19:34
13/11/2017

Wygląda na to, że po zaledwie 10 dniach od premiery mamy pierwsze udane obejście FaceID w iPhoneX. FaceID zastąpił TouchID — najnowszego iPhona nie da się odblokować przez “skan” palca. Wymagany jest skan twarzy. Wietnamska firma Bkav twierdzi jednak, że zamiast twarzy można wykorzystać trójwymiarową maskę zbudowaną na podobieństwo właściciela iPhona. Jest to o tyle ciekawa wiadomość, że Apple zapierało się, że nawet realistyczne maski, których proces wytworzenia kosztuje tysiące dolarów, nie będą w stanie oszukać iPhona. Wystarczyła jednak maska za 150 dolarów…

Schemat maski, która oszukała Face ID

Schemat maski, która oszukała Face ID

FaceID nie dla każdego — mówiliśmy to od początku

Pełną analizę bezpieczeństwa mechanizmu Face ID, wskazującą dla kogo i kiedy będzie to dobre i wygodne rozwiazanie przedstawiliśmy w naszym poście dwa miesiące temu (por. Face ID — iPhone odblokowywany twarzą, czy to groźne?). Dla kogo i kiedy — to bardzo ważne pytania. Bo nie ma zabezpieczeń idealnych. Zawsze trzeba wykonać analizę ryzyka dla konkretnego przypadku (osoby). Coś, co dla jednych nie jest zagrożeniem, dla innych będzie sytuacją nie do zaakceptowania.

Mówiąc prościej, jedni będą chcieli chronić telefon przed żoną inni przed służbami. I iPhone ma na tym polu niezłe sukcesy, bo dotychczas odpowiednio skonfigurowane iPhony terrorystów i innych rzezimieszków wspaniale opierały się próbom odblokowywania go przez różne agencje. Z żonami bywało gorzej — w zeszłym tygodniu awaryjnie lądował samolot Qatar Airways, bo znajdująca się na jego pokładzie żona “pożyczyła” palec śpiącego męża i odblokowała jego telefon. A potem wpadła w szał, bo w telefonie znalazła dowody na zdradę.

Czy równie łatwo będzie żonom (lub służbom) odblokowywać iPhony zabezpieczone prze Face ID? Czy Face ID będzie stanowić wystarczającą ochronę danych po kradzieży iPhona X, nawet jeśli przestępca ma dostęp do zdjęcia naszej twarzy?

FaceID pokonane — tak twierdzi firma Bkav, ale…

W tym wpisie na blogu firma Bkav pokazuje specjalną maskę, która odblokowuje iPhona X. Oto video:

Maska jest plastikowa, wydrukowana na drukarce 3D, z makijażem i silikonowymi elementami. Usta i oczy w 2D, wydrukowane na papierze. Całość kosztowała 150 dolarów (ok. 500 PLN). Ale…

  • Bkav nie pokazuje, jak uczono iPhona twarzy. Czy faktycznie uczono go twarzą, czy samą maską?
  • Bkav twierdzi, że “Apple zrobiło to źle” i “nie jest to dobre zabezpieczenie”. Ale na początku artykułu wskazaliśmy, że nie ma czegoś takiego jak “dobre zabezpieczenie dla wszystkich”. Aby wykonać taką maskę, ktoś musi bardzo dokładnie pomierzyć Waszą głowę. Bkav wspomina o 5 minutowym pomiarze skanerem umieszczonym przed twarzą “ofiary”. Można więc raczej przypuszczać, że nie da się tego procesu odtworzyć bez świadomości “ofiary”
  • Bkav mógł wielokrotnie dostosowywać/modyfikować maskę, zanim “zaskoczyła”. A w realnym świecie atakujący nie będzie mieć tego komfortu. Kilka nieudanych prób odblokowania “twarzą” telefonu i pojawi się wymóg podania hasła.
    Wtedy nawet prawdziwa twarz właściciela nie pomoże.

