Biometria de impressão digital do Android cai para ataque ‘BrutePrint’

Endpoint Security, Gerenciamento de identidade e acesso, Operações de segurança

Pesquisadores de segurança demonstraram um ataque prático que pode ser usado para derrotar verificações biométricas de impressões digitais e fazer login no smartphone Android de um alvo.

Veja também: Webinar ao vivo | Desmascarando Pegasus: entenda a ameaça e fortaleça sua defesa digital

Os pesquisadores de segurança Yu Chen, da Tencent, e Yiling He, da Universidade de Zhejiang, revelaram o ataque, que apelidaram de “BrutePrint”, em um novo artigo de pesquisa. Seu ataque de força bruta é barato, prático de ser implantado em grande escala e pode ser usado para fazer login em dispositivos e também para autorizar pagamentos, disseram eles.

Para simplificar esses ataques, os pesquisadores detalharam como uma placa de circuito impresso, que custa cerca de US$ 15, pode ser criada para cada tipo de dispositivo a ser alvo, o que pode automatizar a sequência de ataques. Como resultado, pouca experiência ou treinamento é necessário para levar o BrutePrint às massas.

Desde que a Apple lançou seu recurso Touch ID em 2013, vários fabricantes de smartphones lançaram dispositivos que os usuários podem desbloquear com uma impressão digital. A biometria de impressão digital oferece uma combinação de usabilidade e segurança – pelo menos quando funciona conforme prometido.

Os pesquisadores encontraram maneiras inovadoras de derrotar as verificações de segurança baseadas em impressões digitais. Alguns dos métodos mais memoráveis ​​envolvem ursinhos de goma, Play-Doh, fotocópias e cola de madeira. Em resposta, os fabricantes continuaram a adicionar recursos de segurança, como dispositivos de bloqueio, após muitas tentativas fracassadas e usaram verificações capacitivas para detectar se um dedo é real (veja: Biometria: Avanços em Soluções Alternativas para Smack Down).

Yu e Yiling disseram que o BrutePrint permite contornar a detecção de falsificação e tentar limitar o número de tentativas em 10 dispositivos Android diferentes, incluindo o Xiaomi Mi 11 Ultra, Vivo X60 Pro, OnePlus 7 e Samsung Galaxy S10 Plus. As técnicas podem ser usadas para eventualmente desbloquear um dispositivo vulnerável quase três quartos das vezes, disseram eles.

Para contornar os limites de tentativas, os pesquisadores exploraram duas falhas de dia zero na estrutura de autenticação de impressão digital de smartphones – também conhecida como SFA – em dispositivos Android. Eles também visaram a segurança fraca na implementação da interface periférica serial dos sensores de impressão digital, para tentar fazer engenharia reversa de cópias de impressões digitais armazenadas. Embora isso não seja essencial, os pesquisadores disseram que a recuperação de impressões digitais aumenta a chance de sucesso do BrutePrint.

BrutePrint prossegue através de quatro etapas:

Embora o ataque tenha funcionado em todos os dispositivos Android testados pelos pesquisadores, ele falhou em ambos os modelos da Apple - um iPhone 7 e SE - testados, devido ao armazenamento de dados de impressões digitais em formato criptografado, bem como proteções que impedem que a entrada de dados de impressões digitais seja sequestrável.

Os limites de taxa, que bloqueiam um dispositivo após muitas tentativas fracassadas de autenticação de impressão digital, são um recurso de todos os sistemas operacionais de smartphones modernos. Os bugs SFA que os pesquisadores visaram como parte do BrutePrint permitiram que eles contornassem as defesas de limite de taxa, dando-lhes infinitas tentativas de sucesso. Eles disseram que esta capacidade continua essencial, uma vez que ataques bem-sucedidos podem levar horas para serem concluídos.

A detecção de atividade é outra defesa generalizada projetada para bloquear entradas falsificadas. Para derrotar isso, os pesquisadores usam a Cycle Generative Adversarial Network, também conhecida como CycleGAN, que é uma técnica que treina uma rede neural para traduzir uma imagem em outra. Usar o CycleGAN, disseram eles, permite criar imagens de dicionário de qualidade suficiente, que parecem corretas o suficiente para que as verificações de segurança de um smartphone sejam bem-sucedidas em qualquer dispositivo Android 71% das vezes.