12:05
9/4/2020

Badacze z Cisco Talos osiągnęli 80% skuteczności atakując czytniki odcisków palców przy pomocy replik odcisków wytworzonych z użyciem drukarki 3D. Trzeba jednak dodać – proces jest czasochłonny, a skuteczność zależy od metody uzyskania odcisku.

Dobrze wiecie, że biometrię da się obejść. Czasami wystarczy do tego taśma klejąca lub wikol, ale można użyć bardziej zaawansowanej technologii jak drukarka 3D. Taki sprzęt jest coraz lepszy i tańszy, dlatego badacze z Cisco Talos postanowili sprawdzić na ile w stanie obecnym można ufać biometrii.

Badacze musieli wziąć pod uwagę różnorodność czytników odcisków palców, które obecnie można podzielić na trzy grupy.

  • Czytniki pojemnościowe – wykorzystują układy miniaturowych kondensatorów. Przyłożenie palca do czytnika powoduje zaburzenie równowagi elektrycznej, a kondensatory dotykane przez skórę zachowają się inaczej niż te, które trafiły na bruzdę w skórze i nie są dotykane.
  • Czytniki optyczne – odczytują obraz odcisku palca i muszą mieć swoje źródło światła, które działa w momencie kontaktu z powierzchnią opuszka. Światło odbite od opuszka jest kierowane przez pryzmat i soczewkę do matrycy światłoczułej.
  • Czytniki ultradźwiękowe – są stosunkowo nowe i spotykamy je zwłaszcza w urządzeniach wykrywających odcisk palca przez ekran. W tym przypadku pseudo-obraz odcisku palca jest tworzony w oparciu o odbijane przez opuszek fale ultradźwiękowe. Bruzdy w skórze odbijają fale inaczej niż listewki.

Już sama różnorodność czytników wpływa na poziom skomplikowania ataku. Trzeba było wybrać takie sposoby produkcji replik i materiałów, aby mogły one podziałać na każdy czytnik.

Pozyskiwanie odcisków

Badacze Cisco Talos wzięli pod uwagę trzy możliwe scenariusze ataku.

  • Bezpośrednie pobranie odcisku tzn. skłonienie ofiary by odcisnęła swój palec w miękkim materiale (np. w plastelinie). Ten sposób ataku jest o tyle wygodny, że z miejsca otrzymujemy dobrze przygotowaną formę do wykonania repliki odcisku.
    Niestety, ludzie nie zawsze są skłonni do współpracy i czasem trzeba ich zmusić siłowo lub nafaszerować substancją psychoaktywną. Jest to pewna niedogodność.
  • Pobranie odcisku przez czytnik, czyli scenariusz możliwy do zastosowania na lotnisku lub na siłowni. W celu dokonania ataku badacze Talosa opracowali prosty czytnik złożony z sensora UART podłączonego do Arduino UNO.
  • Pobranie odcisku z powierzchni wcześniej dotykanej przez użytkownika.

Każdy z opisanych scenariuszy sprawiał inne problemy. Przykładowo odcisk uzyskany przez czytnik palca okazywał się zbyt mały dla niektórych sensorów stosowanych w telefonach. Trzeba było pobierać kilka próbek i łączyć je w jeden obraz.

Przepiękna ilustracja problemu. Odciski palca Ala Capone z kartoteki FBI. Gdybyśmy chcieli pozyskać tak szerokie odciski z czytnika, musilibyśmy je złożyć z kilku części pobranych w różnym czasie.

Zdjęcia odcisków pozyskanych ze szkła trzeba było poddawać obróbce w celu uzyskania lepszego kontrastu, a zatem i na tym etapie trzeba było się nieco napracować.

Przygotowanie form

Przygotowane graficznie odciski trzeba było zamienić na formy do przygotowania replik. Właśnie na tym etapie użyto drukarek 3D. Znów pojawiły się problemy bo odciski należało bardzo precyzyjnie wyskalować. Oprogramowanie ZBrush nie ułatwiało tego, a dodatkowo wydrukowana forma odcisku musiała być poddana utwardzaniu w promieniach UV co zmieniało finalny rozmiar. Badacze musieli wytworzyć ponad 50 form odcisków, które następnie testowano na czytnikach by ocenić dokładność uzyskanych wymiarów.

Druk z warstw o wysokości 25 mikronów dawał świetne rezultaty, natomiast druk z warstw o wysokości 50 mikronów pozwalał na znaczne skrócenie czasu przygotowania form.

Gotowe formy odcisków w czasie utwardzania promieniami UV

Kiedy już wytworzono formy odcisków, badaczom pozostało stworzenie fałszywych odcisków do założenia na palec. Trzeba było podjąć decyzje o najlepszym materiale do tego celu. Okazał się nim… tani klej do tkanin.

Wyniki

Testy wykonanych replik odcisków przeprowadzono na urządzeniach mobilnych, laptopach oraz na kłódce z czytnikiem odcisków i na szyfrowanych pendrive’ach. Wyniki przedstawia poniższy wykres (kliknij by powiększyć).

  • Słupki pomarańczowe pokazują odsetek udanych ataków z bezpośrednim zbieraniem odcisków (tzn. gdy odcisk palca był odbijany w miękim materiale). Jak widzicie, te ataki były najbardziej udane.
  • Słupki niebieskie pokazują ataki, w których pozyskano obraz odcisku przy pomocy czytnika.
  • Słupki żółte pokazują odsetek udanych ataków przy pomocy odcisków zebranych z powierzchni.

Jak widzicie, Samsung A70 jakoś sie obronił, podobnie jak HP Pavilion X360, Lenovo Yoga. Obroniły się też klucze USB Verbatima i Leksara. W przypadku pozostałych urządzeń słupki pokazują odsetek udanych ataków.

