Украсть отпечаток пальца: насколько это легко сделать

В Казахстане разгораются споры вокруг обязательной дактилоскопии. Йорик покопался в интернете и нашёл самые распространённые мифы об отпечатках пальцев. Также наш любопытный призрак узнал, что украсть и воссоздать отпечаток не так-то и легко, как это показывают в фильмах.

В Лаборатории Касперского рассказали, насколько надёжны сканеры отпечатков пальцев

Для начала в организации рассказали о том, как работают сканеры отпечатков пальцев. Когда вы прикладываете палец к сканеру, чтобы разблокировать смартфон, ноутбук или умный замок, сенсор тем или иным способом получает изображение вашего папиллярного рисунка. Существует несколько типов сканеров, и каждый из них распознает отпечаток по-своему. Исследователи из Cisco Talos сосредоточились на трех наиболее популярных типах:

• Емкостные сканеры — самый распространенный тип. Емкостный сканер получает изображение при помощи небольшого электрического заряда. Для этого в него встроены миниатюрные конденсаторы — устройства, способные накапливать электричество. Когда палец касается сканера, он эти конденсаторы разряжает. В тех местах, где палец вплотную подходит к датчику (гребни отпечатка) — больше, а там, где между кожей и датчиком остается зазор (впадины отпечатка) — меньше. Сканер измеряет эту разницу и определяет по ней рисунок отпечатка.
• Оптические сканеры фактически фотографируют отпечаток пальца. Устройство светит на палец через призму, свет по-разному отражается от гребней и впадин, а датчик считывает его и получает нужную картинку.
• Ультразвуковые сканеры вместо света посылают ультразвуковой сигнал и записывают эхо, которое от гребней и впадин тоже образуется разное. Такому сканеру не обязательно соприкасаться с пальцем, поэтому его можно прятать под экран смартфона. Кроме того, он «слышит» не только ту часть пальца, которая прилегает к поверхности, но и удаленные от датчика края подушечки, так что картинка выходит объемная. Это помогает распознать обман с помощью плоских копий отпечатка.

Получив ваш отпечаток пальца, сканер — или операционная система — сравнивает его с тем, который хранится в памяти устройства. При этом все существующие методы считывания отпечатков могут давать некоторую погрешность, так что при сравнении допускается определенный процент несовпадений — для каждого устройства свой.

Если этот процент высокий, скорее всего, подделать отпечаток будет проще. Если настройки более строгие и процент допустимой погрешности низкий, обмануть сканер будет сложнее, но и настоящего хозяина гаджет будет узнавать через раз.

Как обмануть сканер?

В лаборатории нашли три способа:

Первый способ: снять форму для отливки

Можно снять отпечаток пальца жертвы, пока человек находится в бессознательном состоянии или, скажем, основательно пьян. Для этого подойдет любой мягкий, но застывающий материал — например, полимерная глина.

В результате в руках злоумышленника сразу оказывается форма для отливки фейкового отпечатка. Очевидная трудность состоит в том, что нужно застать жертву в «правильном» состоянии или же ее в это состояние ввести.

Второй способ: раздобыть снимок со сканера

Также можно тем или иным способом раздобыть отпечаток пальца, снятый при помощи сканера. Сам по себе этот метод технически сложнее. Однако далеко не все компании, работающие с биометрическими данными, хранят их надёжно. Поэтому не исключено, что воришка найдет отсканированные отпечатки в Сети или по дешевке купит в даркнете.

После этого плоскую картинку нужно превратить в трехмерную модель и распечатать на 3D-принтере — и тут есть свои нюансы. Во-первых, в программе, в которой исследователи готовили рисунок к печати, не оказалось возможности задать размер модели. Во-вторых, фотополимер, который использовался в бюджетном 3D-принтере, нужно было после печати прогреть, и габариты образца при этом менялись.

В-третьих, по опыту исследований собственно отпечаток из этого полимера получается слишком жестким, чтобы хотя бы один сканер признал его за настоящий палец. Поэтому исследователи в итоге напечатали не сам слепок, а форму, в которой потом вручную отливали фальшивые отпечатки из более упругого материала.

