Android: 指紋認証には大きな問題がある

Tencent Labs と浙江大学の研究者は、最新のスマートフォンを標的とし、指紋によるユーザー認証の回避とデバイスの制御を強制する「BrutePrint」と呼ばれる新たな攻撃を明らかにしました。

Android スマートフォンにとって悪いニュースですが、生体指紋認証は重大なセキュリティ上の問題に直面し、一部のハッカーがこの認証方法を回避してデバイスにアクセスできるようになる可能性があります。 Tencent Labs と浙江大学による新しい共同レポートのおかげで、次のことがわかりました。「総当たり」でスマートフォンのロックを解除することも可能です。

ブルーフォース攻撃が依存するのは、コードやパスワードを解読して不正アクセスを試みる繰り返しの試み。ここでは、中国の研究者が、Cancel-After-Match-Fail (CAMF) と Match-After-Lock (WRONG) という 2 つのゼロデイ脆弱性を悪用することで、ブルート フォース攻撃に対するスマートフォンの保護対策を回避することに成功しました。

研究者らは、指紋センサーのシリアル ペリフェラル インターフェイス (SPI) 上の生体認証データが十分に保護されていないため、中間者攻撃 (MITM) に対して脆弱になり、指紋画像のハイジャックを可能にしてしまうことを発見しました。

BrutePrint 攻撃を実行するには、攻撃者はターゲットデバイスに物理的にアクセスする必要がある、学術データセットまたは漏洩した生体認証データから取得できる指紋データベース、および機器の費用はわずか 15 ドル程度です。パスワード クラッキングとは異なり、指紋照合ではベースラインが使用されるため、攻撃者は他人受入率 (FAR) を操作して目的を達成できます。受け入れられる閾値を高め、成功の可能性を高めます。

Android の欠陥を利用して、ハッカーはチェックサム エラーを挿入して認証プロセスを途中で中止し、デバイスの記録に失敗することなく、指紋認証を無制限に試行できます。BrutePrint 攻撃の最後の要素には、「ニューラル スタイル転送」システムを使用してデータベース内のすべての指紋画像を変換し、ターゲット デバイスのセンサー スキャンに似せることが含まれます。これにより、成功の可能性が高まります。

iOS スマートフォンはこれらの攻撃に対してより耐性があります

研究者らは 10 台の Android および iOS デバイスで実験を行ったところ、すべてのデバイスが少なくとも 1 つの欠陥に対して脆弱であることを発見しました。 Android デバイスでは指紋認証の試行回数は無限に許可されていましたが、iOS デバイスは、ブルート フォース攻撃の防止においてより堅牢であることが証明されています。

BrutePrint は、デバイスのセキュリティとプライバシーに関する懸念を引き起こします。それでも攻撃にはターゲットデバイスへの長時間のアクセスが必要です、犯罪者が盗まれたデバイスのロックを解除して個人データを抽出できる可能性があるため、泥棒や法執行機関にとって価値があることが証明される可能性があります。捜査でこれらの手法を使用すると、次のような問題も発生します。倫理上の問題があり、プライバシーの権利を侵害する可能性があります。