Najlepiej wypadły ataki przy pomocy odcisków zebranych bezpośrednio, ale z drugiej strony odciski zebrane z powierzchni nie miały najgorszych wyników. W przypadku MacBooka Pro z roku 2018 udało się 60% ataków na odciskach z powierzchni. W przypadku Samsung Note 9 i 10 żółte słupki przekroczyły 70%.

Metoda nie dla każdego

Trudno przeprowadzić takie badania w sposób stuprocentowo zadowalający. Z jednej strony można sądzić, że przy nieco lepszej drukarce i nieco większej ilości czasu możliwe byłoby złamanie zabezpieczeń także tych bardziej odpornych urządzeń. Z drugiej strony badacze przekonali się, że poważną przeszkodą jest dokładnej brak metody skalowania, co sprawia, iż proces przygotowania form dla odcisków jest czasochłonny.

Powiedzmy szczerze, taka metoda mogłaby być wykorzystana jeśli odpowiednio zmotywowana grupa atakujących będzie chciała ominąć zabezpieczenie do jakiegoś bardzo istotnego urządzenia. Nie będzie to natomiast metoda wykorzystywana masowo i przez zwykłych przestępców.

Więcej na temat przeprowadzonych badań i wniosków z tych badań znajdziecie na blogu Cisco Talos w artykule pt. Fingerprint cloning: Myth or reality?

Jest też podsumowanie filmowe.

Co robić? Jak żyć!

Noś rękawiczki by chronić się przed koronawirusem. Przy okazji zostawisz mniej odcisków palców, a już w ogóle mało ich zostawisz jeśli zostaniesz w domu :).

Mówiąc poważnie można zgodzić się z badaczami Talosa w jednej kwestii – biometria nie jest na tyle dojrzała, aby zastąpić hasła i 2FA w każdej sytuacji. Wiadomo o tym nie od dziś. Oczywiście biometria będzie lepsza niż kompletny brak zabezpieczeń i będzie się sprawdzać zwłaszcza tam, gdzie ludzie potrzebują szybkiej metody uwierzytelniania i mogą zapominać haseł. Tam, gdzie kluczowe jest bezpieczeństwo nadal przyda się mocne hasło i dwuskładnikowe uwierzytelnianie.

Samo użycie drukarki 3D do oszukania biometrii nie jest bardzo nowatorskie. Badacze z Michigan State University (MSU) pracujący na zlecenie policji już to robili.

Jeśli interesują was inne ciekawe odkrycia w temacie biometrii to koniecznie poczytajcie o tym, jak maską za 150 dolarów dało się obejść Face ID, albo jak oszukano ten sam system taśmą i okularami. Warto też wiedzieć, że wosk i zwykła drukarka też mogą służyć do oszukania biometrii.


Dowiedz się, jak zabezpieczyć swoje dane i pieniądze przed cyberprzestępcami. Wpadnij na nasz kultowy ~3 godzinny wykład pt. "Jak nie dać się zhackować?" i poznaj kilkadziesiąt praktycznych i przede wszystkim prostych do zastosowania porad, które skutecznie podniosą Twoje bezpieczeństwo i pomogą ochronić przed atakami Twoich najbliższych. Uczestnicy tego wykładu oceniają go na: 9,34/10!

Na ten wykład powinien przyjść każdy, kto korzysta z internetu na smartfonie lub komputerze, prywatnie albo służbowo. Wykład prowadzimy prostym językiem, wiec zrozumie go każdy, także osoby spoza branży IT. Dlatego na wykład możesz spokojnie przyjść ze swoimi rodzicami lub mniej technicznymih znajomych. W najbliższych tygodniach będziemy w poniższych miastach:

Zobacz pełen opis wykładu klikając tutaj lub kup bilet na wykład klikając tu.

7 komentarzy

Dodaj komentarz
  1. Najlepsze chyba zabezpieczenie to coś co masz + coś co wiesz.

  2. Danych biometrycznych nie da się zmienić w razie wycieku.

    Poza tym odciski naszych linii papilarnych są na każdym przedmiocie, którego kiedykolwiek dotknęliśmy.

    Dlatego należy z biometrii raz na zawsze ZREZYGNOWAĆ.

  3. Dlatego uważam, że stare dobre hasło to jednak była bardzo dobra metoda zabezpieczenia.

  4. Mimo pełnego szacunku dla interlokutorów to jednak trochę dramatyzują! Nie słyszałem, by gdziekolwiek i kiedykolwiek ktoś się włamał wykorzystując czyjś odcisk zostawiony na szklance z whisky czy poręczy autobusu. Może z wyjątkiem…. filmów. Z odcięciem palca włącznie!
    Natomiast nieraz słyszałem, że złamano hasło czy kod obrazkowy. Nie tylko w filmach.

    NIE MA NAJLEPSZEGO ZABEZPIECZENIA!

  5. Nie potrzebni są do tego badacze, wystarczą youtuberzy
    np https://www.youtube.com/watch?v=PdkUtxfzy2o

    • Ha, też lubimy emce□ :)
      Cóż – nie ma zabezpieczeń idealnych i złamanie nawet tych biometrycznych to zawsze tylko kwestia czasu.

  6. Ktokolwiek ogladal “Człowieka Demolke” wie ze identyfikacja biometryczna to nie jest wcale taka fajna sprawa, przynajmniej dopuki skanery nie beda wstanie jednoznacznie potwierdzic (i wymagac) zeby skanowana czesc ciala byla wciaz przytwierdzona do wlasciciela :p

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: