3D yazdırılmış kopyalar telefonda ve MacBook Pro dizüstü bilgisayarda çalıştı, ancak Windows makinelerinde veya iki USB atlama sürücüsünde çalışmadı.
İki güvenlik araştırmacısı, kimlik doğrulama sensörlerini% 80 oranında kandıracak sahte bir parmak izi oluşturmak için 3D yazıcı ve kumaş tutkalı kullandı. Diğer önemli bileşenler zaman ve sabırdı: Başarılı olan bir sahte yaratmak için 50 deneme yapıldı.
Güvenlik analistleri Paul Rascagneres ve Vitor Ventura deneylerini "Parmak İzi Klonlama: Efsane mi Gerçek mi?" İki analist Cisco'nun Talos Güvenlik İstihbaratı ve Araştırma Grubu için çalışıyor. Araştırmacılar bir kalıp oluşturmak için bir 3D yazıcı kullandılar ve daha sonra parmak izini kumaş tutkalı ile yeniden oluşturdular.
Testler ortalama% 80'lik bir başarı oranı gösterdi, bu da sahte parmak izlerinin dizüstü bilgisayarlarda, telefonlarda ve akıllı cihazlardaki sensörleri en az bir kez kandırdığı anlamına geliyor. Araştırmacılar, bu başarı oranına ulaşmak zor ve sıkıcı bir çalışma olduğunu söyledi.
En büyük zorluk sahte parmak izi için boyutu doğru yapmaktı; Yüzde 1 çok küçük veya çok büyük ve sahte parmak izi işe yaramadı. Rascagneres deneyde kendi parmak izini kopyaladı. En büyük engelin sahte baskı için doğru boyutu elde ettiğini söyledi.
"Sensörün beklediği tam boyuta ihtiyacınız var ve 3D baskı bunun için tasarlanmamış."
GÖRMEK: Siber güvenlik: Taktik takalım (ücretsiz PDF)
Ventura, deneyin amacının şirketleri ve kişileri parmak izi kimlik doğrulamasına güvenmeyi iki kez düşünmeye teşvik etmek olduğunu söyledi.
Yetkili, "Ortalama bir kişinin güvenliğini korumak için iyidir, ancak gazeteciler veya politikacılar gibi bazı kullanıcılar için parmak izleri önerilmeyecektir." Dedi.
Ventura, kötü bir aktör bir kişinin telefonuna kötü amaçlı yazılım yüklemek isterse, en büyük engelin telefonun kilidini açmak için geçen süredir.
Parmak izi kimlik doğrulamasının ilk piyasaya sürüldüğü 2013'ten bu yana çok fazla gelişmediğini de sözlerine ekledi.
"Bir şey varsa, biraz azaldı çünkü şu anda piyasaya sürüldüğünde mevcut olmayan teknoloji var," dedi.
Deney ile araştırmacılar üç soruya cevap vermek istediler:
- IPhone 5'te ilk kez yenildiğinden beri parmak izi taramasındaki güvenlik geliştirmeleri nelerdir?
- 3D baskı teknolojisi parmak izi kimlik doğrulamasını nasıl etkiler?
- Hangi tehdit modelleri gerçekçi senaryoları yansıtır?
Rascagneres ve Ventura ayrıca, parmak izlerinin düşük maliyetli malzemelerle çoğaltılabilmesi durumunda, cömert finansmana sahip devlet destekli aktörler için aynı çoğaltmanın kolay olacağı varsayımıyla proje için düşük bir bütçe belirlediler.
Hangi cihazlar kandırıldı?
Deneyin sonuçlarına göre, cep telefonu parmak izi kimlik doğrulaması 2013'te ilk kırıldığı zamana göre zayıfladı. Araştırmacılar test ettikleri üç tip sensör arasında belirgin bir avantaj bulamadılar.
Sahte baskıyı bir MacBook Pro ile test ederken, araştırmacılar testlerin% 95'inde dizüstü bilgisayarın kilidini açabildiler. Ayrıca beş Windows platformunu test ettiler ve sahte baskı her seferinde başarısız oldu. Rascagneres ve Ventura, parmak izinin geçerliliğini kontrol eden karşılaştırma algoritmasının Windows işletim sisteminde olduğunu ve tüm platformlarda paylaşıldığını yazdı.
Rascagneres, "Bu durumda, Microsoft algoritması parmak izinde diğer algoritmalardan daha fazla noktayı kontrol ettiğinden başarılı olamadığımızı düşünüyoruz." Dedi.
Rascagneres, bir dizüstü bilgisayarda parmak izi tarayıcıyı kandırmanın genellikle telefondan daha zor olduğunu söyledi.
"Bir telefonla çok fazla kilidini açıyorsunuz, ancak bir dizüstü bilgisayar için farklı, bu nedenle bir mobil cihazdan daha katı bir şeye sahip olmak kolaydır" dedi.
Ekip ayrıca bir asma kilit ve iki USB şifreli kalem sürücüsünü de test etti. Asma kilit kimlik doğrulaması zamanın% 80'inden fazlasına kandırıldı, ancak sahte baskı Verbatim Fingerprint Secure ve Lexar Jumpdrive Parmak İzi F35 ile hiç çalışmadı.
Ekip, kapasitif, optik ve ultrasonik olmak üzere üç tip sensörü test etti. Rapora göre, sensörlerin çoğu üçüncü taraf şirketler tarafından geliştirildi ve daha sonra 2012'de AuthenTec'i aldıktan sonra kendi sensörlerini oluşturan Apple hariç cihaza entegre edildi.
Araştırmacılar şu cihazları test etti:
- iPad beşinci nesil
- iPhone 8
- Samsung S10
- Samsung Note 9
- Macbook Pro 2018
- HP Pavilion x360
- Huawei P30 Lite
- Onur 7X
- Lenovo Yoga
- Akıllı bir asma kilit
- Lexar Jumpdrive F35
- Verbatim Parmak İzi Güvenli
- Samsung A70
Sahte baskılar oluşturma
Talos deneyinin iki aşaması vardı: toplama ve yaratma. İlk olarak, araştırmacılar hedeflenen parmak izini üç teknik kullanarak topladılar ve sonra bir kalıp oluşturdular. Ekip, kalıbı sahte parmak izini atmak için kullandı ve daha sonra sahte bir cihaza erişmek için kullandı.
Kalıbı oluşturmak için 25 mikron hassasiyetinde bir 3D UV LED yazıcı kullandılar. Dermal parmak izi çıkıntıları yaklaşık 500 mikron genişliğinde ve 20-50 mikron derinliğindedir.
Kalıbı yazdırdıktan sonra, nesneyi katı hale getirmek için birkaç dakika boyunca bir UV odasında kürlenmesi gerekiyordu. Bu işlem aynı zamanda kalıbı daraltarak her kalıp için tutarlı bir boyut yaratmayı zorlaştırmaktadır.
Araştırma ekibi, güvenilir bir kalıp ve geçerli bir sahte parmak izi elde etmek için 50'den fazla kalıp basmak, onlarla sahte bir parmak izi oluşturmak ve sonuçları ve boyutları bir parmak izi sensörüyle karşılaştırmak zorunda kaldı.