Data over Sound : Chancen und Risiken einer neuen Kommunikationstechnologie

Von Matthias Zeppelzauer, St. Pölten (AT)

„Data over Sound“ bezeichnet die zunehmend populärer werdende Methode, Daten zwischen benachbarten Geräten mithilfe akustischer Signale auszutauschen. Eine derartige Datenübertragung ist an sich nicht neu: Eine klassische Anwendung sind etwa DTMF-Tastentöne (Dual-Tone Multi-Frequency Signaling), die beim Telefon den Wähltasten unterschiedliche Frequenzen (bzw. Frequenzkombinationen) im hörbaren Spektrum zuordnen – etwa, um die Rufnummer in einer analogen Telefonanlage zu übertragen oder in Callcenter-Menüs Optionen auszuwählen. Analoge Modems, die früher verwendet wurden, um sich mit dem Internet zu verbinden, nutzten für den Verbindungsaufbau (Handshake) ebenfalls hörbare Piep- und Pingtöne, bevor die eigentliche Datenverbindung nur noch als Rauschen vernehmbar gewesen war.

Heutzutage werden ganz ähnliche Methoden eingesetzt, um über einen akustischen Kanal benachbarte Geräte im wahrsten Sinne durch die Luft miteinander kommunizieren zu lassen – und das in einer für die meisten Menschen unhörbaren Art und Weise. Daten werden so etwa über die in unseren Mobiltelefonen, Tablets und Fernsehern eingebauten Mikrofone und Lautsprecher ausgetauscht. Die sind zwar für hörbare Signale wie Sprache und Musik optimiert, jedoch auch in hohen Frequenzbereichen sensitiv. Bei einer heute üblichen Abtastrate von 44 100 Hertz können Signale bis 22 050 Hertz kodiert und übertragen werden – der für Menschen hörbare Bereich endet hingegen bei etwa 19 000 Hertz. So entsteht ein unhörbares Frequenzband, das für die akustische Datenkommunikation – „Data over Sound“ – nutzbar ist.

Soweit der Schall trägt

Die Reichweite hängt dabei von der Sendeleistung des Lautsprechers ab. Mit einem handelsüblichen Smartphone-Lautsprecher lässt sich etwa eine Distanz von 10 Metern überbrücken – über eine große Audioanlage kann man Ultraschall aber auch über ein ganzes Fußballstadion oder eine Konzerthalle hinweg senden (siehe etwa https://vimeo.com/161803333 für die „Success Story“ eines kommerziellen Anbieters über einen tatsächlichen solchen Einsatz). Eingeschränkt wird die Signalausbreitung hingegen von Hindernissen wie Wänden. So kann man mit normalen Lautsprechern zwar innerhalb eines Raumes wechselseitig kommunizieren, jedoch nicht über Räume hinweg, da Wände und Türen die Signale blockieren.

Zudem ist die Bandbreite dieses Kommunikationskanals eingeschränkt: Da die Trägerfrequenzen verglichen mit anderen Kommunikationsstandards eher niedrig sind, sind keine hohen Bandbreiten wie etwa bei WLAN möglich. Eine Durchsatzrate von 1000 Bit pro Sekunde gilt im Ultraschallbereich bereits als viel. Das reicht zwar nicht, um multimediale Daten zu übertragen, für den Austausch von Schlüsseln, Befehlscodes, Identifikationsnummern und Hashcodes ist diese Bandbreite aber vollkommen ausreichend.

Unerhört mitgelauscht

In den Medienfokus ist diese Form der Datenkommunikation erstmals 2015 durch die indische Firma Silverpush gerückt, deren Idee es war, den Fernsehton automatisch von einer auf dem Mobilgerät der Zuschauer laufenden App auswerten zu lassen, um zielgerichtete personalisierte Werbung passend zum TV-Programm auf deren Smartphones zu übertragen [1]. Dazu sollten Ultraschallcodes verwendet werden. Diese Initiative wurde von der Federal Trade Commission (FTC) in den USA in einem offenen Brief scharf kritisiert. Dennoch zeigte eine 2017 erschienene Studie der TU Braunschweig [2], dass der Quellcode von Silverpush bereits in zahlreichen mobilen Anwendungen integriert ist, die in Summe weltweit mehrere Millionen Mal heruntergeladen wurden. Die Studie zeigte weiter, dass die Nutzer über die unhörbare Kommunikation nicht informiert waren, womit solche Apps prinzipiell als Schadsoftware einstufbar wären.

