Hakerzy mogą przejąć odcisk Twojego palca
Przed cyberprzestępcami nie ma ucieczki. Nawet zabezpieczenia biometryczne nie stanowią całkowitej ochrony. Hakerzy mogą przejąć odcisk Twojego palca, a w konsekwencji kontrolę nad smartfonem.
W tym tekście (3)
Cyberprzestępcy wykorzystują dane biometryczne
Badacze ds. cyberbezpieczeństwa odkryli tanie narzędzie, pozwalające cyberprzestępcą przejmować odciski palców i w konsekwencji uzyskiwać kontrole nad cudzymi urządzeniami mobilnymi.
Metoda ta, nazwana BrutePrint, korzysta z 2 luk w systemie uwierzytelniania odcisków palców w smartfonach. Luki te powstają z powodu niewystarczającego zabezpieczenia danych w czujnikach telefonów.
Atak polega na działaniu jako pośrednik między czytnikiem linii papilarnych a środowiskiem Trusted Execution Environment (TEE). Dzięki temu cyberprzestępca ma możliwość wysyłania nieograniczonej liczby obrazów odcisków palców, dopóki nie zostanie znalezione dopasowanie. Jednak wymaga to posiadania fizycznego dostępu do urządzenia docelowego.
Twój odcisk palca wcale nie jest bezpieczny
Badacze wykorzystują dwie luki w systemie. Pierwsza z nich, Cancel-After-Match-Fail (CAMF), pozwala na unieważnienie sumy kontrolnej danych odcisków palców, umożliwiając atakującemu nieograniczoną liczbę prób. Druga luka, Match-After-Lock (MAL), wykorzystuje kanał boczny do wnioskowania o dopasowaniu obrazów odcisków palców. Nawet jeśli urządzenie weszło w tryb blokady po wielu nieudanych próbach logowania.
Eksperyment przeprowadzono na 10 modelach smartfonów różnych producentów. Badacze uzyskali w ten sposób nieograniczoną liczbę prób na urządzeniach z systemem Android i HarmonyOS oraz 10 dodatkowych prób na urządzeniach z systemem iOS.
Odkrycia te pojawiły się w kontekście badań nad hybrydowym kanałem bocznym, który wykorzystuje procesory graficzne do ataków i analizowania historii przeglądanych stron. Odkryto również atak o nazwie Hot Pixels, wykorzystujący zachowanie przeglądarek internetowych do pobierania odcisków palców i zbierania historii przeglądania użytkownika.
Bigtechy dostrzegają problem
Badacze zalecają zakaz stosowania filtrów SVG w niektórych elementach stron internetowych oraz zapobieganie nieuprawnionemu dostępowi do odczytu czujników.
Również firmy takie jak Apple, Google, AMD, Intel, Nvidia i Qualcomm potwierdziły te problemy i są świadome konieczności naprawienia tych luk w zabezpieczeniach. To odkrycie stanowi poważne wyzwanie dla bezpieczeństwa biometrycznego na smartfonach.