Dalej więc FaceID powinno stanowić wystarczające zabezpieczenie przed złodziejami i przypadkowymi osobami, które mogą uzyskać fizyczny dostęp do Waszego telefonu. W innych przypadkach zawsze zostaje Wam pięciokrotne naciśnięcie przycisku “sleep”, aby natychmiast, awaryjnie, wyłączyć możliwość odblokowywania iPhona X za pomocą twarzy. Przypomnijmy tu tabelę, jaką umieściliśmy pod koniec naszego poprzedniego artykułu o Face ID:

Matryca zagrożeń w zależności od metody uwierzytelnienia

Matryca zagrożeń w zależności od metody uwierzytelnienia

Bkav na swojej stronie z opisem eksperymentu wygłasza jeszcze jedną zaskakującą tezę. Że według nich najlepszą biometrią jest ta oparta o linie papilarne… Ale przecież Touch ID zostało złamane. Także w pierwszych tygodniach po premierze iPhona, który premierowo wprowadzał ten mechanizm odblokowywania telefonu.

Face ID == Pół ID

Badaczom udało się oszukać Face ID bo — jak twierdzą — zrozumieli jak działa AI stojące za rozpoznawaniem twarzy. iPhone pozwala na odblokowanie nawet jeśli zakryje się pewne obszary twarzy. To jak łatwo można oszukać “AI” wiemy od dawna. Oto przykład kilku zdjęć żółwia. Jeśli się dobrze przyjrzycie zobaczycie na nich małą czarną kropkę w różnych miejscach.

Zdjęcia żółwi z kropkami. Dla ciebie to żółwie, dla AI karabiny :)

Zdjęcia żółwi z kropkami. Dla ciebie to żółwie, dla AI karabiny :)

Ta kropka sprawia, że “sztuczna inteligencja” uważa iż na zdjęciu wcale nie ma żółwia, a …prezentują one krabin. Lepiej więc nie pokazujcie się z żółwiem na lotnisku albo brytyjskich ulicach. No i nie prowadźcie autonomicznych samochodów. Bo te da się “oszukać” kilkoma nalepkami na znakach STOP-u.

Androidy są jeszcze gorsze w rozpoznawaniu twarzy

A zeby się nasi czytelnicy z androidowego obozu za bardzo nie ucieszyli tym artykułem, to zakończmy go pstryczkiem w ich nos ;) Rozpoznawanie twarzy na Androidzie da się oszukać zdjęciem danej osoby wyświetlonym …na iPadzie (badum tsss).

PS. Niezależnie od tego jak zabezpieczacie swój telefon przed dostępem osób trzecich, ta metoda zawsze zadziała:

Kryptoanaliza gumowej pałki. Niezwykle skuteczna.

Przeczytaj także:

52 komentarzy

Dodaj komentarz
  1. Przecież od dawna wiadomo ,że tu nie chodzi o żadne zabezpieczenie , tylko zbieranie kolejnych danych identyfikacyjnych obywatela :)

    • Elizo, czy przeczytałaś nasz poprzedni post poświęcony Face ID? Model twarzy właściciela iPhona X nie opuszcza smartfona. Podobnie jak nie opuszczał go odcisk palca przy Touch ID.

    • Ciekawe czy odciśki palaca z Xiaomi też są tylko lokalne.

    • A ja wstawię się za elizą:
      Skąd pewność że skany nie opuszczają iPhone’a?
      Bo Apple tak powiedziało? xD

    • @PK: A kto tak powiedział? Apple? Ta firma znana jest ze współpracy ze służbami. Poza tym w srajfonach soft jest zamknięty i musimy wierzyć na słowo.

    • @PK: Takie sprawy są robione, żeby poprawić swój PR. Już lata temu w wyciekach Wikileaks było, że Apple chętnie idzie amerykańskiej bezpiece na rękę. Nie pisząc już o tym, że po ostatniej strzelaninie zaoferowali FBI pomoc w odblokowaniu sprzętu. Nie zapominajmy też, że rzekomy milion dolarów za złamanie zabezpieczeń terrorystów z San Bernardino nie mogło być prawdziwe. Sprawy skali bezpieczeństwa narodowego nie idą na żadne kompromisy i taka firma byłaby bardzo szybko sprowadzona do parteru, a to przez potencjalne oskarżenia o wspieranie terroryzmu. Nikt nie płaciłby też takiej kasy za jedno urządzenie, gdy w ciągu roku podobnych spraw jest całe mnóstwo.

