evidenziato che:

• L'85% dei partecipanti al sondaggio ha ammesso di aver visto informazioni su uno schermo che non era autorizzato a vedere
• L'82% ha ammesso che persone non autorizzate avrebbero potuto vedere informazioni sul loro schermo
• L'82% aveva poca o nessuna certezza nell'affermare che le persone nella loro organizzazione proteggessero il loro schermo affinché non venisse visto da soggetti non autorizzati

Alcuni ATM sono dotati di display sofisticati che scoraggiano l'ottenimento di informazioni tramite shoulder surfing. Gli schermi diventano più scuri se guardati da oltre un certo angolo, il solo modo per leggere cosa sia visualizzato è stargli di fronte. Nonostante questo prevenga che alcune informazioni, come il saldo del conto corrente, vengano viste, non previene lo spiare il codice PIN, dato che solitamente esso viene digitato e non visualizzato a schermo in chiaro (ma sostituito da degli asterischi).

Alcuni modelli di POS hanno la tastiera incassata e per gran parte circondata da una cornice di gomma. Questo fa si che il shoulder surfing sia nettamente più difficile in quanto, a differenza di modelli più vecchi, bisogna guardare la tastiera quasi direttamente. L'ISO 9564-1, lo standard Internazionale per la gestione del PIN, descrive così tale misura di sicurezza^[7]:

L'osservazione visiva del PIN è la maniera più comune di compromettere un PIN. La privacy durante la digitazione di un PIN è ottenibile coprendo la tastiera o tenendo il POS in modo che i tasti siano coperti dal corpo del cliente...

I POS spesso disponibili in negozi, supermercati e stazioni di rifornimento sono più difficili da usare prevenendo il shoulder surfing in quanto sono solitamente collocati in vista dalle casse^[8].

Quando si effettua una transazione, assicurarsi di stare accanto al muro affinché nessuno guardi il sistema.^[9] Stare attenti all'ambiente circostante in quanto potrebbero esserci telecamere.^[10] Usare pellicole protettive tipo quelle usate dai banchieri le quali nascondono lo schermo a tutti tranne che all'utilizzatore del sistema.^[11] Usare una mano per coprire la tastiera durante l'immissione del PIN ad un ATM.^[12] Stare attenti all'ambiente circostante^[13]. È consigliabile non effettuare l'accesso ad account personali in pubblico.^[14] In un luogo pubblico, cercare un posto tranquillo per lavorare.^[15] Non rivelare le password a nessuno.^[16]

L'utente di un ATM può essere avvertito di un attacco di shoulder surfing mentre l'attacco è in corso. Esso può quindi prendere una decisione sul da farsi e coprire le eventuali informazioni sensibili. I bordi dello schermo possono lampeggiare per allertare l'utente se una persona si avvicina. Si possono usare i colori per dettagliare il messaggio: il colore rosso può essere usato se la persona che si è avvicinata sta guardando lo schermo ed il verde se la persona è vicina ma non sta guardando lo schermo. Un altro modo è quello di creare un'ombra 3-D della persona che sta sbirciando sul display dell'utente.^[4]

Quando si effettuano importanti transazioni di denaro, assicurarsi di essere ben distanti da altre persone. Questi crimini non vengono registrati spesso in quanto molte persone non li denunciano alla polizia.^[17] Non rispondete né a mail di phishing né a chiamate telefoniche di pretexting. Nessuna banca o istituto finanziario chiederà informazioni sensibili tramite chiamate o email. Evitare di inviare informazioni sensibili tramite email. Se capita una situazione in cui è necessario inviare documenti finanziari, inviarli tramite posta certificata ed assicurarsi di avere una prova che i documenti siano stati ricevuti dall'istituto finanziario. Se l'account è già stato compromesso, interrompere immediatamente tutte le transazioni da quell'account.^[18]

