BrutePrint: Akıllı telefonlardaki parmak izi korumasını aşmak

Parmak izi tanıma yönteminin oldukça güvenli bir kimlik doğrulama yöntemi olduğuna inanılıyor. Zaman zaman, parmak izi sensörünü yanıltma konusunda farklı yöntemlere dair gönderiler paylaşılır. Bu yöntemlerde, silikon ped veya iletken mürekkep çıktısı gibi materyaller kullanılsa da önerilen tüm yöntemler, aslında telefon sahibinin parmağının fiziksel bir kopyasını oluşturma temeline dayanır. Bu yöntem, parmak izinin yüksek kaliteli bir görüntüsünü kullanmayı gerektirir ancak buradaki parmak, rastgele bir parmak olamaz. Sistemde kayıtlı olan parmağın kopyası olması gerekir.

Özetle, tüm bu yöntemler gerçek dünyanın zorluklarını beraberinde getirir. Bir yandan dijital dünyanın avantajlarından faydalanmaya devam ederken, diğer yandan bu işlemi daha zarif bir şekilde gerçekleştirmek mümkün müdür? Yu Chen ve Yiling He adlı iki Çinli araştırmacı, parmak izi korumalı hemen hemen tüm Android akıllı telefonlara nasıl deneme yanılma saldırısı uygulanabileceği hakkında bir araştırma yayınlandı. Saldırıyı BrutePrint olarak adlandırdılar.

Parmak izleri ne kadar benzersizdir?

Çinli yoldaşlarımızın çalışmasını özetlemeden önce biraz arka plan teorisi sunalım. Parmak izleri gerçekten benzersizdir ve yaşla değişmez. Bu bilgiyi zaten biliyor olabilirsiniz ancak tekrar hatırlatmakta fayda var.

İngiliz bilim adamı Sir Francis Galton, 1892 yılında kısa ve net bir şekilde Finger Prints adını verdiği çalışmayı yayınladı. Sir Francis Galton bu eserinde, o dönemde parmak izleriyle ilgili mevcut olan bilimsel verileri bir araya getirdi. Galton’un çalışması, parmak izlerinin adli tıpta pratik kullanımı için teorik temellerin atılmasına katkı sağladı.

Sir Francis Galton, parmak izi eşleşme olasılığının “2³⁶’dan az veya 64 milyarda bir” olduğunu hesapladı. Günümüzde bile adli tıp uzmanları bu değere bağlı kalmaya devam etmektedir.

Bu arada, ileri seviye anatomi veya parmak izlerinin benzersizliğinin ardındaki biyolojik faktörlerle ilgileniyorsanız işte size konuyla ilgili yeni bir araştırma makalesi.

Parmak izi sensörleri ne kadar güvenilir?

Sir Francis Galton’un çalışması ve onunla ilişkili konular genellikle (sıcak) analog dünya ile ilgilidir. Parmak izlerinin alınması, suç mahallinde bulunan izlerin eşleştirilmesi gibi durumları kapsar ve bir bakıma Bob amca gibi kişilerle ilgilidir. Ancak dijital (soğuk) gerçeklikte işler biraz farklıdır. Dijital parmak izi temsilinin kalitesi; sensörün türü, boyutu ve çözünürlüğü gibi birden fazla faktöre bağlıdır. Ayrıca, “görüntü” son işleme ve eşleştirme algoritmaları da büyük bir öneme sahiptir.

150 yıl önce Sir Francis Galton’ın gördüğü parmak izleri (solda) ve günümüzdeki son teknoloji akıllı telefonların optik sensörleri tarafından görüntülenen parmak izleri (sağda). Kaynak ve Kaynak.

Ve tabii ki geliştiricinin cihazı çok uygun fiyatlı yapması gerekiyor (aksi takdirde kimse satın almaz), anında kimlik doğrulamasını sağlaması gerekiyor (yavaş hızla ilgili şikayetlerle karşılaşmamak için) ve her ne pahasına olursa olsun yanlış negatifleri en aza indirmesi gerekiyor (aksi takdirde kullanıcılar tamamen vazgeçebilir). Bu nedenlerden dolayı, kimlik doğrulama sistemlerinin tamamen doğru olmadığı söylenebilir.

