「Android」に新たな脆弱性–画面上の情報が盗まれる

「Android」端末から2要素認証（2FA）コードなどの情報を盗み出せる新たな攻撃手法が、研究者らによって確認された。

この攻撃手法は、カリフォルニア大学（バークレー校、サンディエゴ校）、ワシントン大学、カーネギーメロン大学の研究者らが編み出したもので、「Pixnapping: Bringing Pixel Stealing out of the Stone Age」（ピクスナッピング：原始的だった画面覗き見攻撃の進化）と題された論文（PDF）に詳しい説明が掲載されている。

Pixnappingと呼ばれるこの攻撃には、3つの段階がある（この名称は、「Google Authenticator」などのターゲットアプリによってレンダリングされるピクセルを悪用することから名付けられた）。第1段階では、悪意あるアプリがターゲットアプリを起動し、機密データをAndroidのレンダリングパイプラインに取り込むためのシステムコールを実行する。

第2段階では、ターゲットアプリによってレンダリングされた機密情報（認証アプリが2FAコードを表示しているときの画面など）の個々のピクセルに対し、「半透明」のレイヤーを重ねるというグラフィック操作（ぼかし処理）を実行する。その後、マスキング処理によって、対象のピクセルを分離して拡大し、そのグラフィック特性を判定する。

最後の第3段階では、「GPU.Zip」と呼ばれるサイドチャネルを悪用して、表示中のピクセルを1つずつ盗み出す。つまり、悪質なアプリは、本来ならアクセス権限のないコンテンツの「スクリーンショット」を、ピクセル単位で取得するわけだ。

ZDNET
https://japan.zdnet.com/article/35239219/

覗き見おじさんじゃないのか

俺が使ってるエ口画像がバレちゃう

PINコードをある特定の意味のあるテキストに変換するシステムを作れば回避できる
たとえばPINが1234の場合に正解のPINであればリンゴとか表示させる
利用者はリンゴが表示されれば間違っていないとなる
正解のPINでなければゴリラとかになる
そうして9999通りの固有名詞を生成させればいい

>>1
何使ってようが一緒
情報は抜き取られる

そこでColorOSですよ