L'ID touch di iPhone 5s di Apple potrebbe essere compromesso, ma è comunque fantastico

Bene, non ci è voluto molto. L'iPhone 5S di Apple è uscito la scorsa settimana, con un nuovo sensore di impronte digitali Touch ID integrato nel pulsante Home. Poco dopo, Nick DePetrillo (@NickDe) ha twittato questa sfida: "Pagherò la prima persona che solleva con successo una stampa dallo schermo dell'iPhone 5s, la riproduce e sblocca il telefono in <5 tentativi di $ 100". Il suo sito web istouchidhackedyet.com/ ha invitato altri a pubblicare le proprie offerte. Ora, meno di una settimana dopo, è stata rivendicata la ricompensa collettiva di dollari, bitcoin e alcol.

E il vincitore è...

In un post sul blog datato sabato scorso, il venerabile Chaos Computer Club tedesco ha annunciato che il suo team di hacking biometrico aveva sbloccato con successo un iPhone 5s usando un'impronta digitale falsa. "Un'impronta digitale dell'utente del telefono, fotografata da una superficie di vetro, è stata sufficiente per creare un dito falso in grado di sbloccare un iPhone 5s protetto con Touch ID", ha detto il post. "Ciò dimostra - ancora una volta - che la biometria delle impronte digitali non è adatta come metodo di controllo degli accessi e dovrebbe essere evitata."

DePetrillo ha annunciato criteri molto specifici per rivendicare la generosità: "Tutto ciò che chiedo è un video del processo da stampa, sollevamento, riproduzione e sblocco riuscito con stampa riprodotta". Mentre la dimostrazione video CCC non corrispondeva esattamente a tali condizioni, DePetrillo l'ha accettata come prova.

Tallying the Booty

Il vincitore del bottino, che si chiama Starbug, ha in programma di consegnarlo a uno spinoff del CCC chiamato Raumfahrtagentur. Ho calcolato esattamente cosa Starbug otterrebbe se ogni partecipante avesse effettivamente ricevuto il pagamento promesso. Il totale in contanti sarebbe di $ 8.364, 01, 100 euro e l'equivalente in bitcoin di altri $ 2, 779 o giù di lì. Altre offerte casuali includono sette bottiglie di vino e liquori, una domanda di brevetto gratuita per la tecnica e un "libro del sesso sporco".

Un'offerta di $ 10.000 è apparsa brevemente, ma è stata ritirata poco prima della notizia dell'hacking. Una manciata di coloro che offrono denaro in realtà ha messo i soldi in garanzia; tali importi sono garantiti per essere pagati. Per lo meno, Starbug otterrà $ 900 e 0, 661 bitcoin. Vuoi partecipare al premio in crowdfunding? Puoi ancora farlo twittando la tua offerta (minimo $ 50 o 0, 4 bitcoin) su @IsTouchIdHacked.

Confermato da Lookout

Mark Rogers, un ricercatore della Lookout Security di San Francisco, è riuscito anche a hackerare Touch ID e ha pubblicato tutti i dettagli ieri. Nonostante sia riuscito a hackerarlo, Rogers pensa ancora che Touch ID sia "fantastico".

Rogers sottolinea che l'hacking del Touch ID non è facile. "Si basa su una combinazione di abilità, ricerca accademica esistente e la pazienza di un tecnico della scena del crimine" per produrre un'impronta digitale falsa. Anche se hai le competenze necessarie, non è semplice. "È un lungo processo che richiede diverse ore e utilizza attrezzature per un valore di oltre mille dollari tra cui una fotocamera ad alta risoluzione e una stampante laser." La sua tecnica ha creato la stampa su una tavola rivestita di rame, mentre CCC ha usato una trasparenza. Per sbloccare effettivamente un telefono, ha dovuto applicare l'impronta digitale finta a un dito umido.

Sicurezza conveniente

Perché Touch ID è ancora fantastico? Rogers sottolinea che attualmente la metà di tutti gli utenti di iPhone non usa nemmeno un semplice PIN, perché non è conveniente. Touch ID, d'altra parte, è l'epitome della convenienza. Premere il pulsante Home è qualcosa che già fai; l'aggiunta dell'autenticazione tramite impronta digitale al processo non richiede ulteriori azioni.

Ciò che Rogers vorrebbe davvero vedere è l'autenticazione a due fattori: Touch ID più un passcode, ad esempio. Immagina un sistema in cui, diciamo, accedi alla tua banca con un'impronta digitale, ma inserisci un passcode per effettuare effettivamente una transazione. Devo essere d'accordo L'autenticazione tramite impronta digitale è difettosa, l'autenticazione con PIN a quattro cifre è difettosa, ma i due insieme garantiscono una migliore sicurezza.

Le prime descrizioni di Touch ID facevano sembrare che la tecnologia avrebbe funzionato solo con un dito o un pollice reali. Il fatto che una stampa rialzata possa ingannare mi fa pensare se abbiamo parlato troppo presto quando dicevamo che un pollice tagliato non avrebbe funzionato. Ma non sono sicuro di voler sentire alcun dettaglio sulla ricerca orientata in quella direzione.