Nuk ka siguri: Sulmi ‘BrutePrint’ anashkalon sigurinë e gjurmëve të gishtave në smartphone

Në një shfaqje të guximshme të aftësive teknologjike, studiuesit në Tencent Labs dhe Universiteti Zhejiang kanë zbuluar një shfrytëzim novator të njohur si ‘BrutePrint’. Kjo metodë e re e sulmeve kibernetike arrin të tejkalojë vërtetimin e gjurmëve të gishtërinjve në telefonat inteligjentë modernë, duke anashkaluar vërtetimin e përdoruesit për të fituar kontrollin e pajisjes. Është një perspektivë alarmante, në një botë që gjithnjë e më shumë mbështetet në skanimin e gjurmëve të gishtërinjve si masë sigurie.

Një sulm kibernetik zakonisht përfshin përpjekje të pandërprera për të thyer kodet ose fjalëkalimet. Është një metodë e përdorur nga hakerat për të fituar akses të paautorizuar në llogari, sisteme ose rrjete të ndryshme. Studiuesit kinezë e kanë marrë këtë koncept dhe e kanë aplikuar atë në fushën e sigurisë biometrike, duke shfrytëzuar atë që ata pretendojnë se janë dy dobësi të rëndësishme të këtyre sistemeve: Cancel-After-Match-Fail (CAMF) dhe Match-After-Lock (MAL).

Në punimin e tyre teknik, të botuar në Arxiv.org, studiuesit vunë në dukje një dobësi të natyrshme në ndërfaqen periferike të sensorëve të gjurmëve të gishtërinjve (SPI). Duket se të dhënat biometrike në këtë ndërfaqe janë të mbrojtura në mënyrë të dobët, duke hapur mundësinë për një sulm kibernetik që mund të rrëmbejë imazhet e gjurmëve të gishtërinjve.

Metoda ‘BrutePrint’, e shoqëruar me sulmet SPI MITM, iu nënshtrua testimit kundër dhjetë modeleve të njohura të smartphone-ve. Studiuesit zbuluan se mund të bënin përpjekje të pakufizuara në të gjitha pajisjet Android dhe HarmonyOS (Huawei), dhe dhjetë përpjekje të mundshme në pajisjet iOS.

Megjithatë, BrutePrint nuk është një hakim në distancë. Për të nisur një sulm, është i nevojshëm aksesi fizik në pajisje. Hakeruesi gjithashtu ka nevojë për akses në një bazë të dhënash të gjurmëve të gishtërinjve, e cila mund të merret nga grupet e të dhënave akademike ose publikimet e palicensuara të dhënave. Pajisjet e nevojshme për sulmin kushtojnë 15 dollarë, një shumë e cila është relativisht modeste.

Kur bëhej fjalë për testimin në botën reale, të gjitha pajisjet e testuara Android dhe iOS u zbuluan se ishin të prekshme ndaj të paktën një sulmi. Pajisjet Android ishin veçanërisht të ndjeshme, duke lejuar përpjekje të pafundme të gjurmëve të gishtërinjve. Pajisjet iOS u treguan më elastike, duke parandaluar në mënyrë efektive sulmet fillestare, megjithëse iPhone SE dhe iPhone 7 u zbuluan se ishin të ndjeshëm ndaj këtyre sulmeve.

Studiuesit arritën në përfundimin se ndërsa BrutePrint kërkon akses fizik pajisjen e synuar, dhe kështu mund të mos duket menjëherë kërcënuese, nuk duhet nënvlerësuar. Teknika mund të përdoret nga hajdutët për të zhbllokuar pajisjet e vjedhura, për të nxjerrë të dhëna të vlefshme private, apo edhe për t’u përdorur nga agjensitë e zbatimit të ligjit në hetime, duke ngritur pyetje të rëndësishme në lidhje me të drejtat e privatësisë dhe çështjet etike.