    • Ta pomoc, co zresztą było wspomniane w naszym artykule, polegała na tym, że Apple sukcesywnie przebudowywało iOS tak, aby nie było w nim żadnych backdoorów. Dlatego w przypadku SB, ich pomoc sprowadzała się do doradztwa — co FBI może zrobić, jeśli chcą odblokować telefon:
      – macie palec? tak? to uważajcie w jakiej kolejności podtykacie, bo nie wiecie który to palec, a kilka błędnych prób odblkowania i pozamiatane
      – macie komputer? to sprawdźcie klucze parujące, tak też można odblokować

      Tego typu porady da większość zaawansowanych użytkowników, nie mówiąc już o firmach konsultujących problemy służb, np. także wspomniany w artykule Elcomsoft czy producent UFED. Od tego właśnie jest forensic.
      Chyba nie przeczytałeś tego, co wkleiłem dokładnie: https://niebezpiecznik.pl/post/fbi-kaze-apple-wbudowac-backdoora-w-iphony/ — tu masz opis tego, jak bardzo “apple pomogło” w sprawie SB.

    • @PK: Mnie chodzi o ostatnią strzelaninę, w Teksasie. Nie wiem czy można dać odsyłacz do konkurencji, w razie czego proszę o ocenzurowanie.
      https://www.tabletowo.pl/2017/11/09/apple-oferuje-pomoc-fbi/
      Poza tym pomoc może się odbywać na różne sposoby. Nie od dziś wiadomo, że Apple zatrudnia “byłych” pracowników specsłużb Izraela i USA. A dlatego napisałem byłych w cudzysłowie, bo często są oni kretami w firmach lub są w jakiś sposób prowadzeni przez agentów. A wtedy te próby eliminacji tylnych furtek może być trudne, bo kret (zwłaszcza na wysokim stanowisku) może prosto modyfikować kod softu. No i wreszcie jest całkiem niewielu specjalistów od kryptografii, którzy potrafią ogarnąć tą zaawansowaną materię. A to jest poważne zagrożenie, aby ustrzec się tylnych furtek. Czytałem też kiedyś wpis, że większość specjalistów najwyższej klasy, jest zwerbowana przez specsłuźby. Tak więc kto miałby kontrolować bezpieczeństwo kryptograficzne w takim Apple? :)

    • Moim zdaniem to jest tylko taka gra pozorów. Oficjalnie mówi się co innego ,a robi co innego.
      Po za tym gdyby APPLE czy innej firmie faktycznie zależało za bezpieczeństwie , prywatności użytkownika to nie ukrywali by tak skrzętnie w ustawieniach tych wszystkich opcji ” inwigilacyjnych” tylko wprowadzili coś na zasadach “jednego klika” .
      …., nie wspominając o “upośledzonym sofcie” ograniczonym uprawnieniami do roli “gościa “.

    • Jak ja nie lubię ludzi tak ślepo wierzących, że wszyscy wokół tylko szpiegują i spiskują (bez żadnych dowodów czy tak na pewno jest i bez do pomysłu do czego te dane są wykorzystywane(…

    • Ale “ideowo” eliza01 ma rację: w wielu krajach hasło chroni prawo do odmowy zeznań a odcisk palca czy skan twarzy można legalnie wymusić siłą. A nielegalnie, to można nawet delikwenta uśpić czy naćpać i uzyskać dostęp bez jego wiedzy… Ze skomplikowanym hasłem jest gorzej…

    • @wtf: Świat dzieli się na ten przed i po Snowdenie. NSA ma ogromne zasoby do inwigilacji, z których chętnie korzysta. Czytaliśmy arty na Niebezpieczniku o tym, że ta agencja posuwała się nawet do instalowania fizycznych szpiegowskich implantów w sprzęcie w centrach logistycznych, które potem trafiały do końcowego klienta. Niedawne wycieki The Shadow Brokers (https://en.wikipedia.org/wiki/The_Shadow_Brokers) też pokazują świat zupełnie odmienny od tego, który próbujesz tutaj lansować.

