Biometryczny czytnik Samsunga Galaxy S5 pokonany, konsekwencje ataku gorsze niż w iPhonie 5S
Gdy Apple wprowadziło do iPhone'a 5S czytnik linii papilarnych,wiele grup hakerskich zaczęło natychmiast szukać metod naefektywne obejście tego mechanizmu uwierzytelnienia – i nie bezsukcesów. Implementacja zabezpieczenia w telefonie z Cupertinookazuje się jednak znacznie bardziej przemyślana, niż to, cozrobił Samsung w swoim telefonie Galaxy S5, którego czytnik liniipapilarnych został z łatwością rozbrojony.Podobnie jak w wypadku ataków wymierzonych w iPhone'a 5S, atakwymierzony we flagowy smartfon Samsunga wiąże się ze zdjęciemodcisku palca z urządzenia. Zrobiona z jego pomocą klejowa replikapowierzchni palca bez problemu pozwala oszukać skaner. Na tym jednaknie koniec. Ben Schlabs z Security Research Labs, który jakopierwszy zademonstrowałatak na Galaxy S5, zauważył, że atak pozwala na znaczniewięcej, niż w wypadku iPhone'a.Wykorzystywany w smartfonie Apple'a system Touch ID zmusza bowiemużytkowników po każdorazowym uruchomieniu urządzenia dojednorazowego podania hasła przed wykorzystaniem odcisku palca jakometody uwierzytelnienia. W smartfonie Samsunga nie ma takiegozabezpieczenia, po restarcie Galaxy S5 możemy się uwierzytelnić zapomocą samego odcisku palca. [yt=http://www.youtube.com/watch?v=sfhLZZWBn5Q]Co gorsze, w ten sam sposób można uwierzytelnić się wniektórych aplikacjach, w tym pozwalających na płatnościelektroniczne. Schlabs zademonstrował, jak fałszywym palcemuzyskuje dostęp do aplikacji PayPala i przelewa za jej pomocąpieniądze. Reakcja operatora systemu płatności była dośćzastanawiająca – z jednej strony rzecznik PayPala przyznał, żeto poważne odkrycie, z drugiej jednak stwierdził, żeuwierzytelnienie odciskiem palca na urządzeniach mobilnych jestbezpieczniejsze i wygodniejsze niż hasła czy numery kartkredytowych. Podkreślił zarazem, że stosowane narzędziazapobiegania oszustwom mogą ochronić ofiary kradzieży telefonu, ajeśli by im się to nie udało, to operator pokryje straty.Odkrycia tego typu nie oznaczają oczywiście, że biometrycznezabezpieczenia w ogóle są bez sensu. Muszą one jednak byćrozpatrywane jako element szerszej strategii bezpieczeństwa,powiązany z innymi mechanizmami. Sama bowiem ewolucja i ulepszeniaskanerów postępuje jedynie w takim tempie, w jakim rozwijają sięnarzędzia do ich oszukiwania. Nadmierna czułość, wrażliwość na zakłócenia tych mechanizmów nie jest bowiem pożądana –muszą one przecież działać z realnym, niekoniecznie czystymipalcami użytkowników, w warunkach zwykle odbiegających odlaboratoryjnych.