Con meno di 15 dollari si può acquistare un’apparecchiatura che bombarda di tentativi di accesso il telefono e lo sblocca in poche ore, ma non funziona su iPhone e Pixel.
C’erano una volta gli attacchi brute force, ovvero di forza bruta, con cui gli hacker cercavano di entrare in un account o un dispositivo provando milioni di combinazioni di nomi utente e password. Oggi, questi attacchi possono essere replicati con i lettori di impronte digitali degli smartphone e per farlo bastano pochi componenti elettronici reperibili online per meno di 15 dollari.
A scoprirlo sono stati due ricercatori di cybersecurity cinesi, Yu Chen dell’azienda Tencent e Yiling He della Zhejiang University, che hanno battezzato questo metodo Bruteprint, dalla fusione delle parole brute e fingerprint, ovvero bruta e impronta (digitale).
In questo post vediamo cos’è un attacco Bruteprint, quali sono i telefoni meno protetti, quanto sono sicure le impronte digitali e come fare per proteggere al meglio il proprio smartphone. Continua a leggere!
In un massimo di 14 ore è possibile forzare il lettore di impronte digitali di quasi tutti gli smartphone Android.
Come funziona Bruteprint
L’attacco richiede quanto segue:
- Accesso fisico al telefono
- Un chip e una scheda elettronica da collegare al lettore di impronte digitali
- Una scheda di memoria con un database di impronte digitali, che si può trovare nel dark web o estrarre da ricerche e altre fonti online
- Un tempo variabile da 3 a 14 ore
L’hacker collega la memoria al database al telefono, il chip con il circuito automatizzato al lettore e lo accende. Questa semplice apparecchiatura che costa meno di 15 dollari comincia a inviare letture di impronte digitali al sensore del telefono, finché questo non ne approva una.
Questa è la spiegazione semplificata, ma il processo è un po’ più complesso. Il concetto importante è che questo sistema funziona per 2 motivi:
- I lettori di impronte digitali non richiedono una lettura che corrisponda al 100% a quella memorizzata, ma chi ci si avvicini con un certo margine di errore considerato accettabile.
- Il metodo sfrutta due vulnerabilità 0 day (cioè appena scoperte) dei sistemi di sicurezza dei lettori di impronte. Normalmente, il lettore blocca il telefono dopo X tentativi (5 su iPhone), ma grazie a questi bug di sicurezza il metodo Bruteprint è in grado di aumentare quasi all’infinito i tentativi su Android e fino a 15 su iPhone.
LEGGI ANCHE: : Gli iPhone possono prendere virus?
Risultati e considerazioni su Bruteprint
La prima cosa da notare è che i lettori di impronte digitali non sono così sicuri come pensavamo. Questa non è la prima notizia in questo senso, ma è certamente uno degli episodi più interessanti.
Tuttavia, bastano alcune accortezze per rendere anche questo metodo di autenticazione più efficace, ovvero la crittografia dei dati biometrici, che ci porta alla seconda conclusione importante: iPhone e Pixel sono più sicuri da questo punto di vista perché impediscono al dispositivo di Bruteprint di hackerare il database di impronte digitali memorizzate tramite un algoritmo di crittografia, ovvero i dati delle impronte sono illeggibili.
Infine, dobbiamo precisare che questo attacco richiede un po’ di tempo, a meno che il proprietario del telefono non abbia memorizzato più di un’impronta (ad esempio quelle di entrambi i pollici o pollice e indice). In ogni caso, a meno che l’utente non lasci il telefono incustodito, lo scenario più plausibile in cui può essere usato un attacco Bruteprint è quello del furto dello smartphone.
Per questo motivo, per mitigare questa tecnica di attacco e i potenziali danni, in caso di furto o smarrimento del telefono conviene bloccare la SIM e formattare il telefono a distanza.
iPhone e Google Pixel sono immuni agli attacchi Bruteprint perché hanno la crittografia dei dati biometrici.
Consigli di sicurezza per lo smartphone
Premesso che Bruteprint è una tattica che non funziona su iPhone e Pixel, chiunque abbia uno smartphone Android dovrebbe seguire alcune norme per rendere più sicuro il telefono:
- Memorizzare una sola impronta digitale.
- Non lasciare il telefono incustodito o senza PIN.
- Impostare la funzionalità di formattazione a distanza da usare in caso di furto o smarrimento.
- Aggiornare regolarmente il sistema operativo per approfittare delle patch di sicurezza, che correggono le vulnerabilità 0 day non appena vengono scoperte (come nel caso di Bruteprint).
- Non utilizzare l’accesso biometrico in luoghi pubblici o con sistemi poco affidabili per ridurre il rischio di compromissione dei dati.
- Non salvare le impronte di altre persone sul telefono.
- Non utilizzare app di terze parti per il riconoscimento biometrico tramite impronte o scansione del volto.
- Proteggere lo smartphone da malware e app dannose con un buon antivirus, che impedisce a siti infetti e spyware di spiare i tuoi dati biometrici e i codici di accesso.
Abbiamo visto che con pochi dollari di hardware e le competenze di un tecnico informatico (quindi anche di un hacker) è possibile hackerare il lettore di impronte digitali di quasi tutti i telefoni Android che non dispongono della crittografia dei dati biometrici.
Abbiamo anche visto che le impronte digitali da sole non bastano per rendere un telefono davvero sicuro, ma servono altre pratiche di sicurezza importanti. Oltre a quanto detto, concludiamo ricordando che l’arma più potente contro tutti i tipi di attacchi è la prudenza. Se conosci le vulnerabilità e fai attenzione a come ti muovi online, il tuo smartphone sarà molto più sicuro.
CONTINUA A LEGGERE: Come impedire il tracciamento del telefono, 10 strategie per la privacy
Buona navigazione e buona protezione dagli attacchi Bruteprint!