Третий способ: сфотографировать отпечаток на стекле

Ещё один очевидный вариант — сфотографировать отпечаток на стеклянной поверхности. Именно так поступили взломщики в истории с iPhone 5S — в таком виде отпечаток получить проще всего. После этого картинку придется обработать, чтобы добиться нужного уровня четкости, а дальше, как и в предыдущем случае, все упрется в 3D-печать.

Как отмечают исследователи, эксперименты с 3D-принтером оказались очень долгими и муторными: нужно было откалибровать принтер, наощупь найти подходящий размер формы, а сама печать одной модели (которых им в общей сложности пришлось сделать 50 штук) с нужными настройками занимала час. То есть быстренько слепить фейковый отпечаток пальца для разблокировки украденного смартфона таким способом не получится. Да и метод со снятием отпечатка у спящей жертвы тоже не суперскоростной.

К тому же форма для отлива отпечатков — это ещё полдела. Нужно же и сам фейк изготовить. Тут самым нетривиальным оказался выбор материала, ведь тестировать подделку планировалось на трёх типах сенсоров с разным подходом к считыванию отпечатков. Например, ультразвуковому и оптическому датчикам неважно, проводит палец ток или нет, а емкостному — важно.

Какие устройства удалось взломать

Подделки, полученные тремя описанными выше способами, исследователи примерили к набору мобильных телефонов, планшетов и ноутбуков разных производителей, а также к умному замку и двум защищенным USB-накопителям — Verbatim Fingerprint Secure и Lexar Jumpdrive Fingerprint F35.

Результат оказался довольно грустным: основную массу гаджетов удалось обмануть в 80–90% случаев, а кое-где успех был и вовсе стопроцентный. Слепки, изготовленные при посредничестве 3D-принтера, были чуть менее эффективными, однако в большинстве случаев — именно чуть.

Впрочем, были и исключения. Так, исследователям вообще не удалось взломать смартфон Samsung A70. С другой стороны, это как раз тот гаджет, который и настоящие отпечатки законного владельца распознает очень неохотно.

Также непробиваемыми оказались все устройства с Windows 10, вне зависимости от производителя. Исследователи связывают это удивительное единодушие с тем, что сравнением отпечатков с образцом занимается сама операционная система, так что от конкретного производителя устройства тут мало что зависит.

Наконец, защищенные флешки показали себя действительно защищенными, хотя наши коллеги предупреждают, что при другом уровне подготовки и их с некоторой вероятностью могут взломать.

Среди прочих выводов отмечается, что легче всего было обмануть… ультразвуковые сканеры отпечатков пальцев. Несмотря на свою способность воспринимать трехмерную картинку, они охотно признавали подлинным фейковый отпечаток, любезно прижатый к датчику настоящим пальцем, в том числе в перчатке.

Правда, в итоге как раз эта часть процесса оказалась доступной любому желающему: лучше всего для изготовления фальшивых отпечатков подошел дешевый клей для ткани.

Как отмечают исследователи, безопасность авторизации с помощью отпечатка пальца оставляет желать лучшего, и в какой-то мере ситуация даже ухудшилась по сравнению с прошлыми годами.

Тем не менее, изготовление фейка — довольно затратная процедура, как минимум с точки зрения времени. А значит, простому пользователю опасаться нечего: уличные воришки на коленке фальшивый отпечаток не сделают.

Другое дело, если вами могут интересоваться хорошо финансируемые преступные группировки или спецслужбы. В этом случае лучше всего защищать устройства старым добрым паролем: все-таки его и взломать сложнее, если вы умеете его готовить, и всегда можно сменить, если есть опасение, что он попал в чужие руки.

В свою очередь в научной статье “Ещё раз о биометрической аутентификации” Михаил Левашов, к.ф.-м.н., профессор НИУ ВШЭ, предлагает рассмотреть самые распространённые предрассудки.

Миф № 1. Биометрическая аутентификация как альтернатива другим аутентификационным технологиям.

Никакие биометрические данные не могут быть самостоятельно использованы для аутентификации человека – пользователя информационной системы. Специалисты в области информационной безопасности прекрасно знают основные требования к аутентификационным данным. Это, в частности, приватность аутентификационных данных и их периодическая сменяемость пользователями с периодом от трех месяцев до одной недели. А в некоторых особо критичных случаях смена аутентификационных данных должна происходить каждые 1–2 дня. Такие сроки, например, озвучил представитель руководства одного из ведущих банков страны на первом Международном конгрессе по кибербезопасности.

