Любой механизм защиты можно взломать. Биометрический сканер — не исключение. Исследователи в области кибербезопасности указывали на уязвимости биометрии, обманывая сканеры с помощью копии или цифрового сканирования отпечатков пальцев.
Недавно учёные из Политехнического института Нью-Йоркского университета нашли еще одно дыру в биометрической защите. Исследователи научились порождать поддельные отпечатки пальцев с помощью технологии машинного обучения DeepMasterPrints. Эта технология может не только обманывать сенсоры смартфонов, но и маскироваться под отпечатки сразу нескольких людей одновременно. DeepMasterPrints работает как универсальный ключ для любых устройств, защищённых сканером отпечатка пальца.
Исследование основывается на понятии «универсального отпечатка», состоящего из множества распространенных черт отпечатков пальцев. Сначала команда разработчиков вручную подбирала детали, которые вместе могут работать как отпечаток сразу нескольких людей. Позже исследователи применили машинное обучение и начали штамповать универсальные отпечатки сотнями.
«Даже системам защиты, отлично справляющимся с фильтрацией настоящих отпечатков, теперь придётся учитывать искусственно сгенерированные. Большинство подобных систем не подготовлены к атаке специально созданными отпечатками. Разработчикам ПО необходимо обратить внимание на проблему и доработать алгоритмы защиты,»
Филипп Бонтрагер, Нью-Йоркский университет
Техника взлома использует особенности работы биометрических сканеров. Их сенсоры маленькие, поэтому устройство может «увидеть» только часть пальца пользователя. Сканер ограничивается небольшим набором признаков, которые оказалось несложно воспроизвести.
Исследователи тренировали нейронную сеть на изображениях настоящих отпечатков, поэтому она смогла выдать множество реалистичных фрагментов изображений. Затем команда разработчиков использовала метод «эволюционной оптимизации», чтобы оценить, какой набор данных больше подойдёт под универсальный отпечаток.
Разработку испытали на распространенных системах идентификации цифрового отпечатка — например, VeriFinger, которую используют во многих потребительских и правительственных системах безопасности по всему миру.
«Большинство систем [биометрической защиты] не подготовлены к атаке специально созданными отпечатками»,
Филипп Бонтрагер, Нью-Йоркский университет
Системы распознавания отпечатков имеют разные уровни защиты. Засекреченный военный объект требует максимальной степени безопасности, но для обычного смартфона приоритетнее скорость разблокировки. Поэтому смартфон пресекает только очевидные попытки взлома. На настройках средней строгости, универсальный отпечаток достиг совпадения с 20% баз данных коммерческих платформ.
Даже на самом высоком уровне безопасности универсальный отпечаток получил в 30 раз больше совпадений, чем обычный человеческий палец. Кибератака универсальными отпечатками похожа на действия хакеров, у которых есть каталог паролей. Доступ добывается последовательным перебором — но в случае с универсальным отпечатком система может сдаться очень быстро.
Исследователи из Нью-Йорка не делали ёмкостных распечаток и других реплик универсальных отпечатков. Это значит, что ученые не пробовали разблокировать настоящие смартфоны. Анил Джаин, исследователь в области биометрии из Мичиганского университета, считает это серьезным недостатком. Сложно сделать окончательные выводы об исследовании, не испытав его вне лаборатории. Тем не менее, по словам Джаина, предложенные его коллегами из Нью-Йорка методы работают гораздо лучше предыдущих попыток.
Команда исследователей планирует продолжить работу и донести информацию о важности защиты от искусственно созданных отпечатков до крупных игроков индустрии биометрической защиты. Учёные предлагают тестировать потребительские устройства на синтетических отпечатках наряду с настоящими, чтобы убедиться в надежности защиты. Необходимо разобраться, каким образом универсальные отпечатки обманывают современные сканеры. Возможно, для защиты от взлома будет достаточно отрегулировать строгость работы датчиков.
Не важно, насколько точно машина имитирует отпечаток. Если проявить достаточно внимания и понимать ситуацию, можно спроектировать высококачественные защитные механизмы, устойчивые к подобным атакам. Однако это повлияет на цену и устройство сканеров.
Источник: Lily Hay Newman, MACHINE LEARNING CAN CREATE FAKE ‘MASTER KEY’ FINGERPRINTS
