Site icon Panda Security Mediacenter

Bruteprint: scoperto come hackerare i lettori di impronte digitali degli smartphone

Con meno di 15 dollari si può acquistare un’apparecchiatura che bombarda di tentativi di accesso il telefono e lo sblocca in poche ore, ma non funziona su iPhone e Pixel.

C’erano una volta gli attacchi brute force, ovvero di forza bruta, con cui gli hacker cercavano di entrare in un account o un dispositivo provando milioni di combinazioni di nomi utente e password. Oggi, questi attacchi possono essere replicati con i lettori di impronte digitali degli smartphone e per farlo bastano pochi componenti elettronici reperibili online per meno di 15 dollari.

A scoprirlo sono stati due ricercatori di cybersecurity cinesi, Yu Chen dell’azienda Tencent e Yiling He della Zhejiang University, che hanno battezzato questo metodo Bruteprint, dalla fusione delle parole brute e fingerprint, ovvero bruta e impronta (digitale).

In questo post vediamo cos’è un attacco Bruteprint, quali sono i telefoni meno protetti, quanto sono sicure le impronte digitali e come fare per proteggere al meglio il proprio smartphone. Continua a leggere!

In un massimo di 14 ore è possibile forzare il lettore di impronte digitali di quasi tutti gli smartphone Android.

Come funziona Bruteprint

L’attacco richiede quanto segue:

L’hacker collega la memoria al database al telefono, il chip con il circuito automatizzato al lettore e lo accende. Questa semplice apparecchiatura che costa meno di 15 dollari comincia a inviare letture di impronte digitali al sensore del telefono, finché questo non ne approva una.

Questa è la spiegazione semplificata, ma il processo è un po’ più complesso. Il concetto importante è che questo sistema funziona per 2 motivi:

  1. I lettori di impronte digitali non richiedono una lettura che corrisponda al 100% a quella memorizzata, ma chi ci si avvicini con un certo margine di errore considerato accettabile.
  2. Il metodo sfrutta due vulnerabilità 0 day (cioè appena scoperte) dei sistemi di sicurezza dei lettori di impronte. Normalmente, il lettore blocca il telefono dopo X tentativi (5 su iPhone), ma grazie a questi bug di sicurezza il metodo Bruteprint è in grado di aumentare quasi all’infinito i tentativi su Android e fino a 15 su iPhone.

 

LEGGI ANCHE: : Gli iPhone possono prendere virus?

Risultati e considerazioni su Bruteprint

La prima cosa da notare è che i lettori di impronte digitali non sono così sicuri come pensavamo. Questa non è la prima notizia in questo senso, ma è certamente uno degli episodi più interessanti.

Tuttavia, bastano alcune accortezze per rendere anche questo metodo di autenticazione più efficace, ovvero la crittografia dei dati biometrici, che ci porta alla seconda conclusione importante: iPhone e Pixel sono più sicuri da questo punto di vista perché impediscono al dispositivo di Bruteprint di hackerare il database di impronte digitali memorizzate tramite un algoritmo di crittografia, ovvero i dati delle impronte sono illeggibili.

Infine, dobbiamo precisare che questo attacco richiede un po’ di tempo, a meno che il proprietario del telefono non abbia memorizzato più di un’impronta (ad esempio quelle di entrambi i pollici o pollice e indice). In ogni caso, a meno che l’utente non lasci il telefono incustodito, lo scenario più plausibile in cui può essere usato un attacco Bruteprint è quello del furto dello smartphone.

Per questo motivo, per mitigare questa tecnica di attacco e i potenziali danni, in caso di furto o smarrimento del telefono conviene bloccare la SIM e formattare il telefono a distanza.

 

iPhone e Google Pixel sono immuni agli attacchi Bruteprint perché hanno la crittografia dei dati biometrici.

 

Consigli di sicurezza per lo smartphone

Premesso che Bruteprint è una tattica che non funziona su iPhone e Pixel, chiunque abbia uno smartphone Android dovrebbe seguire alcune norme per rendere più sicuro il telefono:

 

Abbiamo visto che con pochi dollari di hardware e le competenze di un tecnico informatico (quindi anche di un hacker) è possibile hackerare il lettore di impronte digitali di quasi tutti i telefoni Android che non dispongono della crittografia dei dati biometrici.

Abbiamo anche visto che le impronte digitali da sole non bastano per rendere un telefono davvero sicuro, ma servono altre pratiche di sicurezza importanti. Oltre a quanto detto, concludiamo ricordando che l’arma più potente contro tutti i tipi di attacchi è la prudenza. Se conosci le vulnerabilità e fai attenzione a come ti muovi online, il tuo smartphone sarà molto più sicuro.

CONTINUA A LEGGERE: Come impedire il tracciamento del telefono, 10 strategie per la privacy

Buona navigazione e buona protezione dagli attacchi Bruteprint!

Exit mobile version