Слышу, как ты пальцем водишь: новый способ украсть ваши биометрические данные

Группа американских и китайских ученых разработала методику PrintListener, которая представляет собой новый способ восстановления уникального рисунка папиллярных линий отпечатков пальцев. В основе метода лежит анализ звуковых характеристик, возникающих при скользящем движении пальца по сенсорному экрану.

Технологии защиты с использованием отпечатков пальцев сегодня чрезвычайно распространены и пользуются высоким доверием. Ожидается, что к 2032 году объем рынка решений для аутентификации по отпечаткам достигнет почти 100 млрд долларов. Вместе с тем растет осознание того, что злоумышленники могут предпринимать попытки похитить чужие отпечатки.

По результатам тестирования, исследователи утверждают, что могут успешно атаковать «до 27,9% частичных и 9,3% полных отпечатков в рамках пяти попыток при максимальных настройках безопасности FAR (коэффициент ложного срабатывания, False Acceptance Rate) 0,01%». Это, по их словам, первая работа, использующая звуки скольжения для получения информации об отпечатках пальцев.

Согласно исследованию, «звуки трения пальцев могут быть перехвачены злоумышленниками онлайн с высокой вероятностью». Для этого гипотетическому злоумышленнику достаточно получить доступ к микрофону мобильного устройства жертвы во время использования ею популярных приложений, таких как Discord, Skype, WeChat, FaceTime и другие, где применяются свайпы.

Однако разработчики PrintListener столкнулись с рядом трудностей, которые им пришлось преодолеть. В частности, проблему слабого звука трения пальца об экран удалось решить с помощью методов спектрального анализа. Также был проведен статистический анализ и разработан эвристический алгоритм, позволяющий отфильтровать физиологические особенности конкретного пользователя.

При помощи технологии звукового анализа PrintListener учёные восстановили синтетические отпечатки PatternMasterPrint, и «в реалистичных сценариях» эта методика помогла успешно восстановить частичные отпечатки пальцев более чем в одном из четырёх случаев, а полные — почти в одном из десяти. Результаты оказались выше, чем атака MasterPrint, предлагающая случайный перебор «универсальных» отпечатков.