Falsificação de impressões digitais – difícil, mas não impossível

Durante anos, a segurança mediante autorização por meio impressões digitais tem sido um tópico de intenso debate. Em 2013, logo após o lançamento do iPhone 5S com o TouchID, os pesquisadores mostraram que a tecnologia era quebrável ao fotografar uma impressão digital em uma superfície de vidro e usá-la para fazer um molde que pudesse enganar o sistema. Mas a tecnologia nunca para e os avanços deram alguma esperança.

No ano passado, por exemplo, os fabricantes começaram a equipar os smartphones com scanners de impressões digitais ultrassônicos ocultos sob a tela, eliminando a necessidade de painéis adicionais e sendo, pelo menos em teoria, mais seguros.

Nossos colegas da Cisco Talos decidiram ver com que facilidade poderiam enganar vários tipos de scanners de impressões digitais em dispositivos atuais ou se a tecnologia é finalmente segura.

Autorização biométrica por impressão digital na teoria

Primeiro, vamos relembrar como os scanners de impressões digitais funcionam. A ideia básica é simples: posicione o dedo em um smartphone ou scanner de laptop ou cadeado inteligente e o sensor extrai uma imagem da sua impressão digital. Cada tipo de scanner reconhece as impressões digitais à sua maneira. A equipe do Cisco Talos focou nos três mais populares:

• Scanners Capacitivos são os mais comuns. Eles criam uma imagem por meio de uma pequena carga elétrica gerada por capacitores em miniatura que podem armazenar eletricidade. Quando o dedo toca no scanner, ele descarrega esses capacitores. Quanto maior o contato (as linhas salientes das impressões digitais), maior a descarga; os espaços entre a pele e o sensor (papilas das impressões digitais) provocam uma descarga menor. O scanner mede essa diferença e determina o padrão.
• Os scanners ópticos basicamente tiram uma foto da impressão digital. O dispositivo ilumina o dedo por meio de um prisma, os cumes e os vales refletem essa luz de maneira diferente e o sensor lê as informações e as converte em uma imagem.
• Os scanners ultrassônicos usam um sinal de ultrassom em vez da luz e registram o eco gerado por cumes e vales (como na reflexão da luz, cumes e vales têm ecos diferentes). Esse tipo de scanner não precisa estar em contato com o dedo, para que possa ser localizado embaixo da tela. Além disso, “ouve” não apenas a parte do dedo próxima à superfície, mas também as bordas mais afastadas do sensor, para que a imagem fique mais próxima da tridimensional, o que ajuda o scanner a detectar falsificações usando cópias planas de impressões.

Depois de obter sua impressão digital, o scanner ou o sistema operacional a compara com o armazenado no dispositivo. Como nenhum método de leitura de impressões digitais existente é perfeito, cada fabricante permite certa margem de erro.

Quanto maior essa margem, mais fácil é falsificar uma impressão digital. Se as configurações forem mais rigorosas e a margem de erro for menor, é mais difícil enganar o scanner, mas é mais provável que o gadget não reconheça o verdadeiro proprietário.

Como os pesquisadores falsificaram as impressões digitais

Para fazer uma cópia física de uma impressão digital, você obviamente precisa adquirir uma original. A equipe de pesquisadores encontrou três maneiras de fazer isso.

Como roubar uma impressão digital. Método 1: Faça um molde

É possível fazer um molde da impressão digital que deseja falsificar quando, digamos, a vítima está inconsciente ou indisposta. Qualquer material macio que endureça é adequado; por exemplo, modelagem em argila.

Um invasor pode usar o molde para fazer uma ponta de dedo falsa. A dificuldade óbvia é que o criminoso precisa que a vítima esteja acessível fisicamente.

Como roubar uma impressão digital. Método 2: se apossar de uma imagem de scanner

Outra maneira é obter uma impressão digital tirada com um scanner. Esse método é tecnicamente mais complicado, mas a boa notícia para os pequenos ladrões é que nem todas as empresas que lidam com dados biométricos os armazenam de maneira confiável. Portanto, não é impossível encontrar impressões digitais escaneadas ou comprá-las a preço de banana na darknet.