Bu nedenle, akıllı telefonlarda kullanılan sensörlerden bahsederken, parmak izi eşleşme olasılığı için bilinen 64 milyarda bir sayısından çok daha az iyimser rakamlardan bahsediliyor. Örneğin Apple, Touch ID benzerlik olasılığının 1 ile 50.000 arasında olduğunu tahmin ediyor. Dolayısıyla, bütçe dostu sensör modelleri için olasılığın bir veya iki kat daha az olacağını tahmin etmek zor olmaz.

Milyarlardan binlere düşmüş olduk. Yani deneme yanılma saldırısı için uygun bir ortam oluştu. Bunları göz önünde bulundurursak potansiyel bir bilgisayar korsanının karşısında sadece bir engel kalıyor: Parmak izi tanıma girişimlerinin sayısını sınırlamak. Normalde sadece beş girişime izin verilir ve ardından uzun bir parmak izi kimlik doğrulama kilitleme süresi devreye girer.

Bu engel aşılabilir mi? Yu Chen ve Yiling He, yayınlanan çalışmada bu soruya olumlu bir cevap verdi.

BrutePrint: Parmak izi korumalı Android akıllı telefonlara deneme yanılma saldırısına hazırlanma

Araştırmacıların yöntemi, Android akıllı telefonların genel parmak izi sensörü uygulamasındaki bir kusura kusuru kullanıyor: Test edilen modellerin hiçbiri sensör ile sistem arasındaki iletişim kanalını şifrelememiş. Bu durum, kimlik doğrulama sistemine ortadaki adam saldırısı yapma (MITM) fırsatı sunuyor: Cihaz aracılığıyla akıllı telefona bağlanan ve anakartın SPI bağlantı noktasını kullanan bir kişi, parmak izi sensöründen gelen mesajları yakalayabilir ve hatta parmak izi sensörünü taklit ederek kendi mesajlarını gönderebilir.

Araştırmacılar böyle bir sahte sensör oluşturdular ve akıllı telefonun sensör ekranına otomatik dokunma cihazı eklediler. Böylece donanım bileşeni kısmı, birden fazla parmak izi görüntüsünü akıllı telefonlara otomatik olarak besleyecek şekilde ayarlandı.

Parmak izi kimlik doğrulama sistemini deneme yanılma saldırısı ile zorlamak için kullanılan cihaz. Kaynak

Ardından, deneme yanılma saldırısı için parmak izi örnekleri hazırlamaya başladılar. Araştırmacılar, genellikle parmak izi veri tabanlarının kaynaklarını açıklamazlar ve kendilerini saldırganların bunu nasıl elde edebileceklerine ilişkin genel spekülasyonlarla (araştırma koleksiyonları, sızan veriler, kendi veritabanları gibi) sınırlandırırlar.

Sonraki adımda, parmak izi veri tabanı, deneme yanılma saldırısının performansını en üst düzeye çıkarmak amacıyla bir yapay zekaya gönderilir, parmak izi sözlüğü gibi bir yapı oluşturulması için kullanılır. Parmak izi görüntüleri, yapay zeka tarafından, çalışmaya katılan akıllı telefonlara takılan sensörlerden gelen verilerle eşleşecek şekilde bağdaştırılır.

Farklı parmak izi sensörlerinin ürettiği görüntüler birbirinden oldukça farklıdır. Kaynak.

BrutePrint’i ortaya çıkaran iki güvenlik açığı: Eşleşme Başarısız Olduktan Sonra İptal Et ve Kilitlendikten Sonra Eşleş

BrutePrint saldırısı, iki güvenlik açığından yararlanır. Araştırmacılar, görünüşe göre istisnasız tüm Android akıllı telefonlarda bulunan parmak izi kimlik doğrulama çerçevesinin temel mantığında meydana gelen bu güvenlik açıklarını keşfettiler. Güvenlik açıkları, Eşleşme Başarısız Olduktan Sonra İptal Et ve Kilitlendikten Sonra Eşleş olarak adlandırıldı.

