Η ασφάλεια των κινητών συσκευών αποτελεί θεμελιώδη πτυχή της σημερινής ψηφιακής ζωής, ειδικά με την άνοδο των βιομετρικών μεθόδων ελέγχου ταυτότητας, όπως τα δακτυλικά αποτυπώματα. Τα τελευταία χρόνια, πολλοί χρήστες έχουν εμπιστευτεί αυτά τα συστήματα ξεκλειδώματος, πιστεύοντας ότι η μοναδικότητά τους και η δυσκολία στην αντιγραφή τους προσφέρουν ισχυρή προστασία από μη εξουσιοδοτημένη πρόσβαση. Ωστόσο, η εμφάνιση νέων τεχνικών επίθεσης έχει αμφισβητήσει αυτήν την εμπιστοσύνη, με το BrutePrint να αποτελεί μία από τις πιο πρόσφατες και αξιοσημείωτες απειλές.
Αυτή η μεθοδολογία, που ανακαλύφθηκε από μια ομάδα Κινέζων ερευνητών, έδειξε ότι, κάθε άλλο παρά άτρωτη, αισθητήρες δακτυλικών αποτυπωμάτων Το BrutePrint μπορεί να επιβληθεί σε πολλά smartphone χρησιμοποιώντας μια μέθοδο που είναι τόσο έξυπνη όσο και ενοχλητική. Σε αυτό το άρθρο, εξηγούμε, λεπτομερώς και απλά, τι είναι το BrutePrint, πώς λειτουργεί, πού βασίζεται η επιτυχία του και ποιες είναι οι επιπτώσεις του στην ασφάλεια των σημερινών συσκευών.
Γιατί τα δακτυλικά αποτυπώματα είναι τόσο δημοφιλή ως προστασία;
Τα δακτυλικά αποτυπώματα θεωρούνται ένα από τα πιο αξιόπιστα και αποκλειστικά βιομετρικά χαρακτηριστικά για την ψηφιακή αυθεντικοποίηση., καθώς κάθε άτομο έχει ένα μοναδικό μοτίβο που παραμένει πρακτικά σταθερό σε όλη τη ζωή του. Ως εκ τούτου, οι εταιρείες τεχνολογίας έχουν ενσωματώσει τους αισθητήρες δακτυλικών αποτυπωμάτων ως την κύρια μέθοδο ξεκλειδώματος και ως εμπόδιο στην πρόσβαση σε ευαίσθητες πληροφορίες στα smartphones και άλλες συσκευές τους.
Η βιομετρική ταυτοποίηση με τη χρήση δακτυλικών αποτυπωμάτων έχει σταδιακά αντικαταστήσει τις παραδοσιακές μεθόδους όπως το PIN ή τον κωδικό πρόσβασης., καθώς είναι γρήγορο, βολικό και, θεωρητικά, δύσκολο να παρακαμφθεί με συμβατικές επιθέσεις. Ωστόσο, αυτή η εμπιστοσύνη έχει επίσης οδηγήσει τους κυβερνοεγκληματίες να επικεντρώσουν την προσοχή τους στην αναζήτηση ελαττωμάτων και ευπαθειών που τους επιτρέπουν να παρακάμψουν αυτό το σύστημα.
Κλασικές προσπάθειες παράκαμψης αισθητήρων δακτυλικών αποτυπωμάτων: Γιατί δεν λειτουργούν καθόλου;
Μέχρι την άφιξη του BrutePrint, οι πιο γνωστές μέθοδοι για την παράκαμψη της επαλήθευσης ταυτότητας με δακτυλικά αποτυπώματα ήταν κυρίως φυσικές και αρκετά επίπονες.Μεταξύ αυτών, αξιοσημείωτη είναι η δημιουργία καλουπιών από το δακτυλικό αποτύπωμα του θύματος, η υψηλής ποιότητας φωτογραφία του δακτυλικού αποτυπώματος σε μια επιφάνεια (όπως το γυαλί ενός κινητού τηλεφώνου) και η επακόλουθη αναπαραγωγή του σε σιλικόνη ή αγώγιμα υλικά. Η ομάδα χάκερ Chaos Computer Club έχει μάλιστα επιδείξει αυτή τη διαδικασία, αν και η πρακτική απαιτεί χρόνο, παρατεταμένη φυσική πρόσβαση και εξειδικευμένο εξοπλισμό.