    • @wtf: Tu chodzi raczej o zdrowy sceptycyzm i o to, że ciężar dowodu spoczywa na firmie, wobec której istnieje podejrzenie. Można powiedzieć, że w przypadku większości dostawców sprzętu i oprogramowania mamy coś w stylu “privacy by obscurity”. Zauważ, że w dziedzinie bezpieczeństwa nikt by nigdy nie powiedział, że nie lubi ludzi ślepo wierzących, że oprogramowanie ma luki w zabezpieczeniach, bez żadnych dowodów (bo nawet jeżeli w przeszłości były problemy, to przecież wyszedł patch, więc na pewno wszystko w porządku).

      A co do wykorzystywania danych – nieważne, do czego są wykorzystywane dzisiaj. Ważne, że są zapisywane i że jutro mogą być wykorzystane do czegoś innego, albo po prostu wykradzione.

    • wtf 2017.11.13 23:37 | # |
      Inwigilacja nie tylko polega na “ściganiu tych złych”, ale i służy jako narzędzie do analizy, badania rynku. Nie bez powodu inwestuje się w miliardy dolarów…

      Dobrym przykładem są ” karty lojalnościowe ” . Dowiemy się z nich co klient kupuje, czym się kieruje ,oraz czy podniesienie ceny produktu ma dla niego znaczenie . Na podstawie tych danych można przewidzieć zapotrzebowanie w danym rejonie na produkt , zamówić określoną ich ilość z błędem kilku % itd. :)

    • @Dj: “bo często są oni kretami w firmach lub są w jakiś sposób prowadzeni przez agentów. A wtedy te próby eliminacji tylnych furtek może być trudne, bo kret (zwłaszcza na wysokim stanowisku) może prosto modyfikować kod softu”

      wiesz w teorii to łatwe i pewnie nawet przejdzie, tyle, że:
      * praktycznie wszyscy robią code reviev
      * zwykle kolejne commity w kodzie są na różnych poziomach/gałęziach etc (funkcjonalności, zespół, departament etc.) – na każdym poziomie ktoś kto przepycha niżej wyżej (w mojej praktyce zwykle miał świadomość co robi)
      * ostateczny kod i tak w końcu spływa do podrzędnego programisty – a ci dość często mają syndrom “dlaczego tak” – zwłaszcza Ci nowi
      Podsumowując – teoretycznie nie jest to trudne, praktycznie może być bardzo trudne do włożenia i na pewno prędzej czy później zostanie wykryte (chyba, że zrobisz to poza systemem kontroli wersji – np. na maszynie która buduje ostateczny kod na produkcje – tyle, że tu też co bardziej upierdliwy może np. porównać sumę kontrolna wynikowego softu). Generalnie im większa firma tym więcej luda trzeba w to zaprzągnać, a im więcej luda tym szansa wpadki większa.

    • @krzysiekj: Trudne może być, ale hakowanie samego Apple dla służb jest na pewno priorytetowe. A przechytrzenie zdeterminowanego rządowego wandala może być bardzo trudne. Nie zapominaj też, że sam kompilator może być zainfekowany i dołączać do kodu różne niespodzianki. A kompilator może być skompilowany kompilatorem zbackdoorowanym, itp. Była kilka lat temu afera z chińskimi apkami, które właśnie w taki sposób zostały zainfekowane i tysiące deweloperów dało się zrobić w konia. Spektrum działań służb jest praktycznie nieograniczone i tym trudniej im przeciwdziałać.

    • Oczywiście że idzie w świat.
      Logiczne że nikt się do tego nie przyzna, a po ostatnim wycieku (Snowden) firmy nie pozwolą aby byle kto w łatwy sposób natrafił na ślad współpracy z rządem.
      Weźmy taką Rosję, tam się z tym nie kryją.

    • Marcin 2017.11.14 23:18 | # |
      Nie tylko Rosja , bo chiny, USA, Izrael postępują podobnie.
      Należy powiedzieć sobie jasno. Wszystko co masz na telefonie, lub jest podpięte do sieci, każda twoja aktywność jest rejestrowana , a dane przechowywane. Żadne czary mary, zapewnienia producenta tego nie zmienią .

  2. Mówili jeszcze że jest możliwość że bliźniak odblokuje tego iphona więc chyba te maski będą rodzeństwu niepotrzebne

    • a co ciekawe, jednojajowe bliźnięta akurat odciski palców mają różne (choć często miejscami podobne), w przeciwieństwie do twarzy.

