La biometría de huellas dactilares de Android cae ante el ataque 'BrutePrint'

Seguridad de endpoints, gestión de identidades y accesos, operaciones de seguridad

Los investigadores de seguridad han demostrado un ataque práctico que puede usarse para anular los controles biométricos de huellas dactilares e iniciar sesión en el teléfono inteligente Android de un objetivo.

Ver también: Seminario web en vivo | Desenmascarando a Pegasus: comprenda la amenaza y fortalezca su defensa digital

Los investigadores de seguridad Yu Chen de Tencent y Yiling He de la Universidad de Zhejiang revelaron el ataque, al que denominaron "BrutePrint", en un nuevo artículo de investigación. Su ataque de fuerza bruta es económico, práctico de implementar a gran escala y puede usarse para iniciar sesión en dispositivos y autorizar pagos, dijeron.

Para simplificar tales ataques, los investigadores detallaron cómo se puede crear una placa de circuito impreso, que cuesta alrededor de 15 dólares, para cada tipo de dispositivo al que se apunta, lo que puede automatizar la secuencia de ataque. Como resultado, se requiere poca experiencia o capacitación para llevar BrutePrint a las masas.

Desde que Apple presentó su función Touch ID en 2013, numerosos fabricantes de teléfonos inteligentes han enviado dispositivos que los usuarios pueden desbloquear con una huella digital. La biometría de huellas dactilares ofrece una combinación de usabilidad y seguridad, al menos cuando funciona según lo prometido.

Los investigadores han encontrado formas innovadoras de burlar los controles de seguridad basados ​​en huellas dactilares. Algunos de los métodos más memorables incluyen ositos de goma, Play-Doh, fotocopias y pegamento para madera. En respuesta, los fabricantes han seguido añadiendo funciones de seguridad, como dispositivos de bloqueo, después de demasiados intentos fallidos y han utilizado comprobaciones capacitivas para detectar si un dedo es real (consulte: Biometría: avances en las soluciones alternativas de Smack Down).

Yu y Yiling dijeron que BrutePrint les permite evitar la detección de falsificaciones e intenta limitar la cantidad de intentos en 10 dispositivos Android diferentes, incluidos Xiaomi Mi 11 Ultra, Vivo X60 Pro, OnePlus 7 y Samsung Galaxy S10 Plus. Las técnicas pueden usarse para eventualmente desbloquear un dispositivo vulnerable casi las tres cuartas partes del tiempo, dijeron.

Para evitar los límites de intentos, los investigadores explotaron dos fallas de día cero en el marco de autenticación de huellas dactilares de los teléfonos inteligentes, también conocido como SFA, en dispositivos Android. También apuntaron a la seguridad débil en la implementación de la interfaz periférica en serie de los sensores de huellas dactilares, para intentar realizar ingeniería inversa en copias de huellas dactilares almacenadas. Si bien esto no es esencial, los investigadores dijeron que la recuperación de huellas dactilares aumenta las posibilidades de que BrutePrint tenga éxito.

BrutePrint procede a través de cuatro etapas:

Si bien el ataque funcionó en todos los dispositivos Android que los investigadores probaron, falló en los dos modelos de Apple (un iPhone 7 y un SE) que probaron, debido a que almacenan datos de huellas dactilares en formato cifrado, así como a protecciones que evitan que la entrada de datos de huellas dactilares sea secuestrable.

Los límites de velocidad, que bloquean un dispositivo después de demasiados intentos fallidos de autenticación de huellas dactilares, son una característica de todos los sistemas operativos de teléfonos inteligentes modernos. Los errores de SFA que los investigadores detectaron como parte de BrutePrint les permitieron eludir las defensas de límite de velocidad, brindándoles infinitos intentos de tener éxito. Dijeron que esta capacidad sigue siendo esencial, ya que los ataques exitosos pueden tardar horas en completarse.

La detección de vida es otra defensa generalizada diseñada para bloquear entradas falsificadas. Para vencer esto, los investigadores utilizan Cycle Generative Adversarial Network, también conocido como CycleGAN, que es una técnica que entrena una red neuronal para traducir una imagen en otra. El uso de CycleGAN, dijeron, les permite crear imágenes de diccionario de suficiente calidad, que parecen lo suficientemente correctas para las comprobaciones de seguridad de un teléfono inteligente para que BrutePrint tenga éxito en cualquier dispositivo Android el 71% de las veces.

Los investigadores dijeron que las vulnerabilidades atacadas a través de BrutePrint podrían solucionarse mediante actualizaciones del sistema operativo o si los fabricantes de teléfonos inteligentes y sensores de huellas dactilares trabajan más estrechamente para crear contramedidas.