Αυτές οι παραδοσιακές μέθοδοι, αν και εφικτές, θεωρούνται μη πρακτικές στην πραγματική ζωή., καθώς περιλαμβάνουν μια πολύπλοκη διαδικασία και την ανάγκη λήψης μιας τέλειας εικόνας του κατάλληλου δακτυλικού αποτυπώματος, η οποία περιορίζει σημαντικά τις πιθανότητες επιτυχίας τους πέρα από ελεγχόμενα σενάρια ή στοχευμένες επιθέσεις. Εδώ είναι που το BrutePrint φέρνει επανάσταση στο τοπίο, καθώς η προσέγγισή του είναι ψηφιακή, αυτοματοποιημένη και δυνητικά εφαρμόσιμη σε μια ευρύτερη ποικιλία συσκευών.
Τι ακριβώς είναι το BrutePrint;
Το BrutePrint είναι μια τεχνική επίθεσης ειδικά σχεδιασμένη για την εκμετάλλευση ευπαθειών σε συστήματα ελέγχου ταυτότητας δακτυλικών αποτυπωμάτων σε smartphones, κυρίως σε αυτά με λειτουργικό σύστημα Android.Παρουσιάστηκε το 2024 από τους Yu Chen (Tencent) και Yiling He (Πανεπιστήμιο Zhejiang), αποδεικνύοντας ότι είναι εφικτό να επιβληθεί βιομετρική επαλήθευση σε σχεδόν οποιαδήποτε συσκευή, ακόμη και σε συνθήκες που προηγουμένως θεωρούνταν αδύνατες.
Το κλειδί για το BrutePrint έγκειται στην έννοια της επίθεσης ωμής βίας που εφαρμόζεται σε βιομετρικά δεδομένα.Αντί να επιχειρεί να αναπαράγει φυσικά το δακτυλικό αποτύπωμα, δημιουργεί και δοκιμάζει συστηματικά έναν τεράστιο αριθμό δακτυλικών αποτυπωμάτων ή εικόνων δακτυλικών αποτυπωμάτων μέχρι να βρει μια αποδεκτή αντιστοιχία για τον αισθητήρα της συσκευής που παραβιάζεται. Αλλά η μέθοδος πηγαίνει πολύ παραπέρα, εκμεταλλευόμενη συγκεκριμένες αδυναμίες στην αρχιτεκτονική των συσκευών ανάγνωσης δακτυλικών αποτυπωμάτων και τα πρωτόκολλα ασφαλείας τους, καθιστώντας την ιδιαίτερα αποτελεσματική.
Γιατί μπορούν να είναι ευάλωτοι οι αισθητήρες δακτυλικών αποτυπωμάτων;
Η αποτελεσματικότητα της επίθεσης BrutePrint δεν βασίζεται στις αδυναμίες των ίδιων των βιομετρικών στοιχείων, αλλά στον τρόπο με τον οποίο αυτά εφαρμόζονται τεχνολογικά στα σύγχρονα smartphones.Υπάρχουν διάφοροι λόγοι για τους οποίους οι αισθητήρες ρεύματος είναι ευάλωτοι:
- Ποιότητα και τύπος αισθητήραΔεν προσφέρουν όλοι οι αισθητήρες την ίδια ακρίβεια. Υπάρχουν οπτικοί, υπερηχητικοί και χωρητικοί αισθητήρες, με τους πιο οικονομικούς και δημοφιλείς να είναι αυτοί που θυσιάζουν την ασφάλεια για την ταχύτητα ή το κόστος κατασκευής.
- Ανάλυση και μέγεθος αισθητήραΟι μικροί αισθητήρες χαμηλής ανάλυσης δεν καταγράφουν δακτυλικά αποτυπώματα με την ίδια ακρίβεια όπως τα πιο προηγμένα μοντέλα, γεγονός που αυξάνει το περιθώριο σφάλματος του συστήματος ελέγχου ταυτότητας.
- Βιομετρικοί αλγόριθμοι σύγκρισηςΓια να επιταχυνθεί το ξεκλείδωμα και να αποφευχθούν οι τυχαίες απορρίψεις, οι κατασκευαστές προσαρμόζουν το όριο ομοιότητας, επιτρέποντας την ανοχή μικρών διαφορών, γεγονός που διευρύνει το λεγόμενο Ποσοστό ψευδούς αποδοχής (FAR).