Eşleşme Başarısız Olduktan Sonra İptal Et güvenlik açığı

Eşleşme Başarısız Olduktan Sonra İptal Et (CAMF) güvenlik açığı, parmak izi kimlik doğrulama mekanizmasının iki önemli özelliğinden yararlanır. Bu güvenlik açığının ortaya çıkmasının birinci nedeni, çoklu örneklemeye dayanmasıdır. Yani, her kimlik doğrulama denemesinde yalnızca bir değil, iki ila dört parmak izi görüntüsü kullanılır (akıllı telefon modeline bağlı olarak). Bu güvenlik açığının ortaya çıkmasının ikinci nedeni, kimlik doğrulama girişiminin başarısızlığa ek olarak hata ile de sonuçlanabilmesidir. Bu durumda da başlangıç noktasına geri dönme imkanı bulunur.

Bu durum, hatayı tetiklemek için önceden düzenlenmiş çerçevelerle biten bir dizi görüntünün gönderilmesine olanak sağlar. Böylece gönderilen görüntülerden biri eşleşmeyi tetiklerse kimlik doğrulaması başarılı olur. Eşleşme tetiklenmezse döngü hata vererek sona erer ve ardından girişim hakkı harcanmadan görüntü gönderme işlemi devam eder.

Eşleşme Başarısız Olduktan Sonra İptal Et nasıl çalışır: Hata sayesinde girişim hakkı harcanmadan başlangıç noktasına geri dönülür. Kaynak.

Kilitlendikten Sonra Eşleş güvenlik açığı

İkinci güvenlik açığı: Kilitlendikten Sonra Eşleş (MAL) Parmak izi kimlik doğrulama, başarısız bir girişimin ardından telefonu bir süreliğine kilitler ancak birçok akıllı telefon satıcısı bu Android özelliğini doğru bir şekilde uygulayamamaktadır. Bu nedenle, telefon kilitlendikten sonra başarılı bir parmak izi kimlik doğrulaması yapmak mümkün olmasa da sistem hala dürüst bir “doğru” veya “yanlış” cevabı vereceği için daha fazla yeni görüntü gönderilebilir. Yani, doğru görüntüyü tespit ettiğinizde sistem kilit durumundan çıkar çıkmaz bu görüntüyü kullanabilir ve böylece kimlik doğrulama işlemini başarıyla tamamlayabilirsiniz.

Eşleşme Başarısız Olduktan Sonra İptal Et ve Kilitlendikten Sonra Eşleş açığından yararlanan saldırılar

İlk güvenlik açığından yararlanan saldırı, orijinal olarak Android üzerinde test edilen tüm akıllı telefonlarda başarılı oldu ancak ilginç bir şekilde HarmonyOS işletim sisteminde çalışmadı. Kilitlendikten Sonra Eşleş yöntemi, vivo ve Xiaomi akıllı telefonlarının yanı sıra HarmonyOS çalıştıran Huawei telefonlarında da kullanıldı.

Test edilen tüm akıllı telefonların en az bir saldırıya karşı savunmasız olduğu ortaya çıktı. Kaynak.

Araştırmaya katılan tüm Android ve HarmonyOS akıllı telefonların, saldırılardan en az birine karşı savunmasız olduğu tespit edildi. Bu, tüm telefonlara belirsiz sayıda kötü amaçlı parmak izi kimlik doğrulama girişiminde bulunulduğu anlamına gelir.

Araştırmaya göre, tek parmak izi kaydına sahip olan bir Android akıllı telefonun kimlik doğrulama sistemini ele geçirmek 2,9 ila 13,9 saat aldı. Ancak belirli bir modele ait olan ve mümkün olan maksimum sayıda kayıtlı parmak izine sahip akıllı telefonlarda (Samsung için dört, diğerleri için beş), bu süre önemli ölçüde azalarak 0,66 saatten 2,78 saate kadar indi.

