Як зламувати смартфони за допомогою 3D-моделей відбитків пальців

З моменту появи біометричної аутентифікації методом сканування відбитків пальців не вщухають суперечки про надійність пропозиції. Інженери компанії Cisco вирішили поставити якщо не крапку в цій суперечці, то хоча б позначити більш-менш чіткі межі уразливості такого захисту.

Співробітники підрозділу Talos компанії Cisco Systems провели багатомісячні дослідження можливих технологій виготовлення копій або муляжів пальців з малюнком відбитків пальців, а також вивчили найбільш прості способи отримання даних про відбитки пальців потенційних жертв.

Так, малюнок папілярних ліній на подушечках пальців може бути отриманий трьома способами: прямим відбитком з пальців жертви, що знаходиться в неосудному стані, за допомогою зняття відбитка з предметів, наприклад, зі скляного посуду в громадських місцях, а також за допомогою відбитків, отриманих з відомчих баз даних, наприклад, витоків з митниці.

Помаранчевим кольором на графіку показаний злом за допомогою зліпка, а синім — за допомогою відбитка, знятого з скла

Експерименти показали, що найкращий результат по злому захисту дають муляжі, виготовлені на основі прямих зліпків. Зняті відбитки з предметів, особливо з скляного посуду, виявляються не набагато гірше для подальшого злому аутентифікації, ніж прямий зліпок. Бази даних з відбитками громадян, що цікаво, виявилися найменш надійним джерелом даних для виготовлення 3D-моделей пальців. Цьому завадило порівняно низька якість зображень відбитків, що зберігаються в базах.Муляж подушечки пальця з малюнком папілярних ліній виготовлявся з еластичного матеріалу, в якості якого кращими були визнані клеї на основі силікону і для склеювання текстилю. Форму для виготовлення муляжу надрукували на звичайному 3D-принтері з дозволом не гірше 50 мікрон. Жорстка форма, як ви розумієте, не годиться для імітації подушечки пальця. Щоб місткість система аутентифікації реагувала на муляжі, в клей додавали струмопровідний алюмінієвий порошок або графіт. Крім оптичної і ємнісний, перевірялися також ультразвукові датчики. До речі, найскладнішим в підборі муляжів для злому виявилося підібрати розмір відбитка. Але це лише збільшує число спроб, що не принципово.

В результаті експериментів з’ясувалося, що розроблена інженерами методика в середньому допомагає зламати дактилоскопічну захист приблизно в 80% випадків. Але панікувати не потрібно. При втраті або крадіжці телефону зламати пристрій можна тільки тоді, коли власника пристрою візьмуть в серйозний оборот. В іншому випадку навряд чи хтось буде полювати за відбитками людини, щоб отримати доступ до красти пристрою.

Найбільш стійкими до злому за допомогою муляжів пальців виявилися пристрої HP Pavilion x360, Samsung A70 і Lenovo Yoga. Жоден з випробуваних інженерами Cisco методів не дозволив обійти систему аутентифікації. Зате зламати Samsung Galaxy S10 і Apple iPhone 8 вдалося в 80% випадків (спроб). Ноутбук MacbookPro і зовсім відкрився в 95% випадків.