- Προστασία εσωτερικής επικοινωνίαςΠολλά τηλέφωνα Android δεν κρυπτογραφούν σωστά το κανάλι που συνδέει τον αισθητήρα δακτυλικών αποτυπωμάτων με το λειτουργικό σύστημα, καθιστώντας εύκολη την υποκλοπή και τον χειρισμό δεδομένων σε αυτό το σημείο.
Αυτό το σύνολο αποφάσεων σχεδιασμού και παραγωγής ανοίγει την πόρτα σε επιθέσεις όπως το BrutePrint., όπου δεν απαιτείται τέλεια αντιστοίχιση, αλλά απλώς η εύρεση ενός δακτυλικού αποτυπώματος που είναι αρκετά παρόμοιο για να ξεπεραστεί το όριο του αισθητήρα.
BrutePrint βήμα προς βήμα: Πώς εκτελείται η επίθεση;
Οι μηχανισμοί του BrutePrint είναι έξυπνοι, αλλά απαιτούν φυσική πρόσβαση στη συσκευή-στόχο.Η όλη διαδικασία περιλαμβάνει τα ακόλουθα στάδια:
- Φυσική πρόσβαση στο smartphoneΟ εισβολέας πρέπει να έχει στην κατοχή του το τηλέφωνο, καθώς απαιτείται η παραβίαση του υλικού του. Θα μπορούσε να είναι ένα κλεμμένο, χαμένο ή ακόμα και δανεικό τηλέφωνο.
- Αφαίρεση και σύνδεση εξωτερικού υλικούΤο πίσω κάλυμμα αφαιρείται για πρόσβαση στη μητρική πλακέτα και στο κανάλι SPI (Serial Peripheral Interface) του αισθητήρα δακτυλικών αποτυπωμάτων. Μια πλακέτα τυπωμένου κυκλώματος (PCB) συνδέεται εκεί, η οποία χρησιμεύει ως γέφυρα μεταξύ του αισθητήρα και της CPU του τηλεφώνου.
- Εισαγωγή δεδομένων και επιθέσεις Man in the Middle (MITM)Το εξωτερικό κύκλωμα αναχαιτίζει και τροποποιεί την επικοινωνία μεταξύ του αισθητήρα και του λειτουργικού συστήματος, επιτρέποντας στον εισβολέα να στέλνει εικόνες δακτυλικών αποτυπωμάτων από μια εξωτερική βάση δεδομένων και να λαμβάνει άμεσες απαντήσεις.
- Βάση δεδομένων δακτυλικών αποτυπωμάτωνΟ εισβολέας χρησιμοποιεί συλλογές δακτυλικών αποτυπωμάτων, τα οποία μπορούν να προέρχονται από διαρροές, ερευνητικά σύνολα ή να δημιουργούνται από τεχνητή νοημοσύνη. Σε αυτό το σημείο, μια τεχνητή νοημοσύνη τροποποιεί και προσαρμόζει τα δακτυλικά αποτυπώματα ώστε να ταιριάζουν με τον συγκεκριμένο αισθητήρα της συσκευής που δέχεται την επίθεση, δημιουργώντας αυτό που ονομάζεται «λεξικό δακτυλικών αποτυπωμάτων».
- Αυτόματη σάρωση μέχρι να ξεκλειδωθείΤο υλικό επιτίθεται συστηματικά στον αισθητήρα δοκιμάζοντας τα δακτυλικά αποτυπώματα του λεξικού ένα προς ένα, τροποποιώντας παραμέτρους όπως το FAR, έτσι ώστε το σύστημα να δέχεται λιγότερο αυστηρές αντιστοιχίσεις και, κατά συνέπεια, αυξάνοντας την πιθανότητα επιτυχίας.
Το κόστος του απαραίτητου υλικού είναι μόνο περίπου 15 δολάρια, καθιστώντας το προσβάσιμο σε ομάδες με τεχνικούς πόρους.Οι δοκιμές έχουν δείξει ότι το ξεκλείδωμα μπορεί να επιτευχθεί εντός χρονικού πλαισίου που κυμαίνεται από 40 λεπτά έως σχεδόν 14 ώρες, ανάλογα με τη συσκευή και τον αριθμό των δακτυλικών αποτυπωμάτων που έχει αποθηκεύσει ο χρήστης.
