La biometria delle impronte digitali Android cade nell'attacco "BrutePrint".

Sicurezza degli endpoint, gestione di identità e accessi, operazioni di sicurezza

I ricercatori di sicurezza hanno dimostrato un attacco pratico che può essere utilizzato per aggirare i controlli biometrici delle impronte digitali e accedere allo smartphone Android di un bersaglio.

Vedi anche: Webinar dal vivo | Smascherare Pegasus: comprendi la minaccia e rafforza la tua difesa digitale

I ricercatori di sicurezza Yu Chen della Tencent e Yiling He dell'Università di Zhejiang hanno svelato l'attacco, che hanno soprannominato "BrutePrint", in un nuovo documento di ricerca. Il loro attacco di forza bruta è economico, pratico da implementare su larga scala e può essere utilizzato per accedere ai dispositivi e autorizzare pagamenti, hanno affermato.

Per semplificare tali attacchi, i ricercatori hanno spiegato in dettaglio come è possibile creare un circuito stampato, che costa circa 15 dollari, per ciascun tipo di dispositivo da prendere di mira, in grado di automatizzare la sequenza dell’attacco. Di conseguenza, per portare BrutePrint alle masse è necessaria poca esperienza o formazione.

Da quando Apple ha lanciato la funzionalità Touch ID nel 2013, numerosi produttori di smartphone hanno distribuito dispositivi che gli utenti possono sbloccare con un'impronta digitale. La biometria delle impronte digitali offre una combinazione di usabilità e sicurezza, almeno quando funziona come promesso.

I ricercatori hanno trovato modi innovativi per aggirare i controlli di sicurezza basati sulle impronte digitali. Alcuni dei metodi più memorabili coinvolgono orsetti gommosi, Play-Doh, fotocopie e colla per legno. In risposta, i produttori hanno continuato ad aggiungere funzionalità di sicurezza, come dispositivi di blocco, dopo troppi tentativi falliti e hanno utilizzato controlli capacitivi per rilevare se un dito è reale (vedi: Biometrics: Advances Smack Down Workarounds).

Yu e Yiling hanno affermato che BrutePrint consente loro di aggirare il rilevamento dello spoofing e i tentativi di limitare il numero di tentativi su 10 diversi dispositivi Android, tra cui Xiaomi Mi 11 Ultra, Vivo X60 Pro, OnePlus 7 e Samsung Galaxy S10 Plus. Le tecniche possono essere utilizzate per sbloccare un dispositivo vulnerabile quasi tre quarti delle volte, hanno affermato.

Per aggirare i limiti dei tentativi, i ricercatori hanno sfruttato due difetti zero-day nel framework di autenticazione tramite impronta digitale dello smartphone, ovvero SFA, sui dispositivi Android. Hanno inoltre preso di mira la scarsa sicurezza nell’implementazione dell’interfaccia periferica seriale dei sensori di impronte digitali, per tentare di decodificare le copie delle impronte digitali memorizzate. Anche se questo non è essenziale, i ricercatori hanno affermato che il recupero delle impronte digitali aumenta le possibilità di successo di BrutePrint.

BrutePrint procede attraverso quattro fasi:

Anche se l'attacco ha funzionato su tutti i dispositivi Android testati dai ricercatori, non è riuscito su entrambi i modelli Apple - iPhone 7 e SE - testati, a causa della memorizzazione dei dati delle impronte digitali in formato crittografato e delle protezioni che impediscono l'immissione dei dati delle impronte digitali. dirottabile.

I limiti di velocità, che bloccano un dispositivo dopo troppi tentativi falliti di autenticazione tramite impronta digitale, sono una caratteristica di tutti i moderni sistemi operativi per smartphone. I bug SFA presi di mira dai ricercatori come parte di BrutePrint hanno permesso loro di aggirare le difese del limite di velocità, offrendo loro infiniti tentativi di successo. Hanno affermato che questa capacità rimane essenziale, poiché gli attacchi riusciti potrebbero richiedere ore per essere completati.

Il rilevamento della vivacità è un'altra difesa diffusa progettata per bloccare l'input falsificato. Per sconfiggere questo, i ricercatori utilizzano il Cycle Generative Adversarial Network, noto anche come CycleGAN, che è una tecnica che addestra una rete neurale a tradurre un’immagine in un’altra. L'utilizzo di CycleGAN, hanno affermato, consente loro di creare immagini di dizionario di qualità sufficiente, che appaiono sufficientemente corrette per i controlli di sicurezza di uno smartphone affinché BrutePrint abbia successo contro qualsiasi dispositivo Android il 71% delle volte.