Harcanan süreye göre BrutePrint saldırısının başarılı olma olasılığı: Tek parmak izi kaydı için düz çizgi ve maksimum sayıda parmak izi kaydı için kesikli çizgi kullanılmıştır. Kaynak.

Peki ya iPhone’lar?

iPhone’larda kullanılan Touch ID sisteminin BrutePrint’e karşı daha dirençli olduğu ortaya çıktı. Araştırmaya göre, parmak izi sensörü ile sistemin geri kalanı arasındaki iletişimin şifreli olması iPhone telefonlara avantaj sağlıyor. Bu nedenle, Touch ID ile donatılmış bir cihazda kaydedilmiş parmak izini yakalamak veya sisteme geri göndermek mümkün değildir.

Çalışma, parmak izi tanıma girişimlerinin sayısını en üst düzeye çıkarmak için kullanılan bazı manipülasyonlara karşı iPhone’ların kısmen savunmasız olabileceğine işaret ediyor. Ancak durum göründüğü kadar kötü değil. Android akıllı telefonlarda sürekli deneme yapma imkanı sunarken, iPhone’larda deneme sayısı sadece 5’ten 15’e kadar artırılabilir.

Yani iOS kullanıcıları, rahat bir şekilde uyuyabilirler. Touch ID, hem Android hem de HarmonyOS sisteminde kullanılan parmak izi kimlik doğrulamasına göre daha güvenilirdir. Zaten günümüzde çoğu iPhone modeli Face ID kullanıyor.

Endişelenecek kadar büyük bir tehlike var mı?

Android akıllı telefon sahipleri de BrutePrint konusunda çok fazla endişelenmemeli. Bu saldırı pratikte büyük bir tehdit oluşturmuyor. Bunun birkaç nedeni var:

• BrutePrint saldırısını yapabilmek için cihaza fiziksel olarak erişmek gerekiyor. Sadece bu faktör bile saldırının başınıza gelme olasılığını büyük bir oranda azaltıyor.
• Ayrıca, saldırıyı gerçekleştirmek için cihazın açılması ve anakart üzerindeki belirli bir konektörün kullanılması gerekiyor. Bunu cihaz sahibinin bilgisi olmadan yapmak pek kolay değildir.
• En iyi senaryoda bile, saldırıyı gerçekleştirmek için saatlerce uğraşılması gerekir.
• Ve tabii ki, BrutePrint kullanabilmek için özel ekipman, parmak izi veri tabanı ve eğitimli yapay zeka gibi hem donanım hem de yazılım açısından özel bir kurulum

Tüm bu faktörler bir araya geldiğinde, bazı girişimci zihniyete sahip kişiler tarafından kullanılması kolay bir ticari ürün halinde getirilmediği sürece böyle bir saldırının gerçek hayatta kullanılması pek olası değildir.

Android akıllı telefonları parmak izi deneme yanılma saldırılarına karşı koruma

Yukarıda bahsedilenlere rağmen böyle bir saldırıya maruz kalma endişesi taşıyorsanız kendinizi korumak için aşağıdaki ipuçlarını dikkate alabilirsiniz:

• Mümkün olduğu kadar az parmak izi kaydedin (ideal olarak sadece bir tane). Kimlik doğrulama için kullandığınız parmak izi sayısını artırırsanız sisteminiz bahsettiğimiz saldırılara ve diğer saldırılara karşı daha savunmasız hale gelebilir.
• Telefonunuzda ekstra PIN veya şifre koruması özelliği varsa kullanmayı unutmayın.
• Bu arada, Kaspersky for Android uygulamasının ücretli sürümünde bulunan Uygulama Kilidi işlevi, uygulamalarınızın her biri için ayrı şifre kullanmanıza olanak tanır.