Ευπάθειες που εκμεταλλεύεται το BrutePrint
Η επιτυχία του BrutePrint δεν είναι σύμπτωση, αλλά αποτέλεσμα της εκμετάλλευσης δύο ευπαθειών που υπάρχουν ιδιαίτερα στα smartphones Android:
- Ακύρωση-Μετά-Ματς-Αποτυχία (CAMF)Πολλοί αισθητήρες εκτελούν πολλαπλές λήψεις ανά προσπάθεια ελέγχου ταυτότητας. Εάν παρουσιαστεί σφάλμα στο τελικό βήμα, το σύστημα δεν μετρά αυτήν την προσπάθεια ως αποτυχία, επιτρέποντας την επ' αόριστον επανάληψη του κύκλου χωρίς να ενεργοποιηθεί το κλείδωμα ορίου προσπαθειών.
- Match-after-lock (MAL)Μετά από αρκετές αποτυχημένες προσπάθειες, οι συσκευές συνήθως μπλοκάρουν προσωρινά την πρόσβαση. Ωστόσο, σε πολλά μοντέλα, ακόμη και αν ο έλεγχος ταυτότητας δεν ολοκληρωθεί κατά τη διάρκεια της περιόδου κλειδώματος, το σύστημα ανταποκρίνεται στις νέες εικόνες υποδεικνύοντας εάν ταιριάζουν ή όχι, επιτρέποντας στο επιτυχημένο δακτυλικό αποτύπωμα να προετοιμαστεί αυτόματα για χρήση μόλις λήξει η περίοδος κλειδώματος.
Στην πράξη, η μελέτη έδειξε ότι όλα τα τηλέφωνα Android και HarmonyOS που δοκιμάστηκαν ήταν ευάλωτα σε τουλάχιστον ένα από αυτά τα ελαττώματα, επιτρέποντας απεριόριστες προσπάθειες ή τουλάχιστον πολύ περισσότερες από όσες προόριζε το σύστημα. Αυτή η αδυναμία είναι πολύ λιγότερο συχνή στις συσκευές Apple, τις οποίες θα συζητήσουμε αργότερα.
Αυτοματοποίηση, Τεχνητή Νοημοσύνη και βάση δεδομένων δακτυλικών αποτυπωμάτων: το λεξικό επιθέσεων
Ένας παράγοντας διαφοροποίησης του BrutePrint είναι η χρήση τεχνητής νοημοσύνης για τη βελτιστοποίηση και την προσαρμογή των εκτυπώσεων στους διαφορετικούς αισθητήρες.Η αρχική βάση δεδομένων μπορεί να προέρχεται από μια ποικιλία πηγών, αλλά η Τεχνητή Νοημοσύνη είναι αυτή που κάνει τις λεπτές ρυθμίσεις, εκμεταλλευόμενη τις διαφορές στην ποιότητα και την ισχύ επεξεργασίας κάθε μοντέλου αισθητήρα για να δημιουργήσει βέλτιστες εκδόσεις κάθε εικόνας.
Ο αυτοματισμός είναι τέτοιος ώστε το σύστημα να συνδέει το εξωτερικό υλικό, να προετοιμάζει το προσαρμοσμένο λεξικό και να ξεκινά τις προσπάθειες η μία μετά την άλλη μέχρι να γίνει δεκτό ένα από τα δακτυλικά αποτυπώματα.Όλη αυτή η διαδικασία εκτελείται χωρίς ανθρώπινη παρέμβαση, γεγονός που μειώνει τόσο τον χρόνο όσο και την πιθανότητα σφαλμάτων.
