研究人员开发了一款智能手机应用，用来对付“肩窥”——即他人在你输入手机密码或其他私人数字时，从你身后偷看，甚至可能借此获取重要的财务或个人信息。
任何使用过自动取款机或智能手机的人，都能体会到陌生人站得足够近、可以观察金融交易时令人不安的感觉——对方还可能记下个人识别码（PIN）或账号。
纽约大学坦登工程学院计算机科学与工程学教授纳西尔·梅蒙解释说，这项名为“IllusionPIN”的技术采用一种混合图像键盘：近距离使用者看到的是一种布局，而距离三英尺或更远的旁观者看到的则是另一种布局。
这项技术将一幅具有高空间频率的键盘布局图像，与另一幅完全不同、具有低空间频率的键盘布局图像融合在一起。每幅图像的可见程度取决于观看距离。
梅蒙说：“键盘上数字的传统排列方式太熟悉了，旁观者只要多次观看监控录像，就可能辨认出个人识别码（PIN）或访问码。”
“我们的目标是在不增加设备负担或损害用户体验的前提下，提升PIN身份验证的抗攻击能力。”
“在运行IllusionPIN的设备上，离设备最近的用户看到一种数字布局，而远处的人看到的则是完全不同的键盘。”IllusionPIN会在每次身份验证或登录尝试时重新排列键盘。
研究团队模拟了一系列针对智能手机的肩窥攻击，以测试IllusionPIN在不同距离下的有效性。
研究人员总共对21名参与者实施了84次肩窥攻击尝试，无一成功。作为对照，他们还按照相同的距离参数，对未受保护的手机实施了21次肩窥攻击，21次均告成功。
研究团队还发现，使用监控录像几乎不可能窃取PIN或其他身份验证信息。
自第一批智能手机问世以来的十年间，人们对肩窥所带来威胁的认识显著提高。
目前没有关于肩窥攻击发生率的可靠统计数据。梅蒙和阮在2016年开展的一项研究发现，接受调查的移动设备用户中，73%表示曾看到过他人的PIN（但未必出于恶意）。2017年，在ACM计算系统中的人为因素会议上发表的一项关于肩窥认知度的研究报告称，97%的受访者表示在日常生活中知道发生过肩窥事件，而且在大多数情况下，受害者并未意识到自己正被人观察。
梅蒙说：“PIN身份验证之所以受欢迎，是有充分理由的：它易于使用，也容易记住。我们的目标是在不增加设备负担或损害用户体验的前提下，提升PIN身份验证的抗攻击能力。”
研究团队计划进一步完善IllusionPIN，目标是将这项技术商业化。
介绍这项技术的论文刊登在期刊IEEE信息取证与安全汇刊。