Mentre si usa un ATM, si raccomanda di stare vicino allo sportello durante l'immissione del PIN. Come già menzionato sopra, è meglio coprire la tastiera con una mano durante la digitazione. Alcune volte potrebbe esserci una videocamera posta vicino alla tastiera che registra le azioni fatte. Se l'ATM che si sta usando è in un posto affollato e qualcuno prova a spiarvi, è meglio interrompere le transazioni da quell'ATM e andarsene. Non accettare mai aiuto dagli sconosciuti, anche se sembrano gentili. Mai distrarsi. Alcune volte le persone mettono dei dispositivi che registrano tutti i dettagli della carta. Questi dettagli sono successivamente usati da chi ha piazzato il dispositivo per effettuare transazioni fraudolente. Se ci si trova in quella situazione, chiamare la banca e riportare il problema mentre si è ancora vicini all'ATM. È sempre una buona idea salvarsi il numero del servizio clienti attivo 24h/24h. In seguito ad una transazione, la prima cosa da fare è mettere i soldi e la carta nella borsa. Non buttare via le ricevute dell'ATM senza prima strapparle o per lo meno distruggere le informazioni sensibili scritte sopra.^[19] Non scrivere mai un assegno di fretta. È meglio non scrivere assegni all'ora di punta durante la stagione dello shopping. A volte, usare solamente una carta per lo shopping è meglio in quanto aiuta sia a tenere sotto controllo le spese che a controllare eventuali attività sospette di altri conti.^[20]

La procedura di base per l'immissione di una password tramite sguardo è simile a una normale immissione tramite digitazione, tranne per il fatto che, invece di usare una tastiera o un touch screen, l'utente direziona il suo sguardo verso ogni carattere o area desiderati nella giusta sequenza. Quest'approccio può quindi essere usato sia per password composte da caratteri (usando una tastiera a schermo) sia con password grafiche come spiegato nel sondaggio^[21]. È necessario fare una serie di considerazioni per assicurare usabilità e sicurezza. La tecnologie per l'oculometria hanno fatto grandi progressi dalle loro origini all'inizio del '900.^[22] I dispositivi per l'eye tracking più sofisticati sono poco ingombranti e permettono il tracking da remoto con un'accuratezza di 1° di angolo di visuale. I tracciatori oculari sono una speciale applicazione della computer vision. Una videocamera è usata per monitorare gli occhi dell'utente. Una o più luci infrarosse illuminano il volto dell'utente producendo un luccichio - riflesso della luce sulla cornea. Quando l'utente direziona lo sguardo, le pupille si muovono ma la posizione del bagliore sulla cornea rimane fissa. Il movimento relativo, la posizione del centro della pupilla ed il luccichio sono usati per stimare il vettore dello sguardo, il quale viene poi mappato a coordinate sullo schermo.

Il meccanismo dell'album da pitturare è una tecnica anti shoulder surfing basata sul riconoscimento di password grafiche che implementa sia tecniche di riconoscimento (recognition) che tecniche basate sul ricordare (recall), sviluppato basandosi sui risultati delle scelte di affinità dell'utente^[23] e sull'osservazione del comportamento dei bambini mentre pitturano una figura. I risultati del sondaggio sulle scelte di affinità dell'utente sono l'architettura del meccanismo. L'osservazione ha portato alla creazione di tre sistemi chiamati Swipe Scheme, Color Scheme e Scot Scheme. Nel meccanismo dell'album da pitturare, questi tre sistemi sono i metodi per la creazione della password. Ogni sistema di input è non-identico, ed è l'utente che sceglierà quale usare in base alle sue preferenze.

Nonostante gli utenti abbiano la possibilità di scegliere il sistema di input che preferiscono, per una questione di sicurezza è consigliabile sceglierne più di uno per la generazione della password.

Per superare gli inconvenienti dell'autenticazione basata su testo, i ricercatori hanno sviluppato un nuovo sistema che usa delle immagini come password. Questo metodo è usato come alternativa alle password alfanumeriche. I metodi di autenticazione corrente sono classificati in tre principali categorie: autenticazione basata su Token, autenticazione basata sulla biometria e autenticazione basata sulla conoscenza. Una comparazione tra le tipologie di password grafiche attuali ha classificato le password grafiche in due categorie: quelle basate sul riconoscimento (recognition) e quelle basate sul ricordare (recall). I risultati rispondono a domande quali "una password grafica è sicura tanto quanto una password testuale?" Cerca inoltre di trovare la risposta alla domanda "quali sono i principali problemi di design ed implementazione delle password grafiche?" Questo studio è utile per i metodi che usano password grafiche, vuole trovare delle alternative per superare tali problemi.^[24]

Con tap si intende l'azione di toccare uno schermo touch (touch screen.)

