Votre téléphone prend vos empruntes

La carte mère a publié un article la semaine dernière qui suggère que les jours de la fée d'identification biométrique pourraient être comptés - du moins dans sa capacité à protéger les smartphones, les chercheurs ont créé de fausses empreintes digitales «maîtresses» pour déverrouiller les smartphones
Selon la carte mère:
Dans la plupart des cas, l'usurpation d'identité biométrique nécessite de créer un faux motif de veine de visage ou de doigt qui correspond à un individu existant. Dans un article publié sur arXiv plus tôt ce mois-ci, cependant, des chercheurs de l'Université de New York et de l'Université du Michigan ont détaillé comment ils ont formé un algorithme d'apprentissage automatique pour générer de fausses empreintes digitales qui peuvent servir de correspondance pour un grand nombre »d'empreintes digitales réelles stockées dans bases de données.
Je ne vais pas discuter des détails techniques ici, et renvoyer les lecteurs intéressants à l'article complet lié ci-dessus.
Bien que l'article se concentre sur les capteurs d'empreintes digitales des smartphones, je note que les auteurs de cet article pensent que leur méthode a une applicabilité plus large (à partir du résumé):
Des recherches récentes ont démontré la vulnérabilité des systèmes de reconnaissance d'empreintes digitales aux attaques par dictionnaire basées sur MasterPrints. Les MasterPrints sont des empreintes digitales réelles ou synthétiques qui peuvent fortuitement correspondre avec un grand nombre d'empreintes digitales, compromettant ainsi la sécurité offerte par les systèmes d'empreintes digitales….
La méthode sous-jacente est susceptible d'avoir de vastes applications dans la sécurité des empreintes digitales ainsi que dans la synthèse des empreintes digitales.
Ce sont de mauvaises nouvelles pour la fée d'identification biométrique
Maintenant, Motherboard a une foi touchante et optimiste dans les capacités de la fée d'identification biométrique (même en appréciant que les chercheurs aient montré qu'il est possible d'usurper ces systèmes).
Les identifiants biométriques semblent être aussi proches que possible d'un système d'identification parfait. Ces types de pièces d'identité sont basés sur les traits physiques uniques des individus, tels que les empreintes digitales, les iris ou même les veines de votre main.Cependant, ces dernières années, les chercheurs en sécurité ont démontré qu'il était possible de tromper de nombreuses formes, sinon la plupart, de formes d'identification biométrique.
Un couple de problèmes ici, dont j'ai discuté beaucoup plus longuement dans ce billet de l'année dernière, Biometric ID Fairy: A Misguided Response to Equifax Mess that Will Only Enrich Cybersecurity Grifters and Strengthen the Surveillance State First, contrairement à un mot de passe ou un numéro, la biométrie ne peut pas être modifiée. Donc, si votre ID biométrique est piraté, vous ne pouvez pas remplacer vos doigts ou obtenir un nouveau globe oculaire.
Deuxièmement, il y a la confusion entre l'identification et l'authentification - que dans ce billet, notre propre Richard Smith a décrit comme un gros problème non résolu »- jusqu'à ce que nous trouvions comment construire des systèmes anti-piratage. (Afin de garder ce post court, je ne répéterai pas ces arguments ici - car ils ne sont pas au cœur de cette discussion. Je renvoie les lecteurs intéressés à ce post précédent.)
Au-delà des smartphones
Cet article se concentre uniquement sur les smartphones, mais les chercheurs suggèrent que leurs recherches ont une applicabilité plus large.
Est-ce à dire que des bandes de malfaiteurs en maraude trouveront du jour au lendemain des moyens de briser les systèmes de sécurité existants?
Non.
Pourquoi?
Quatre points ici. Premièrement, l'état actuel de la recherche est au stade de la preuve de concept - plutôt que sur le point de concevoir des systèmes qui peuvent armer le concept. Ou du moins, semble-t-il, sur la base de recherches publiées - qui sait ce que les cerveaux criminels font dans leurs tanières secrètes?
