Aptiktas didžiulis bet kurio “Android” išmaniojo telefono pažeidžiamumas: būtina atkreipti dėmesį


Kinijos tyrėjų grupė iš “Tencent” aptiko nerimą keliantį “Android” išmaniųjų telefonų pirštų atspaudų autentifikavimo sistemos pažeidžiamumą. Atakoje, pavadintoje “BrutePrint”, išnaudojamos dvi nulinės dienos pažeidžiamumo spragos, leidžiančios įsilaužėliams atrakinti “Android” telefonus suklastotais pirštų atspaudais.

“BrutePrint” pirštų antspaudų ataka

Yu Chen ir Yiling He išrastas “BrutePrint” atakos metodas apima paprastos ir nebrangios priemonės, kainuojančios vos 15 JAV dolerių, naudojimą.

Priemonę sudaro spausdintinė plokštė, kurioje įrengtas mikrovaldiklis, analoginis jungiklis, SD kortelė ir jungtis plokštėms sujungti. Kad sėkmingai įvykdytų ataką, užpuolikas turi turėti fizinę prieigą prie aukos išmaniojo telefono bent 45 minutes ir turėti pirštų atspaudų duomenų bazę.

Pažeidžiami įrenginiai

Tyrėjai išbandė keletą “Android” telefonų, pvz:

Be to, buvo vertinami du “iPhone” – “iPhone SE” ir “iPhone 7”. Bandymai parodė, kad visus aštuonis “Android” įrenginius galima atrakinti naudojant “BrutePrint” metodą.

Pirštų antspaudai

Trūkumų išnaudojimas

Išmaniųjų telefonų pirštų atspaudų autentifikavimas paprastai riboja bandymų skaičių, kad būtų išvengta brutalios jėgos atakų. Tačiau “BrutePrint” šią apsaugą apeina, nes autentifikavimo proceso metu naudojama atskaitos riba. Užpuolikai gali pakartotinai išbandyti skirtingus įvesties duomenis, kol randa atvaizdą, labai panašų į pirštų atspaudų duomenų bazėje saugomą atvaizdą. Jei tai pavyksta, užpuolikas gali atrakinti telefoną ir gauti prieigą prie jautrios informacijos ar net leisti atlikti mokėjimus.

Laiko veiksnys

Atakos trukmė priklauso nuo įvairių veiksnių, įskaitant tikslinio prietaiso pirštų atspaudų autentifikavimo sistemą ir autentifikavimui saugomų pirštų atspaudų skaičių. Tyrėjai nustatė, kad prietaisams atrakinti reikėjo nuo 40 minučių iki 14 valandų. Iš testuotų “Android” telefonų greičiausiai buvo atrakintas “Samsung Galaxy S10+” (nuo 0,73 iki 2,9 val.), o ilgiausiai – “Xiaomi Mi 11” (nuo 2,78 iki 13,89 val.).

“iOS” šifravimas užtikrina jūsų saugumą

Skirtingai nei “Android”, “iOS” šifruoja duomenis ir taip užtikrina papildomą saugumo lygį, kuris užkerta kelią tokioms atakoms. Todėl “iPhone” telefonai yra atsparūs “BrutePrint” metodui. Tačiau “Android” įrenginiams kyla pavojus dėl duomenų šifravimo nebuvimo.

Rekomendacijos saugumui gerinti

Siekdami sumažinti šiuos pažeidžiamumus, Yu Chen ir Yiling He pasiūlė keletą rekomendacijų. Tarp jų – bandymų riboto apėjimo būdų naudojimas siekiant sustiprinti autentifikavimo procesą ir duomenų šifravimo tarp pirštų atspaudų skaitytuvo ir mikroschemų rinkinio įdiegimas. Atitiktis naujausiems “Google” saugumo standartams taip pat gali padidinti apsaugą nuo tokių atakų.

Išeiti iš AMP versijos