  3. Piotr: skąd wiadomo czy coś opuszcza czy nie Twoje urządzenie? Nie mówię o konkretnie faceID (sam nie używam odcisku w Androidzie) tylko o jakimkolwiek urządzeniu *codziennego użytku* które jest podłączone do internetu i aktualizowane. I nie mówię o oczywistym scenariuszu zainstalowania malware’owej appki która to wyśle (choć jest to też scenariusz możliwy dla standardowego użytkownika) ale choćby o bugu (backdoorze?) w systemie. Który nawet jeśli nie ma go dziś to może zostać wprowadzony kiedyś z aktualizacją. W sensie ja bym nie dał wiary Apple ani żadnemu wytwórcy sprzętu, ale może to już moje bycie crypto-nerdem albo przeciwnie – ostateczny kryzys wiary że ktoś jeszcze prywatność szanuje? ;-)

    • Piotr, dokument ten mówi w zasadzie tylko o tym, że aplikacje korzystające z Face ID otrzymują jedynie potwierdzenie autentyczności uzyskanej na podstawie skanu, a nie bezpośredni dostęp do danych biometrycznych. W każdym razie nie wierzę w to, że samo Apple nie jest w stanie uzyskać takiego dostępu zdalnie i naprawdę naiwne wydaje mi się w tym miejscu podawanie dokumentu, który opracowała ta sama firma.

  4. Ciekawe na ile dokłądna musi być ta maska, wystarczy coś z segmentu konsumenckiego do zebarania danych, czy raczej profesjonalne skanery 3D. Sensory Kinect (własnie zakonczono produkcję) oferowały całkiem przyzwoite odwzorowanie. Jeśli macie drukarke 3D i o co trudniej iPhona to można by się pobawić.

  5. Wystarczy trochę zdjęć i SFM (structure from motion). np. komercyjny Photoscan.
    Wierzę że da się to zrobić bez wiedzy użytkownika (zdjęcia z daleka), potem rekonstrukcja i test.
    Chętnie bym to sprawdził

  6. Niebezpiecznie jak reszta nabrał się na fake. Zobaczcie że przy przesuwaniu palca kłódka jest zamknięta!!!

  7. Przecież te rozwiązania nie są po to, by w 100% chronić dane przed rządem itp. instytucjami.
    Zapewne świetnie się sprawdza przy zgubieniu telefonu, ochronie zdjęć, kontaktów, innych wrażliwych danych.
    To tak jak z szyfrowaniem dysków np. w laptopie. Ile ja słyszałem tekstów w stylu, ale po co, to się da łatwo obejść, załamać, co z tajne rzeczy tam trzymasz i inne bzdury.
    Sorki, ale pospolity złodziej czy znalazca nie jest ekspertem w dziedzinie kryptologii/kryptografii.

  8. Ta matryca jest ciekawa. Ale mam jedno ale.
    Po kilku probach z faceid iphone automatycznie przerzuca sie na password. I co wtedy? Wystarczy kilka razy pokazac jakakolwiek gebe zeby zmienic security level z max na low? :D

    • Nailed it!

  9. Bardzo szanuję Niebezpieczniejsze za fachowe i rzetelne artykuły ale ‘zaśniętego męża’ ciężko wybaczyć.

    • Dlaczego? Moja 8 letnia córka shakowała telefon swojej starszej siostry gdy ta spała. Jechaliśmy bardzo długo autem i mała się nudziła, a starsza spała obok. “Pożyczyła paluszek” i już można było pograć.

  10. Mogliby wprowadzić jakieś blokowanie na styl picture password z blackberry10.

  11. No, i Tizen wychodzi najlepiej na tle tych systemów, najbezpieczniejszy! ;]

  12. Zabawne są te teorie spiskowe. Państwo i służby nie potrzebują waszych zdjęć ze smartfonów. Państwo i służby mają wasze twarze ze zdjęć które sami im zanosicie jak robicie sobie dowód lub prawo jazdy. Do tego najwięcej informacji mają z facebooka, linkedin czy innych portali społecznościowych.

    • Zachęcam do zapoznania się z tematem dysonansu poznawczego w odniesieniu do teorii spiskowych właśnie.