Solche Formen der akustischen Kommunikation bergen eine ganze Reihe von Sicherheitsrisiken: Zunächst sind Übertragungen so gut wie unhörbar. Außerdem wird der Kommunikationsstatus des Lautsprechers und Mikrofons auf dem Display des Smartphones nicht über ein Statussymbol dargestellt, wie man das beispielsweise von WLAN und Bluetooth gewohnt ist. Somit werden Nutzer weder über eine stattfindende Kommunikation informiert noch über deren Notwendigkeit und Nutzen oder darüber, welche Daten übertragen werden. Transparenz und Kontrolle sind somit nicht gegeben.

Nutzer haben auch keine Möglichkeit, die für „Data over Sound“ verwendete Hardware (Lautsprecher und Mikrofon) angemessen zu kontrollieren. Hat man einmal die Zustimmung für die Verwendung des Mikrofons zur Aufnahme von Audiodaten erteilt, steht der akustischen Kommunikation permanent Tür und Tor offen. Die Menge an Apps, die Zugriff auf das Mikrofon haben, ist bereits heute beträchtlich, da viele die Möglichkeit der Spracheingabe nutzen. Geneigte Nutzer mögen an dieser Stelle in den Einstellungen ihres Smartphones einmal die Liste der Apps mit Mikrofonzugriffsberechtigung kontrollieren.

Noch kritischer ist es beim Lautsprecher, wo überhaupt kein Berechtigungsmechanismus vorgesehen ist. Jede App kann im Prinzip beliebige, auch private oder hochsensible Informationen (wie aktuelle Tastatureingaben, z. B. PIN-Codes) über den Lautsprecher an die Umgebung senden. Somit ist die Entwicklung von Spionage- und Schadsoftware auf Basis dieser Technologie ein leichtes Spiel. Ein entsprechender Trojaner könnte beispielsweise mithilfe von „Data over Sound“ geheime Informationen aus dem IT-System einer Firma exfiltrieren. Entsprechende Szenarien wurden bereits 2013 wissenschaftlich untersucht und als potenzielle Gefahr eingestuft [3].

Ultraschall-Firewall

Diese Gefährdungsszenarien haben Forscherinnen und Forscher an der Fachhochschule St. Pölten dazu bewogen, Methoden zum Schutz der Privatsphäre der Nutzer und zur Sicherung gegen Datendiebstahl zu entwickeln. Hierbei standen zwei Ziele im Vordergrund:

• Bewusstsein zu schaffen, indem Nutzer auf akustische Kommunikation und die damit verbundenen Risiken im Alltag aufmerksam gemacht werden – das ist von hoher Wichtigkeit, da diese neue Kommunikationsform in der Öffentlichkeit nach wie vor so gut wie unbekannt ist.
• Schutzfunktionen zu entwickeln, um den akustischen Kommunikationskanal zu kontrollieren und unerwünschte Datenübertragungen erkennen und unterbinden zu können.

Beide Ziele wurden durch die Entwicklung von SoniControl erreicht, einer Art Ultraschall-Firewall für „Data over Sound“ (https://sonicontrol.fhstp.ac.at). SoniControl ist eine Android-App, die im Hintergrund den akustischen Datentransfer überwacht. Dazu analysiert sie kontinuierlich die akustische Signatur des unhörbaren Frequenzbereichs und sucht nach potenziell gesendeten Datenpaketen.

Da bei „Data over Sound“ unterschiedliche Signalverarbeitungsmethoden zur Kodierung der Daten und Nachrichten verwendet werden, ist nicht im Voraus bekannt, welche Frequenzen und Modulationsart (z. B. Frequenz- oder Phasenmodulation) verwendet werden. Da somit vorab nicht klar ist, nach welchen Kodierungsmustern man im unhörbaren Frequenzbereich suchen muss, lag die Herausforderung darin, Datenpakete unabhängig von ihrer konkreten Kodierung zu erkennen: SoniControl modelliert dazu die Rauschcharakteristik der Umgebung und baut ein akustisches Hintergrundmodell auf. Abweichungen (Anomalien) von diesem Modell, die strukturell typische Muster einer Nachricht aufweisen, können so automatisch erkannt werden, ohne spezifische Informationen über das Nachrichtenformat zu benötigen.

