Androidスマホの指紋認証を突破可能にする BrutePrint攻撃への脆弱性を中国の研究チームが報告
今やどの Android スマホにも備わっている指紋認証機能は手軽に利用できる生体認証方式ということで利用者も多くいますが、最近、その安全性に疑問を呈する研究論文がテンセントのセキュリティ研究ラボと浙江大学の共同チームによって発表されました。
中国の研究チームは論文の中で「BrutePrint」と名付けられたスマホの生体認証を突破する攻撃手法とその実験方法を説明しており、それによると、Android スマホへの物理的なアクセスが可能な場合、攻撃者は市場から $15 で調達できるシリアル接続用のプリント基板と指紋画像のデータベースを使用することで、スマホの生体認証が解除されるまで指紋認証を繰り返し実行可能になるそうです。
このプロセスの中では、Android の生体認証システムへのブルートフォース攻撃を可能にする 2 件の脆弱性（Cancel-After-Match-Fail と Match-After-Lock）を悪用しています。
通常、Android のロック画面は認証を一定の回数失敗すると認証にロックがかかり数十秒間再試行できなくなり、さらに失敗を繰り返すと最終的にはファクトリーリセットが発動します。発見されたこれらの脆弱性は、認証が失敗するとその試行自体をキャンセルすることで失敗時のカウンターが加算されないようごまかし、認証が成功するまで繰りし指紋画像を送信し続けます。
研究チームがメーカーや機種の異なる 10 種類の Android スマホで BrutePrint 攻撃を実験したところ、全ての Android および Huawei HarmonyOS を搭載したスマホは攻撃の危険性にさらされていることが判明したとのこと。つまり、多くの Android スマホは潜在的に BrutePrint の攻撃対象に成り得るということです。
ただ、BrutePrint 攻撃による不正アクセスが完了するまでには長時間の試行が必要とされており、スマホに登録された指紋データが 1 つだと 2.9 ~ 13.9 時間かかります。登録数が多ければ時間は短縮します。
研究チームは今回の BrutePrint 攻撃について、既に関係各社へ報告しており、スマホユーザーにはなるべく指紋認証ではなく顔認証やパスワードなどのより安全性の高い認証方法を使用するよう呼びかけています。
今回の論文内容から私たちがすぐに実践可能な対策としては、登録する指紋を必要最小限に減らすこと、スマホを失くした場合に直ちにリモート経由でファクトリーリセットを実行できる環境を整備することをが挙げられます。
Source : Bank Info Security
関連記事
週間ランキング
None Found