Deuxièmement, pour des raisons ergonomiques, les systèmes d'empreintes digitales des smartphones sont de petite taille et n'obtiennent que des images partielles de l'empreinte digitale d'un utilisateur. Selon l'article (p.1):
Étant donné que de petites parties d'une empreinte digitale ne sont pas aussi distinctives que l'empreinte digitale complète, les chances qu'une empreinte digitale partielle (d'un doigt) soit incorrectement associée à une autre empreinte digitale partielle (d'un doigt différent) sont plus élevées.
Cela signifie qu'il peut être beaucoup plus difficile d'obtenir des résultats similaires lors de la correspondance des empreintes digitales complètes.
Troisièmement, le matériel, les algorithmes et une ingénierie plus rigoureuse sont tous importants ici et coûtent de l'argent, a écrit un expert en sécurité que j'ai consulté (malheureusement, ayant négligé d'obtenir la permission d'utiliser le nom de cette personne, j'ai choisi de ne pas attribuer ces pensées directement, et j'espère que je serai pardonné d'avoir crû sans vergogne certaines des idées suivantes - parfois dans les mêmes mots qu'elles m'ont été transmises). Dans la conception des systèmes les plus sécurisés, les groupes disposant de ressources ont tendance à construire des défenses en couches qui exploitent de multiples facteurs: par ex. quelque chose que vous savez - un mot de passe; quelque chose que vous possédez - une carte d'identité; quelque chose que vous êtes - un biométrique. En plus de cela, ces systèmes intègrent également des contrôles supplémentaires (par exemple, pièges à homme, gardes armés, vidéosurveillance). Plus le système comprend de ces éléments, plus il serait sûr - bien que le coût de création et de maintien d'un tel niveau de sécurité soit important.
Quatrièmement, lors de la conception du système d'identification lui-même, dans le compromis entre les systèmes qui produisent beaucoup de faux positifs - par exemple, vous permettre ou passer le rôle de Donald Trump et entrer dans la salle de situation de la Maison Blanche (en supposant que nous pourrions obtenir les cheveux et les manières) à droite) - et trop de faux négatifs - par exemple, empêcher Donald Trump d'entrer dans la pièce - les systèmes plus sécurisés biaisent vers la minimisation des faux positifs, au détriment de l'autorisation de plus de faux négatifs. Ça devrait être comme cela. Dans ces systèmes plus sécurisés, la biométrie ne serait qu'une partie du protocole de sécurité, et il y a vraisemblablement de vrais humains vivants impliqués qui peuvent remplacer ou redémarrer le protocole - ou utiliser une procédure de sauvegarde - en cas de problème.
En revanche, les smartphones se tournent vers le côté du spectre d'identification des empreintes digitales qui minimise les faux négatifs. Ils sont probablement conçus pour permettre aux utilisateurs qui ont passé une nuit en ville d'accéder à leur système, quelle que soit la détérioration de la motricité fine qui aurait pu résulter de cette nuit en ville. De plus, ils sont conçus pour fonctionner même si le bout des doigts présenté est dans un état moins qu'optimal: s'il est entaché par les restes de côtes, de fish and chips, de brochettes ou de l'équivalent végétalien. Même avec un doigt dans une telle condition, les utilisateurs s'attendent toujours à pouvoir utiliser leur smartphone.
Tout ce que je suggère ici, c'est que si le concept est prouvé en utilisant des capteurs d'empreintes digitales de smartphone, il ne fonctionnera pas nécessairement avec des capteurs plus sophistiqués - et des recherches supplémentaires seraient nécessaires.
Aussi, permettez-moi un autre côté. À l'heure actuelle, qui s'embêterait à créer un tel système de piratage? Il serait peut-être plus facile d'utiliser des méthodes de collage éprouvées - Insérez votre doigt, ou grand-mère l'obtient »- ou la simple coercition de l'État - Insérez votre doigt, et je vous débarrasserai du contrôle des passeports» - plutôt que d'employer les fruits artificiels qui peuvent découler des recherches discutées ici.