Physikalische Blockade

Erkennt die App Frequenzmuster (auch „akustische Cookies“ genannt), die potenziell Nachrichten oder Daten enthalten, informiert SoniControl umgehend mittels einer Bildschirmbenachrichtigung. Nutzer können dann wählen, ob das akustische Cookie zukünftig blockiert werden soll oder passieren darf (vgl. Abb. 1). Im Falle der Blockierung wird mit dem eigenen Lautsprecher ein Störsignal ausgesendet, das den Kommunikationskanal verrauscht und dadurch die Übertragung von akustischen Cookies unterbindet. Eine Blockade über den Lautsprecher hat dabei zwei Vorteile: Einkommende Signale werden physikalisch unbrauchbar gemacht, noch bevor sie im Gerät digitalisiert und verwertbar gemacht werden. So können weder das Betriebssystem noch eine andere App die Daten auswerten.

Darüber hinaus werden auch ausgehende Signale vom eigenen Gerät mit dem Rauschsignal gestört. Das ist eine wichtige Funktion, da das Senden von Nachrichten über den Lautsprecher programmatisch nicht unterbunden werden kann. Ein möglicher Nachteil ist allerdings, dass die (unhörbaren) Störgeräusche andere Geräte in der Nähe in ihrer Kommunikation über Ultraschall beeinflussen könnten. Solange kein Berechtigungsmechanismus für den Lautsprecher in mobilen Betriebssystemen eingebaut wird, bleibt die aktive akustische Blockade jedoch die einzige wirksame Gegenmaßnahme.

Identifizierte akustische Cookies kann SoniControl inklusive ihrer GPS-Position speichern (vgl. Abb. 2). So können Nutzer festlegen, dass an Orten, an denen regelmäßig akustische Daten gesendet werden (z. B. vor oder in Geschäften mit fest installierten Lautsprechern, sogenannten „Ultrasound Beacons“), automatisch ein Störsignal gesendet wird, sobald sie sich dem Ort nähern.

Verbreitung und Ausblick

Die SoniControl-Firewall ist seit letztem Jahr über den Google Playstore kostenlos verfügbar und wird regelmäßig aktualisiert. Die Anwendung hat seit ihrer Veröffentlichung große Zustimmung gefunden und wurde bisher über 33.000 Mal installiert. Derzeit wird die SoniControl Firewall in einem geförderten Forschungsprojekt der Internet Privatstiftung Austria (IPA, www.netidee.at) weiterentwickelt und mit zusätzlichen Funktionen versehen. So soll es in Zukunft möglich sein, erkannte akustische Cookies zur besseren Analyse hörbar und mit Visualisierungsmethoden auch sichtbar zu machen. Darüber sollen unterschiedliche Data-over-Sound-Verfahren automatisch unterscheidbar werden. So ließen sich spezifischere Filter realisieren, die etwa ein bestimmtes System blockieren, andere jedoch zulassen (z. B. um spezifische Data-over-Sound-Services nutzen zu können, denen man vertraut).

SoniControl arbeitet vollkommen anonym und lokal auf dem Gerät der jeweiligen Nutzer. Um in Zukunft einen größeren Mehrwert zu generieren, wird jedoch gerade an einer Funktion gearbeitet, die es ermöglicht, erkannte Cookies zusammen mit Ort und Zeit anonym zu teilen. Ein Cloudservice sammelt die Daten, die andere Nutzer – auf Wunsch gefiltert nach Ort und Signaltyp – herunterladen können, um akustische Cookies auch präventiv zu blockieren. Potenziell personenbezogene Daten (z. B. der aktuelle Inhalt eines Cookies) werden dabei nicht geteilt oder serverseitig ausgewertet. Unternehmen könnten auf Basis dieser Sharingmethode in Zukunft auch ein zentrales Applikations-Management realisieren, das bestimmte Usergruppen regelmäßig mit aktuellen „Signaturen“ versorgt.