    • Szczególnie te pozowane zdjęcia w białej koszuli z odsłoniętym uchem i przylizaną grzywką znakomicie oddają wygląd człowieka. Poza tym mówimy tu o USA a nie Polsce – nie wiem jakie tam obowiązują przepisy ale nie zakładam, że jest tak samo jak u nas w kwestii zdjęć.

      Zatem: spisek, spisek, spisek…

    • @MatM

      Do paszportu i dowodu robisz zdjęcie biometryczne. Właśnie dlatego, by automaty miały prościej.

  13. To może być fake. Przy odblokowaniu powinna być animacja otwierania kłódki. Nawet na zwolnionym tempie tego nie ma. Sprytny montaż lub nałożenie obrazu?

  14. Niebywałe ilu hejterów Apple się zebrało by rzucać jakimiś sloganami usłyszanymi jednym uchem od kolegi albo przeczytanych na plotkarskich stronach. ;)
    Mimo, że sam nie przepadam za polityką Apple to uważam, że oferują jedne z bardziej bezpiecznych urządzeń a o ich współpracy ze służbami mogliśmy wiele razy przeczytać.
    Ja już zdecydowałem – nie chcę iPhone X ani FaceID, liczę, że Apple się ocknie i wróci TouchID w kolajnych odsłonach ich urządzeń, jest to po prostu praktyczniejsze i na tyle responsywne, że nie potrzeba na ten czas alternatyw.
    Szczerze powiedziawszy liczyłem na jakąś doddatkową warstwę na szkle, coś w stylu niewidzialnego przycisku który by identyfikował nasze “fingerprinty”, a zrobili fajny ficzer w postaci FaceID jednak usuwając podstawowe zabezpieczenie, to błąd i to duży błąd.
    Personalnie postanowiłem iż kolejnym iPhone będzie właśnie “ósemka”.

    Co do samego artykułu – fajny i merytoryczny, podoba mi się lista z wytkniętymi wątpliwościami, są na tyle duże, że nie można tego uznawać za pewnik ale ciekaw jestem dalszych ‘przecieków’ w aspekcie tej technologii. :)

  15. Co to nie Apple opowiadało. Każdy Keynote ociekał wyuzdanymi słowami, mającymi działać na naszych emocjach. Z czego te ich telefony nie miały być zrobione.
    A wy myśleliście że teraz będzie inaczej? :D

  16. można też odblokować iphona twarzą… własnego dziecka :)
    https://thenextweb.com/apple/2017/11/15/10-year-old-unlocks-his-mums-iphone-with-face-id/

  17. Touch ID uszkodzenie lub utrata palca i pozamiatane?

  18. 10-cio letni syn, odblokowuje telefon swojej mamy przez FaceID:
    https://www.youtube.com/watch?v=dUMH6DVYskc

    Owszem, syn wygląda bardzo podobnie i pewnie dla tego podobnie jak przy bliźniakach to zabezpieczenie się nie sprawdza.

    • Ustalono, że mama dodała swoją twarz przy konfiguracji FaceID w kiepskich warunkach oświetleniowych. Po ponownym dodaniu (za dnia) syn nie odblokował już telefonu.

    • Nie zmienia to faktu, że to zdarzenie miało miejsce. A ponieważ wiele osób to debile, takich zdjęć w kiepskich warunkach na pewno było więcej.

      Biometria to login, nie hasło.

  19. Fascynujące że taki artykuł powstał w Polsce. Stany, rozumiem że poza kilkoma fanami nie znają wschodniej kinematografii. Ale żeby w Polsce nie wiedzieli jak się robi zdjecia twarzy przy braku współpracy fotografowanego?

  20. “uważa iż na zdjęciu wcale nie ma żółwia, a …prezentują one krabin.”
    Czym są krabiny? To panie krabowe? I dlaczego lepiej nie pokazywać się z nimi na lotnisku?

    • Czego nie rozumiesz? ;o) Krabin to rabin u krabów, a krabiny to żony krabów. Na lotnisku zapewne obowiązuje poprawność polityczna ;-P

Twój komentarz

Zamieszczając komentarz akceptujesz regulamin dodawania komentarzy. Przez moderację nie przejdą: wycieczki osobiste, komentarze nie na temat, wulgaryzmy.

RSS dla komentarzy: