Интересна нова атака срещу биометричната сигурност е очертана от група изследователи от Китай и САЩ. PrintListener позволява разкриване на уязвимостта на удостоверяването на пръстови отпечатъци чрез звука на пръстовото триене и предлага атака от страничен канал на сложната система за автоматична идентификация на пръстови отпечатъци (AFIS). Атаката използва звуковите характеристики на плъзгането на пръста на потребителя върху сензорен екран, за да извлече характеристиките на модела на пръстов отпечатък. След тестове изследователите твърдят, че могат успешно да атакуват "до 27.9% от частичните пръстови отпечатъци и 9.3% от пълните пръстови отпечатъци в рамките на пет опита при най-високата настройка за сигурност FAR [False Acceptance Rate] от 0.01%". Твърди се, че това е първата работа, която използва звуци от плъзгане, за да извлече информация за пръстови отпечатъци.

Сигурността на биометричните пръстови отпечатъци е широко разпространена и се ползва с доверие. Ако нещата продължат по същия начин, се смята, че пазарът за удостоверяване на пръстови отпечатъци ще струва близо 100 милиарда долара до 2032 г. Организациите и хората обаче все повече осъзнават, че нападателите може да искат да откраднат пръстовите им отпечатъци, така че някои започнаха да внимават да държат пръстовите си отпечатъци далеч от погледа и стават предпазливи към снимки, показващи детайли на ръцете им.

Без отпечатъци от контакти или детайлни снимки на пръсти как може хакерът да се надява да получи някакви данни за пръстови отпечатъци, за да подобри резултатите от речниковата атака на MasterPrint и DeepMasterPrint върху потребителски пръстови отпечатъци? Един от отговорите е следният: документът на PrintListener казва, че „звуците от триене при плъзгане на пръсти могат да бъдат уловени от нападатели онлайн с голяма вероятност“. Източникът на звуците от плъзгане на пръсти може да са популярни приложения като Discord, Skype, WeChat, FaceTime и т.н. - с други думи, всяко чат приложение, при което потребителите небрежно извършват действия с плъзгане по екрана, докато микрофонът на устройството е включен. Оттук и името на атаката на страничния канал – PrintListener.

Зад вътрешната работа на PrintListener има някаква сложна наука, но ако сте прочели горното, вече ще имате добра представа какво са направили изследователите, за да усъвършенстват своите AFIS атаки. Три основни предизвикателства обаче бяха преодолени, за да стигне PrintListener до мястото, където е днес:

- Слаби звуци от триене на пръстите: разработен е алгоритъм за локализиране на звуково събитие от триене, базиран на спектрален анализ.
- Разделяне на влиянието на модела на пръстите върху звука от физиологичните и поведенческите характеристики на потребителите. За да се справят с това, изследователите са използвали както минимално излишък, така и максимална релевантност (mRMR) и адаптивна стратегия за претегляне.
- Преминаване от извеждането на първични към вторични характеристики на пръстови отпечатъци с помощта на статистически анализ на взаимовръзките между тези характеристики и проектиране на евристичен алгоритъм за търсене.

За да докажат теорията, учените практически разработиха своето изследване на атаката като PrintListener. Накратко, PrintListener използва поредица от алгоритми за предварителна обработка на необработените аудио сигнали, които след това се използват за генериране на целева синтетика за PatternMasterPrint (MasterPrint, генериран от пръстови отпечатъци със специфичен модел).

Важно е, че PrintListener премина през обширни експерименти "в сценарии от реалния свят" и както беше споменато във въведението, може да улесни успешните частични атаки с пръстови отпечатъци в повече от един на всеки четири случая и пълни атаки с пръстови отпечатъци в почти един на десет случая. Тези резултати далеч надхвърлят неподпомогнати атаки с речник на пръстови отпечатъци MasterPrint.

Снимка: Unsplash

Виж още: Луксозната авиокомпания Beond предлага на пътниците Apple Vision Pro за забавление на борда