Auf lange Sicht wird es jedoch notwendig sein, die Entwickler von mobilen Betriebssystemen dahingehend zu sensibilisieren, dass Mikrofon und Lautsprecher besonders schützenswerte Sensoren sind. Sowohl ein Zugriffsschutz für den Lautsprecher ist dringend notwendig als auch die Möglichkeit, eine Genehmigung für den Mikrofonzugriff beispielsweise nur einmalig oder für eine gewisse Zeit zu erteilen – und nicht permanent, wie es derzeit etwa bei Android der Fall ist.

Positive Aspekte

Da bislang die Risiken im Vordergrund standen, könnte hier der Eindruck entstehen, „Data over Sound“ sei eine generell problematische und abzulehnende Technologie. Wie in den meisten Fällen ist jedoch nicht die zugrunde liegende Technik gut oder schlecht, sondern die Anwendungen, die darauf aufbauen. Auch wenn sich „Data over Sound“ einerseits zum Tracking von Usern und zum Exfiltrieren geschützter Informationen nutzen lässt, so gibt es doch auch zahlreiche nützliche und sinnvolle Anwendungen. Doch warum sollte man überhaupt auf den „Klangkanal“ setzen, wenn es heute doch eine große Bandbreite bewährter Kommunikationsverfahren wie Bluetooth, WLAN und NFC gibt?

Alleinstellungsmerkmale von „Data over Sound“

Die Übertragung per Ultraschall besitzt Eigenschaften, die es komplementär zu den genannten Verfahren macht: Zunächst einmal ist sie extrem anspruchslos in Bezug auf die benötigte Hardware – ein einfaches Mikrofon und ein Lautsprecher genügen. Beides ist in jedem (noch so „dummen“) Handy und in den meisten modernen Tablets und Fernsehern eingebaut. „Data over Sound“ funktioniert daher auch mit älteren Geräten, die eventuell kein NFC oder Bluetooth haben (Abwärtskompatibilität), ist billig und energieeffizient. Beides ist vor allem im Internet of Things (IoT) interessant, wo viele – oft hardwareseitig nur sehr einfach ausgestattete – Geräte effizient miteinander kommunizieren sollen.

Darüber hinaus ist die Kommunikation verglichen mit anderen Technologien robust. Wer mit Bluetooth arbeitet, kennt die fehleranfällige Gerätekopplung: Der Aufbau einer Bluetooth-Verbindung funktioniert oft erst nach mehreren Anläufen oder manchmal auch gar nicht. Mit „Data over Sound“ lassen sich Geräte innerhalb von wenigen Millisekunden koppeln. Einfach ist auch die Regulierung der Sendereichweite, die sich durch Anpassung der Lautstärke stufenlos einstellen lässt. So können für sicherheitsrelevante Anwendungen Abstände von wenigen Zentimetern erzwungen werden, in anderen Anwendungen hingegen mehrere Meter überbrückt werden.

Die begrenzte Reichweite von „Data over Sound“ hat auch Google als spezielles Merkmal für sich selbst entdeckt und solche Verfahren in sein Framework für Location-based Services „Google Nearby“ eingebaut (vgl. https://developers.google.com/nearby/). So will man Nutzer genauer lokalisieren als das beispielsweise mit WLAN oder Bluetooth möglich wäre – mit Ultraschall-Beacons (Ultraschalllautsprecher), die einen ortsabhängigen Identifikationscode aussenden.

Besonders für sicherheitsrelevante Anwendungen ist es von größter Bedeutung, dass die Kommunikation physikalische Grenzen hat. Da „Data over Sound“ nicht durch Wände geht, lässt sich sicherstellen, dass eine wechselseitige Kommunikation in einem Raum auch in diesem Raum bleibt und nicht von außen abgehört werden kann. Dies ist weder mit Bluetooth noch WiFi zu garantieren, da Wände deren höhere Sendefrequenzen nicht ausreichend abschwächen.

Darüber hinaus macht die Notwendigkeit teurer Zertifizierungen für Funksysteme in kommerziellen Produkten „Data over Sound“ generell zu einer attraktiven Alternative in Situationen, in denen geringe Datenmengen über kurze Distanzen gesendet werden sollen (z. B. beim Auslesen von Daten eines schwer zugänglichen Sensors aus einer ggf. auch laufenden Maschine).