Поясним сказанное на простом примере. В классической схеме «логин/пароль» логин является идентификатором, который пользователь предъявляет информационной системе. А аутентификационными данными в этой схеме является пароль. Собственно, к нему и применяются указанные выше требования. Как известно, пароли должны быть строго конфиденциальны. Они вводятся и меняются непосредственно самими пользователями. Никаких посредников в этом процессе, будь то администраторы системы либо какие-
то другие специалисты, быть не должно. Вместе с тем практически любые биометрические данные, которые используются или предлагаются к использованию для целей аутентификации, не удовлетворяют этим базовым требованиям: во-первых, они не являются приватными, во-вторых, их практически невозможно сменить. Конечно, польза от биометрических данных в рассматриваемой задаче все-таки есть. Но только в том случае, если они применяются как дополнительный (например, к паролям) параметр аутентификации, подтверждающий личность пользователя, набравшего верный пароль. И не более того.

Миф № 2. Безопасность биометрии при проведении (подтверждении) финансовых транзакций.

Конечно, с помощью отпечатка пальца, цифрового слепка голоса или лица пользователям очень удобно подтверждать платежные транзакции. Это не занимает много времени, не нужно запоминать или где-то искать свои пароли (ПИН-код) или токены. Никто с этим и не спорит, хотя говорить о достаточном уровне безопасности в этом случае не приходится. Сейчас многие крупные ИТ-компании и стартапы буквально соревнуются друг с другом в разработке как самих систем распознавания человека по его биометрическим характеристикам, так и способов их «обмануть». Если раньше это были поддельные отпечатки пальцев, то теперь разработчики демонстрируют прекрасные образцы подделок как голосов медийных личностей, так и видеоконтента с их динамическим поведением в кадре. Недавно в различных медийных средствах, в частности на радио Москва FM, был озвучен сюжет с «беседой» трех персонажей (В. Путина, В. Познера и К. Собчак), смоделированной с помощью голосовых подделок с практически 100%-ной узнаваемостью. Эта композиция была реализована российской компанией VeraVoice. Хорошо известны и зарубежные подобные подделки. Думаю, что никто не удивится, если через полгода/год на 3D-принтерах начнут под заказ печатать маски любых людей, пригодные для успешного прохождения биометрической идентификации.

Заметим, что для существующих программ распознавания образов совсем не обязательно иметь «неотличимые» от подлинников подделки. Специалисты знают, что используемые для определения подлинности клиента элементы искусственного интеллекта (например, нейронные сети) имеют свои особенности, которые приводят к существенным ошибкам – идентифицируют человека даже при значительных отличиях подделки от подлинника. Для обмана преступникам нужно лишь хорошо знать и эффективно использовать особенности конкретной нейронной сети. За счет этого практически любые биометрические данные можно подделать с уровнем качества, достаточным для их использования для аутентификации, затратив на это соответствующие материальные и технические ресурсы. Конечно, при подтверждении единичных транзакций на небольшие суммы будет просто невыгодно изготавливать дорогостоящие подделки. Но единичные мошеннические транзакции на крупные суммы вполне возможны. В некоторых ситуациях вполне реально реализовать схему периодического мошеннического списания и относительно небольших сумм. Такая возможность может появиться, если атакуемый клиент весьма интенсивно использует средство платежа и не проверяет на постоянной основе все свои совершенные транзакции.

Мне могут возразить, что сейчас, например, выпускаются банковские карты со встроенным сканером отпечатка пальца. Подтверждение оплаты осуществляется с помощью имеющегося на чипе карты алгоритма, который проверяет совпадение записанного на чипе отпечатка пальца законного держателя карты с отпечатком плательщика. Такой метод предлагается в качестве альтернативы ПИН-коду или электронной подписи. Но представьте себе, что плательщик – злоумышленник, который на время позаимствовал (украл) карту и заранее подделал отпечаток пальца ее владельца. Тогда он без труда может несанкционированно провести платеж.

Для того, чтобы быть в курсе новостей в сфере науки, подписывайтесь на наш Telegram-канал.