La biométrie des empreintes digitales Android tombe sous l'attaque « BrutePrint »

Sécurité des points finaux , Gestion des identités et des accès , Opérations de sécurité

Les chercheurs en sécurité ont démontré une attaque pratique qui peut être utilisée pour contrecarrer les contrôles biométriques d'empreintes digitales et se connecter au smartphone Android d'une cible.

Voir aussi : Webinaire en direct | Démasquer Pegasus : comprenez la menace et renforcez votre défense numérique

Les chercheurs en sécurité Yu Chen de Tencent et Yiling He de l'Université du Zhejiang ont dévoilé l'attaque, qu'ils ont surnommée « BrutePrint », dans un nouveau document de recherche. Leur attaque par force brute est peu coûteuse, pratique à déployer à grande échelle et peut être utilisée pour se connecter à des appareils ainsi qu'autoriser des paiements, ont-ils déclaré.

Pour simplifier de telles attaques, les chercheurs ont détaillé comment un circuit imprimé, qui coûte environ 15 dollars, peut être créé pour chaque type d'appareil à cibler, ce qui peut automatiser la séquence d'attaque. En conséquence, peu d’expérience ou de formation est requise pour présenter BrutePrint au grand public.

Depuis qu'Apple a lancé sa fonctionnalité Touch ID en 2013, de nombreux fabricants de smartphones ont commercialisé des appareils que les utilisateurs peuvent déverrouiller avec une empreinte digitale. La biométrie par empreintes digitales offre une combinaison de convivialité et de sécurité – du moins lorsqu'elle fonctionne comme promis.

Les chercheurs ont trouvé des moyens innovants pour déjouer les contrôles de sécurité basés sur les empreintes digitales. Certaines des méthodes les plus mémorables impliquent des oursons gommeux, du Play-Doh, des photocopies et de la colle à bois. En réponse, les fabricants ont continué à ajouter des fonctionnalités de sécurité, telles que des dispositifs de verrouillage, après de trop nombreuses tentatives infructueuses et ont utilisé des contrôles capacitifs pour détecter si un doigt est réel (voir : Biométrie : avance les solutions de contournement de Smack Down).

Yu et Yiling ont déclaré que BrutePrint leur permettait de contourner la détection d'usurpation d'identité et de tenter de limiter le nombre d'essais sur 10 appareils Android différents, dont le Xiaomi Mi 11 Ultra, le Vivo X60 Pro, le OnePlus 7 et le Samsung Galaxy S10 Plus. Ces techniques peuvent être utilisées pour déverrouiller un appareil vulnérable dans près des trois quarts du temps, ont-ils déclaré.

Pour contourner les limites de tentatives, les chercheurs ont exploité deux failles zero-day dans le cadre d'authentification par empreinte digitale des smartphones - alias SFA - sur les appareils Android. Ils ont également ciblé la faible sécurité dans la mise en œuvre de l’interface périphérique série des capteurs d’empreintes digitales, pour tenter de procéder à une ingénierie inverse des copies des empreintes digitales stockées. Bien que cela ne soit pas essentiel, les chercheurs ont déclaré que la récupération des empreintes digitales augmente les chances de réussite de BrutePrint.

BrutePrint procède en quatre étapes :

Bien que l'attaque ait fonctionné sur tous les appareils Android testés par les chercheurs, elle a échoué sur les deux modèles Apple - un iPhone 7 et SE - qu'ils ont testés, en raison du stockage des données d'empreintes digitales dans un format crypté, ainsi que des protections qui empêchent l'entrée des données d'empreintes digitales. détournable.

Les limites de débit, qui verrouillent un appareil après de trop nombreuses tentatives infructueuses d’authentification par empreinte digitale, sont une caractéristique de tous les systèmes d’exploitation de smartphones modernes. Les bugs SFA ciblés par les chercheurs dans le cadre de BrutePrint leur ont permis de contourner les défenses de limitation de débit, leur donnant ainsi une infinité de tentatives pour réussir. Ils ont déclaré que cette capacité reste essentielle, car des attaques réussies peuvent prendre des heures.

La détection de la vivacité est une autre défense répandue conçue pour bloquer les entrées usurpées. Pour vaincre cela, les chercheurs utilisent le Cycle Generative Adversarial Network, alias CycleGAN, qui est une technique qui entraîne un réseau neuronal à traduire une image en une autre. L'utilisation de CycleGAN, ont-ils déclaré, leur permet de créer des images de dictionnaire de qualité suffisante, qui semblent suffisamment correctes pour les contrôles de sécurité d'un smartphone pour que BrutePrint réussisse sur n'importe quel appareil Android donné dans 71 % des cas.