Autentificarea prin utilizarea amprentei nu este atât de sigură pe cât se crede a fi / Ce spun cercetătorii despre aceasta

Atacul „BrutePrint” forțează autentificarea cu amprente digitale pe telefoanele inteligente pentru a compromite autentificarea utilizatorilor și preluarea controlului asupra dispozitivului, potrivit cercetătorilor de la Tencent Labs și de la Universitatea Zhejian, scrie Bleeping Computer.

Telefoanele sunt vulnerabile la atacurile cu amprentă digitală

Aceste atacuri se bazează pe mai multe încercări de tip trial&error de a sparge un cod, o cheie sau o parolă pentru obținerea accesului neautorizat la conturi, sisteme de operare sau rețele.

Prin exploatarea a două vulnerabilități zero-day, și anume Cancel-After-Match-Fail (CAMF) și Match-After-Lock (MAL), cercetătorii din China au reușit să depășească barierele de protecție existente pe telefoane, printre care numărul limită de încercări și de detecții care protejează împotriva atacurilor cu forță brută.

Potrivit autorilor lucrării tehnice, atacurile BrutePrint și SPI MITM au fost testate împotriva a zece modele populare de telefoane, realizând încercări nelimitate pe dispozitivele Android și HarmonyOS și zece încercări suplimentare pe dispozitivele iOS.

„Aceste constatări sună alarmante la prima vedere. Cu toate acestea, la o analiză mai atentă, amenințarea poate să nu fie atât de imanentă cum s-a sugerat. În primul rând, această vulnerabilitate este acum documentată public și poate fi remediată. În al doilea rând, pentru un atac de succes, trebuie să fie îndeplinite mai multe cerințe preliminare:  versiuni vechi de Android, hardware vechi, dar și acces fizic la dispozitivul victimei.

Prin urmare, este sigur să spunem că pentru utilizatorii obișnuiți, acest tip de atacuri nu reprezintă o amenințare directă sau poate fi considerat un risc minor. Dacă aceste puncte slabe nu sunt deja remediate de hardware-ul și software-ul actual, este probabil că vor fi remediate în actualizările viitoare”, spune Jake Moore, Global Cyber Security Advisor al ESET, potrivit Adevărul.