Σύγκριση μεταξύ Android, HarmonyOS και iOS: ποια συστήματα είναι πιο ευάλωτα;
Ένα από τα πιο ενδιαφέροντα τμήματα της μελέτης είναι η διαφορά στην αντίσταση των συσκευών ανάλογα με το λειτουργικό τους σύστημα και το μοντέλο υλοποίησης του αισθητήρα.Τα δεδομένα που συλλέχθηκαν αποφέρουν πολύ σαφή αποτελέσματα:
- AndroidΤα περισσότερα τηλέφωνα Android επιτρέπουν στο BrutePrint να εκτελεί απεριόριστες προσπάθειες λόγω της έλλειψης κρυπτογράφησης στο κανάλι επικοινωνίας και της παρουσίας ευπαθειών όπως το CAMF και το MAL. Ο χρόνος που απαιτείται για την παραβίαση του ελέγχου ταυτότητας κυμαίνεται μεταξύ 40 λεπτών και 14 ωρών, ανάλογα με τον αριθμό των καταχωρημένων δακτυλικών αποτυπωμάτων (όσο χαμηλότερος είναι ο αριθμός, τόσο πιο δύσκολο). Εάν ο χρήστης έχει μόνο ένα καταχωρημένο δακτυλικό αποτύπωμα, η επίθεση μπορεί να διαρκέσει αρκετές ώρες. Εάν επιτευχθεί ο μέγιστος επιτρεπόμενος αριθμός, η διαδικασία είναι σημαντικά ταχύτερη.
- HarmonyOSΈχει παρόμοια τρωτά σημεία με το Android, καθώς μοιράζεται πολλές υλοποιήσεις αισθητήρων και πρωτόκολλα ασφαλείας. Η επίθεση είναι επίσης αποτελεσματική, αν και ορισμένα μοντέλα παρουσιάζουν μερική αντίσταση.
- iOS (iPhones)Οι συσκευές Apple είναι οι πιο ανθεκτικές. Η μεγαλύτερη προστασία τους προέρχεται από το γεγονός ότι Η επικοινωνία μεταξύ του αισθητήρα δακτυλικών αποτυπωμάτων και του λειτουργικού συστήματος είναι πλήρως κρυπτογραφημένηΑυτό αποτρέπει την εισαγωγή εξωτερικών δεδομένων δακτυλικών αποτυπωμάτων ή την υποκλοπή της διαδικασίας ελέγχου ταυτότητας. Ωστόσο, έχει παρατηρηθεί ότι ορισμένα μοντέλα επιτρέπουν την αύξηση του ορίου των προσπαθειών από 5 σε 15, αν και η επίθεση δεν είναι βιώσιμη χρησιμοποιώντας τις ίδιες τεχνικές όπως στο Android.
Επομένως, ενώ κανένα σύστημα δεν είναι εντελώς άτρωτο, η διαφορά μεταξύ Android και iPhone είναι σημαντική, τοποθετώντας τα μοντέλα της Apple σε πολύ ασφαλέστερη θέση έναντι του BrutePrint. Επιπλέον, είναι σημαντικό να θυμόμαστε ότι τα πιο πρόσφατα iPhone βασίζονται στην αναγνώριση προσώπου (Face ID) αντί για δακτυλικά αποτυπώματα, γεγονός που εξαλείφει αυτόν τον φορέα επίθεσης.
Ποιοι παράγοντες αυξάνουν τον κίνδυνο επιτυχίας του BrutePrint;
Υπάρχουν διάφοροι παράγοντες που μπορούν να κάνουν ευκολότερο ή ταχύτερο το BrutePrint να παραβιάσει ένα smartphone:
- Αριθμός καταγεγραμμένων δακτυλικών αποτυπωμάτωνΌσο περισσότερα δακτυλικά αποτυπώματα αποθηκεύει ο χρήστης (δάχτυλα και από τα δύο χέρια, δάχτυλα συγγενών κ.λπ.), τόσο μεγαλύτερο είναι το εύρος πιθανών ταυτίσεων και τόσο μικρότερος είναι ο χρόνος που απαιτείται για την επίθεση.
- Ποιότητα και προστασία αισθητήραΟι φθηνοί, παλαιότεροι ή χαμηλής ανάλυσης αισθητήρες τείνουν να έχουν υψηλότερα όρια ανοχής, γεγονός που μεταφράζεται σε μεγαλύτερη πιθανότητα αποδοχής «παρόμοιων» δακτυλικών αποτυπωμάτων.
- Ενημερώσεις υλικολογισμικούΤα παρωχημένα συστήματα ενδέχεται να διατηρούν ευπάθειες που έχουν ήδη διορθωθεί σε πρόσφατες εκδόσεις υλικολογισμικού ή λειτουργικού συστήματος.