Kommerzialisierung

In den letzten Jahren haben sich vermehrt Firmen mit dem Thema beschäftigt und eigene Programmbibliotheken (SDKs) entwickelt – etwa Lisnr (https://lisnr.com), Chirp (https://chirp.io) und CopSonic (www.copsonic.com). Anwendungsbereiche umfassen unter anderem berührungsloses Zahlen (Frictionless Payment), sichere Authentifizierung, Gerätekopplung, elektronisches Ticketing und Indoor-Navigation.

Die Anbieter solcher SDKs verfolgen üblicherweise ein Geschäftsmodell, das auf dem Verkauf von Lizenzen basiert. Daher sind die SDKs nur gegen Gebühren erhältlich und für Endanwender und kleinere Projekte nicht zugänglich. Außerdem ist der Code proprietär und kann daher von der Entwicklergemeinschaft nicht auf Sicherheitslücken und Fehler überprüft werden. Die einzelnen SDKs verwenden außerdem unterschiedliche Signalkodierungen und Formate für die gleichen Frequenzbereiche – sie sind daher inkompatibel und stören sich darüber hinaus auch noch wechselseitig.

Ein offenes Protokoll

Aufgrund der beschriebenen Situation entwickelt das Team hinter SoniControl das offene Data-over-Sound-Protokoll SoniTalk (https://sonitalk.fhstp.ac.at), dessen Spezifikation frei verfügbar ist. Das gleichnamige SDK (https://github.com/fhstp/SoniTalk), das mittels Java für Android umgesetzt wurde, implementiert das Kommunikationsprotokoll und ermöglicht das Senden und Empfangen beliebiger Daten im Ultraschallfrequenzbereich. Das Protokoll ist parametrisierbar, sodass man unter Verwendung unterschiedlicher Protokollkonfigurationen auch parallele Kommunikation betreiben kann.

Privacy-by-Design

Die Entwicklung von SoniTalk erfolgte unter dem Privacy-by-Design-Grundsatz, was besonders wichtig erscheint, da nicht absehbar ist, für welche Anwendungen das SoniTalk SDK in Zukunft zum Einsatz kommen könnte. Die eingebauten Privatsphäre- und Sicherheitsmechanismen verpflichten Apps jedoch dazu, den Privacy-by-Design-Grundsatz zu respektieren und zu befolgen.

• Das SoniTalk SDK zeigt per Statussymbol an, wann Daten gesendet oder empfangen werden – vergleichbar mit dem Statussymbol der mobilen Datenverbindung.
• Das SoniTalk SDK verfügt über ein fein abgestimmtes Berechtigungssystem: Für jede App, die das SDK nutzt, können verschiedene Sicherheitsstufen gewählt werden. In der höchsten Stufe muss jeder Sende- und Empfangsvorgang vom Nutzer bestätigt werden – niedrigere Stufen regeln die Berechtigungen auf Sitzungsebene oder über eine permanente Einstellung.
• Der Quellcode des SDKs ist frei verfügbar, offen und transparent und kann so einerseits von der Open-Source-Gemeinschaft um neue Funktionen erweitert, andererseits auch auf Sicherheitslücken geprüft werden.
• Da das Protokoll offen und frei verfügbar ist, können unterschiedliche Entwickler und Firmen durch Befolgung des Standards kompatible Software und Services entwickeln.

Das neue Protokoll soll in naher Zukunft in ersten Industrie-4.0-Anwendungen evaluiert werden. Ein dazu passender Ultraschall-Beacon für ortsabhängige Dienste auf Basis von SoniTalk ist derzeit in Entwicklung und soll ebenfalls als frei und offen spezifizierte Hardware zur Verfügung stehen.

Fazit

„Data over Sound“ wird sich früher oder später als ergänzende digitale Kommunikationsform etablieren. Einige Industriekooperationen mit großen Verwertungspartnern konnten kommerzielle Anbieter bereits aufbauen, zum Beispiel im Bereich der mobilen Zahlungen Lisnr und Equinox [4] sowie im IoT-Bereich Chirp und ARM [5,6]. Abgesehen davon sind bereits seit Android 6.0 Data-over-Sound-Komponenten im Rahmen des GoogleNearby-API fest in das Betriebssystem integriert.