Em seguida, a imagem bidimensional deve ser transformada em um modelo 3D e impressa em uma impressora 3D. Primeiro, o programa em que os pesquisadores criaram o desenho não lhes permitiu definir seu tamanho. Segundo, o fotopolímero usado na impressora 3D econômica teve que ser aquecido após a impressão, o que alterou as dimensões do modelo.

Terceiro, quando os pesquisadores finalmente conseguiram criar um modelo adequado, descobriu-se que o polímero utilizado era muito duro e nenhum scanner foi enganado por ele. Como solução alternativa, em vez de um modelo de dedo, os pesquisadores decidiram imprimir um molde, que eles usaram para fazer um dedo protético a partir de um material mais elástico.

Como roubar uma impressão digital. Método 3: Fotografe uma impressão digital em uma superfície de vidro

Outra opção, e a mais simples, é fotografar a impressão digital desejada em uma superfície de vidro. Foi exatamente o que aconteceu no caso do iPhone 5S. A imagem é processada para obter o nível de clareza necessário e, como antes, vai para uma impressora 3D.

Como observaram os pesquisadores, os experimentos com impressão 3D foram longos e entediantes. Eles tiveram que calibrar a impressora e encontrar o molde do tamanho certo por tentativa e erro, e a impressão real de cada modelo (50 no total) com as configurações necessárias levou aproximadamente uma hora. Portanto, fazer uma impressão digital falsa para desbloquear um smartphone roubado não é algo que pode ser feito rapidamente. Tampouco copiar a impressão digital de uma vítima adormecida é um método super-rápido.

Fazer um molde para fabricar a impressão digital é metade da batalha. A escolha do material para o modelo em si se mostrou muito mais difícil, porque a fraude era destinada a testes em três tipos de sensores, cada um com um método diferente de leitura de impressões digitais. Por exemplo, se um material pode conduzir corrente é irrelevante para sensores ultrassônicos e ópticos, mas não para o tipo capacitivo.

Entretanto, como demonstrado, essa parte do processo é acessível a qualquer pessoa: o melhor material para impressões falsas é a cola de tecido barata.

Quais dispositivos foram invadidos com impressões digitais falsas

Os pesquisadores testaram suas falsificações em vários smartphones, tablets e laptops de diferentes fabricantes, bem como em uma trava inteligente e em duas unidades USB protegidas por um sensor de impressão digital: o Verbatim Fingerprint Secure e o Lexar Jumpdrive Fingerprint F35.

Os resultados foram bastante desencorajadores: a maioria dos smartphones e tablets pode ser enganada – 80% a 90% das vezes, em alguns casos, a taxa de sucesso é de 100%. Os moldes impressos em 3D foram os menos eficientes da escala, mas a diferença não era muito grande; todos os três métodos descritos acima realmente funcionando bem.

Houve exceções. Por exemplo, a equipe de pesquisa não conseguiu enganar o smartphone Samsung A70 – embora valha a pena mencionar que o A70 também é o mais provável de não reconhecer seu verdadeiro proprietário.

Os dispositivos que executam o Windows 10 também se mostraram impenetráveis, independentemente do fabricante. Os pesquisadores atribuem essa consistência notável ao fato de o próprio sistema operacional fazer a correspondência das impressões digitais, portanto, não depende muito do fabricante do dispositivo.

Enquanto isso, drives externos protegidos provaram ser dignos desse nome, embora nossos colegas avisem que eles também podem ser suscetíveis a um ataque mais sofisticado.

E por último, mas não menos importante, os mais fáceis de enganar foram os scanners de impressões digitais ultra sônicas. Apesar de sua capacidade de perceber uma imagem 3D, eles leem impressões falsas como genuínas quando um dedo real pressiona a falsificação no sensor.

Proteção de impressão digital para usuários comuns

Segundo os pesquisadores, a segurança mediante autorização por impressões digitais deixa muito a desejar e, em certa medida, a situação piorou em comparação com os anos anteriores.

Dito isto, fazer um dedo falso é um processo bastante caro e necessário investir muito tempo, o que significa que o usuário comum não tem nada a temer. Mas se você estiver na mira de um grupo criminoso ou serviço de inteligência bem financiado, a história é diferente. Nesse caso, é melhor proteger todos os seus dispositivos com uma clássica senha. Afinal, burlar ou descobrir uma senha forte é mais difícil, e você sempre pode alterá-la se suspeitar que possa ter caído em mãos erradas.