A causa dell'importanza di prendere misure che prevengano il shoulder surfing, il metodo del secret tap (letteralmente "il tocco segreto") propone una tecnica che non espone dati e codici quando vengono digitati, anche se delle persone cercano di spiarli. In aggiunta a ciò, è importante tenere a mente che il rischio di essere osservati non si limita alla diretta osservazione da parte di altri individui, vi è anche il rischio di essere registrati da una videocamera. Di conseguenza, è necessario complicare il processo di autenticazione in maniera da prevenire il furto di informazioni sensibili in presenza di eventuali videocamere e/o persone che osservano i dati digitati (anche ripetutamente). Ci sono due tipi di attacchi di shoulder surfing: gli attacchi per osservazione diretta (i dati sono ottenuti osservando direttamente la vittima) e gli attacchi tramite videoregistrazioni (l'attaccante registra la sequenza di autenticazione e la analizza in un secondo momento).

Il metodo del secret tap usa delle icone ed uno schermo a cristalli liquidi touch. Gli obiettivi e la politica di progettazione del secret tap sono:

• Resistenza allo spionaggio: ha un livello di resistenza che non permette ad altri individui di vedere le informazioni, anche se il processo di autenticazione viene effettuato più di una volta.
• Resistenza ad attacchi tramite videoregistrazioni: ha un livello di resistenza che impedisce ad altri individui di analizzare i dati di autenticazione, anche se il processo di autenticazione è stato registrato interamente.
• Resistenza ad attacchi brute force: ha un livello di resistenza che impedisce che il processo di autenticazione venga violato più facilmente rispetto a un attacco brute force su un codice PIN a quattro cifre. Questa policy fa si che sia rispettato lo standard ISO 9564-1^[25].
• Usabilità: mantiene un livello di usabilità tale che il processo di autenticazione possa essere effettuato con calma.

Il beneficio principale delle password grafiche rispetto a quelle alfanumeriche è che sono più semplici da memorizzare. Tuttavia, il potenziale lato negativo di tale vantaggio è il rischio maggiore di subire attacchi di shoulder surfing. Le password grafiche che usano la grafica o le immagini^[26] come PassFaces, Jiminy,^[23] VIP, Passpoints^[26] o una combinazione di grafica e audio come AVAP sono tutte soggette a maggiori rischi, a meno che qualcuno, in qualche modo, "mitighi" la loro implementazione. I risultati indicano che sia le password alfanumeriche che quelle basate sulla grafica hanno una grossa vulnerabilità al shoulder surfing, a meno che non vengano prese alcune precauzioni. Nonostante la credenza comune che usare una parola non presente sul dizionario sia il metodo più sicuro per la generazione di una password, i nostri risultati dimostrano che questo sia il sistema più vulnerabile al shoulder surfing.

Il PIN è usato per autenticarsi in diverse situazioni, ad esempio quando si effettua un prelievo o un deposito di denaro a uno sportello, per sbloccare un telefono, una porta, un laptop o un PDA. Un attaccante può ottenere il PIN sia guardando da dietro le spalle della vittima, sia registrando l'intero processo di login. Di conseguenza, sono state proposte diverse metodologie per l'immissione del PIN che rendono il processo di autenticazione più sicuro.^[27]

Il gioco della botola cognitiva prevede tre gruppi: una macchina per la verifica (machine verifier), un uomo che fornisce le prove (human prover) e un uomo che osserva (human observer). L'obiettivo di ciascun gruppo è il seguente: colui che fornisce le prove deve digitare il PIN rispondendo alle domande poste dalla macchina per la verifica, mentre l'osservatore cerca di osservare l'interazione tra la macchina e l'uomo al fine di conoscere il PIN. Un token viene assegnato al prover al fine di provare univocamente la sua identità. Visto che il prover deve autenticarsi nel token, non è facile per l'osservatore ricordare l'intero processo di login, a meno che non disponga di un dispositivo per registrare il processo. Il meccanismo della botola cognitiva è resistente ad attacchi di shoulder surfing diretti, ma non ad attacchi che fanno uso della registrazione.^[28]

• Ingegneria sociale
• Information diving
• Phishing