Mit SoniTalk wird nun auch ein offener und frei verfügbarer Standard inklusive SDK verfügbar. So können Firmen frühzeitig evaluieren, ob die Technologie für ihre Problemstellungen und Anwendungsszenarien geeignet ist. Darüber hinaus können Smartphonenutzer mit der SoniControl-Firewall Data-over-Sound-Aktivitäten überwachen und sich gegen ungewolltes akustisches Tracking schützen. Eine Integration von SoniControl in das SoniTalk-Protokoll ist für die Zukunft geplant.

Offene Fragen bleiben sowohl im sozialen als auch im juristischen Bereich: Einerseits muss geklärt werden, inwiefern die Technologie ungewollten Einfluss auf Menschen und Tiere hat. Kinder beispielsweise haben eine deutlich höhere Sensitivität für Frequenzen im Bereich von 19–20 kHz als Erwachsene und können den bei „Data over Sound“ verwendeten Ultraschall zum Teil hören – Gleiches gilt für Tiere, die ein besseres Hörvermögen als Menschen haben. Es bleibt im Detail zu untersuchen, wie störend und einschränkend die Geräusche sind und ob es unerwünschte psychoakustische Effekte durch Ultraschallsignale gibt. Eine Initiative, die den Einfluss von Ultraschall auf unser Gehirn untersuchen will, ist etwa das offene Projekt „Street Wise“ (www.isotoperesearch.ca/wiki/index.php?title=User:Tkadm30/Notebook/Psychoenergetics).

Unklar bleibt andererseits auch die rechtliche Einordnung von „Data over Sound“. Kürzlich wurde eine erste Studie veröffentlicht, die sich mit dem rechtlichen Kontext von Audio-Tracking beschäftigt und zu dem Schluss kommt, dass Nutzer über einen entsprechenden Informationsaustausch zu informieren sind und entsprechende Berechtigungen eingeholt werden müssen [7].

Für weitere Informationen zum Thema steht im Übrigen auch die Literatur- und Linksammlung im SoniControl-Wiki zur Verfügung (https://sonicontrol.fhstp.ac.at/soniwiki/).

FH-Prof. Dipl.-Ing. Mag. Dr. Matthias Zeppelzauer (matthias.zeppelzauer@fhstp.ac.at) ist Senior Researcher am Institut für Creative Media Technologies der Fachhochschule St. Pölten.

Literatur

[1] Iain Thomson, How TV ads silently ping commands to phones: Sneaky SilverPush code reverse-engineered, The Register, November 2015, www.theregister.co.uk/2015/11/20/silverpush_soundwave_ad_tracker
[2] Daniel Arp, Erwin Quiring, Christian Wressnegger, Konrad Rieck, Privacy Threats through Ultrasonic Side Channels on Mobile Devices, in: Proceedings of 2nd IEEE European Symposium on Security and Privacy (EuroS&P), April 2017, ISBN 978-1-
5090-5762-7, online auf christian. wressnegger.info/content/projects/sidechannels/2017-eurosp.pdf
[3] Michael Hanspach, Michael Goetz, On Covert Acoustical Mesh Networks in Air, Journal of Communications 8 (11), November 2013, S. 758, online auf www.jocm.us/uploadfile/2013/1125/20131125103803901.pdf
[4] LISNR, Equinox Payments and LISNR Team Up to Deliver Payments Using Ultrasonic Data Transmission, Pressemitteilung, Oktober 2018, https://lisnr.com/company/newsroom/equinox-payments-lisnr-deliver-payments-ultrasonic-data-transmission/
[5] Chirp, Chirp and Arm announce white paper on acoustic data transmission for IoT, Blogpost, März 2019, https://blog.chirp.io/arm-whitepaper/
[6] Kobus Marneweck, James Nesfield, Dr. Adib Mehrabi, Dr. Daniel Jones, Why data-over-sound is an integral part of any IoT engineer’s toolbox, Whitepaper, März 2019, https://pages.arm.com/data-oversound.html (Registrierung erforderlich)
[7] Ermano Geuer, Fabian Reinisch, Rechtliche Einordnung von AudioTracking, Zeitschrift für Informationsrecht 6 (3), August 2018, S. 274, online verfügbar auf www.eylaw.at/news/detail/rechtliche-einordnungvon-audio-tracking