Πόσο διαρκεί η επίθεση και ποιες είναι οι πιθανότητες επιτυχίας;
Ο χρόνος που απαιτείται για να παραβιάσει το BrutePrint μια συσκευή ποικίλλει ανάλογα με τη βάση δεδομένων και το συγκεκριμένο μοντέλο, αλλά οι εκτιμήσεις κυμαίνονται από 40 λεπτά έως σχεδόν 14 ώρες. Εάν ο χρήστης έχει μόνο ένα καταχωρημένο δακτυλικό αποτύπωμα, η επίθεση διαρκεί περισσότερο, αλλά εάν χρησιμοποιηθεί ο μέγιστος αριθμός διαθέσιμων δακτυλικών αποτυπωμάτων, η διαδικασία είναι σημαντικά μικρότερη, με το τηλέφωνο να ξεκλειδώνεται σε λιγότερο από μία ώρα σε ορισμένες περιπτώσεις.
Η πιθανότητα επιτυχίας είναι υψηλή εφόσον ο εισβολέας έχει παρατεταμένη φυσική πρόσβαση στο τερματικό και τις τεχνικές γνώσεις που είναι απαραίτητες για τη συναρμολόγηση του υλικού.Στην πραγματικότητα, όλες οι πειραματικές δοκιμές που διεξήχθησαν σε διάφορα μοντέλα Android και HarmonyOS κατάφεραν να επιβάλουν έλεγχο ταυτότητας σε κάποιο σημείο.
Περιορισμοί και απαιτήσεις για την εκτέλεση του BrutePrint
Παρά το γεγονός ότι είναι πολύ αποτελεσματικό, το BrutePrint παρουσιάζει υλικοτεχνικά εμπόδια που το καθιστούν δύσκολο να αποτελέσει τεράστιο κίνδυνο για τον μέσο χρήστη:
- Φυσική πρόσβαση στη συσκευήΧωρίς άμεση πρόσβαση στο τηλέφωνο, η επίθεση δεν είναι βιώσιμη. Αυτό περιορίζει τη χρήση της σε κλοπή, απώλεια ή μη παρακολουθούμενη πρόσβαση.
- Τεχνική γνώσηΠαρόλο που το υλικό είναι οικονομικά προσιτό, ο εισβολέας πρέπει να έχει κάποιες γνώσεις ηλεκτρονικών και αποσυναρμολόγησης smartphone για να έχει πρόσβαση στο κανάλι SPI και να συνδεθεί στην πλακέτα τυπωμένου κυκλώματος.
- Χρόνος εκτέλεσηςΟι ώρες που απαιτούνται για την ολοκλήρωση της επίθεσης μπορούν να αποκαλύψουν τον εισβολέα εάν το τηλέφωνο παρακολουθείται ή είναι ενεργοποιημένη η παρακολούθηση.
- Βάση δεδομένων και Τεχνητή ΝοημοσύνηΑπαιτείται πρόσβαση σε μεγάλες συλλογές δακτυλικών αποτυπωμάτων και εργαλεία τεχνητής νοημοσύνης για την προσαρμογή της επίθεσης σε κάθε αισθητήρα.
Ποια προστατευτικά μέτρα υπάρχουν κατά του BrutePrint;
Παρόλο που ο κίνδυνος να πέσουν θύματα του BrutePrint είναι χαμηλός για τους περισσότερους, μπορούν να ληφθούν αρκετές προφυλάξεις για να καταστεί αυτή ή παρόμοιες επιθέσεις όσο το δυνατόν πιο δύσκολη:
- Καταγράψτε όσο το δυνατόν λιγότερα δακτυλικά αποτυπώματαΟ περιορισμός της επαλήθευσης ταυτότητας σε ένα μόνο δάχτυλο μειώνει σημαντικά την επιφάνεια επίθεσης.
- Ενημερώνετε τακτικά το λειτουργικό σύστημα και το υλικολογισμικόΟι κατασκευαστές κυκλοφορούν ενημερώσεις κώδικα με βελτιώσεις και διορθώσεις ασφαλείας που στοχεύουν στην προστασία του καναλιού επικοινωνίας του αισθητήρα και στον αποκλεισμό γνωστών ευπαθειών.
- Περιορισμός φυσικής πρόσβασης στο smartphoneΜην αφήνετε το τηλέφωνο χωρίς επίβλεψη ή στα χέρια αγνώστων.
