Autentificarea cu amprentă nu e atât de sigură pe cât crezi

Cercetătorii de la Tencent Labs și de la Universitatea Zhejiang au prezentat un nou atac numit „BrutePrint”, care forțează autentificarea cu amprente digitale pe smartphone-urile moderne pentru a compromite autentificarea utilizatorilor și a prelua controlul asupra dispozitivului, scrie Bleeping Computer. 

Atacurile cu forță brută se bazează pe multe încercări de tip trial&error (încercare și eroare) de a sparge un cod, o cheie sau o parolă și de a obține acces neautorizat la conturi, sisteme de operare sau rețele.

Cercetătorii chinezi au reușit să depășească barierele de protecție existente pe smartphone-uri, cum ar fi numărul limită de încercări și de detecții care protejează împotriva atacurilor cu forță brută, prin exploatarea a ceea ce susțin că sunt două vulnerabilități zero-day, și anume Cancel-After-Match-Fail (CAMF) și Match-After-Lock (MAL).

Autorii lucrării tehnice, Yu Chen și Yiling He, publicate pe Arxiv.org au descoperit, de asemenea, că datele biometrice din interfața periferică serială (SPI) a senzorilor de amprentă digitală au fost protejate inadecvat, permițând un atac de tip man-in-the-middle (MITM) pentru a deturna imaginile cu amprentă digitală. Atacurile BrutePrint și SPI MITM au fost testate împotriva a zece modele populare de smartphone-uri, realizând încercări nelimitate pe toate dispozitivele Android și HarmonyOS și zece încercări suplimentare pe dispozitivele iOS.”

Ce spune despre acest studiu Jake Moore, Global Cyber Security Advisor al ESET: ”Aceste constatări sună alarmante la prima vedere. Cu toate acestea, la o analiză mai atentă, amenințarea poate să nu fie atât de imanentă cum s-a sugerat. În primul rând, această vulnerabilitate este acum documentată public și poate fi remediată. În al doilea rând, pentru un atac de succes, trebuie să fie îndeplinite mai multe cerințe preliminare:  versiuni vechi de Android, hardware vechi, dar și acces fizic la dispozitivul victimei. 

Prin urmare, este sigur să spunem că pentru utilizatorii obișnuiți, acest tip de atacuri nu reprezintă o amenințare directă sau poate fi considerat un risc minor. Dacă aceste puncte slabe nu sunt deja remediate de hardware-ul și software-ul actual, este probabil că vor fi remediate în actualizările viitoare.”

Studiul complet poate fi citit aici.