- Ενεργοποιήστε πρόσθετα συστήματα προστασίαςΧρησιμοποιήστε ισχυρούς κωδικούς πρόσβασης, PIN και προστασία εφαρμογών για ευαίσθητες λειτουργίες, όπως προστασία για συγκεκριμένες εφαρμογές ή επαλήθευση σε δύο βήματα, όταν είναι δυνατόν.
Επιπλέον, οι ειδικοί στον τομέα της κυβερνοασφάλειας συνιστούν να απαιτείται από τους κατασκευαστές να εφαρμόζουν κρυπτογράφηση από άκρο σε άκρο στην επικοινωνία μεταξύ του βιομετρικού αισθητήρα και του λειτουργικού συστήματος, καθώς και να ελέγχουν τακτικά τα συστήματα για να διασφαλίζεται η συμμόρφωση με τις ορθές πρακτικές ασφαλείας.
Είναι η Apple απαλλαγμένη από το BrutePrint;
Το σύστημα Touch ID του iPhone έχει αποδειχθεί πολύ πιο ανθεκτικό στο BrutePrint και παρόμοιες επιθέσεις., κυρίως χάρη στην κρυπτογράφηση των εσωτερικών επικοινωνιών και την κλειστή ενσωμάτωση υλικού-λογισμικού που χαρακτηρίζει τα προϊόντα της Apple.
Ενώ οι ερευνητές κατάφεραν να αυξήσουν τον μέγιστο αριθμό επιτρεπόμενων προσπαθειών σε ορισμένα μοντέλα από 5 σε 15, η ίδια η επίθεση δεν είναι τόσο βιώσιμη όσο στο Android.Επιπλέον, πολλά τρέχοντα iPhone έχουν μετεγκατασταθεί σε Face ID (έλεγχος ταυτότητας προσώπου), εξαλείφοντας εντελώς τον φορέα επίθεσης με δακτυλικά αποτυπώματα.
Είναι το BrutePrint μια πραγματική απειλή για τους περισσότερους χρήστες;
Η εμφάνιση του BrutePrint σηματοδοτεί ένα κομβικό σημείο καμπής στην βιομετρική ασφάλεια των smartphone, αλλά ο πρακτικός αντίκτυπός του είναι περιορισμένος. Μεταξύ των παραγόντων που μειώνουν τον κίνδυνο για το ευρύ κοινό είναι:
- Ανάγκη για παρατεταμένη φυσική πρόσβασηΗ επίθεση είναι εφικτή μόνο εάν ο εισβολέας έχει πρόσβαση στο τηλέφωνο για ώρες και σε ένα περιβάλλον όπου μπορεί να το αποσυναρμολογήσει χωρίς να εντοπιστεί.
- Απαιτήσεις εξοπλισμού και εξειδικευμένες γνώσειςΠαρόλο που το υλικό είναι φθηνό, η εκτέλεση της επίθεσης είναι πέρα από την εμβέλεια των εγκληματιών χωρίς κάποια τεχνική εκπαίδευση.
- Υψηλός χρόνος εκτέλεσηςΟ αριθμός των ωρών που απαιτούνται μπορεί να απαιτήσει από το θύμα να ανακτήσει το τηλέφωνο ή να το κλειδώσει από απόσταση πριν ολοκληρωθεί η επίθεση.
- Προοδευτική διόρθωση τρωτών σημείωνΗ κυκλοφορία του BrutePrint έχει παρακινήσει τους κατασκευαστές και τους προγραμματιστές να ενισχύσουν την ασφάλεια και να κρυπτογραφήσουν το κανάλι επικοινωνίας με αισθητήρες, μειώνοντας σταδιακά τον αριθμό των ευάλωτων συσκευών.
Παρόλο που η απειλή είναι πολύ πραγματική σε περιβάλλοντα υψηλής ασφάλειας, η κατασκοπεία, η κλοπή εταιρικών πληροφοριών ή η εγκληματολογική έρευνα, όπου η φυσική πρόσβαση και ο χρόνος μπορούν να εγγυηθούν, οι κίνδυνοι για τον μέσο χρήστη είναι χαμηλοί εάν ληφθούν τα κατάλληλα μέτρα. Μοιραστείτε τις πληροφορίες έτσι ώστε οι άλλοι χρήστες να γνωρίζουν τα νέα.