24.05.2017, Ср, 12:12, Мск , Текст: Роман Георгиев
Сканер сетчатки глаза, встроенный в смартфон Samsung Galaxy S8, можно обмануть с помощью фотографии, утверждают исследователи из Chaos Computer Club. Хотя сканер и понимает разницу между плоским изображением и объемными объектами, оказалось, что достаточно наклеить на фото контактные линзы, чтобы сбить этот инструмент с толку.
Обман сканера сетчатки
Эксперты Chaos Computer Club продемонстрировали способ обхода одного из ключевых инструментов биометрической авторизации, которыми оснащен новый флагманский смартфон Samsung S8. Сканер сетчатки глаза удалось обмануть с помощью фотографии и контактных линз.
S8 - это уже вторая серия смартфонов Samsung, оснащенная сканером сетчатки. Первой была линейка Galaxy Note 7. Эти устройства производитель был вынужден отозвать из-за многочисленных случаев перегрева и возгорания батарей. Таким образом, S8 стал первым смартфоном, пользователи которого смогли оценить сканер сетчатки, равно как и другие средства биометрической авторизации. В частности, сканер отпечатка пальца и сканер лица.
Как и отпечаток пальца, сетчатка глаза уникальна для каждого человека. Однако способы обманывать сканеры отпечатков пальцев известны давно. Теперь нашелся довольно простой и в чем-то даже элегантный способ обмана еще и сканера сетчатки.
Камера, принтер, клей, контактные линзы
Инженеры Samsung предусмотрели вероятность того, что сканер будут пытаться обмануть с помощью фотографий, поэтому оснастили его детектором глубины. Однако исследователю Chaos Computer Club Яну Крисслеру (Jan Krissler) пришло в голову сымитировать объем с помощью контактных линз, наклеенных на глаза на фото. И этот трюк сработал.
Сканер сетчатки Samsung обманули с помощью фотографии и контактных линз
Таким образом, если у злоумышленника есть физический доступ к смартфону, заблокированному с помощью сканера сетчатки, для разблокирования ему понадобится в меру крупная фотография лица владельца устройства, распечатанная на цветном принтере (причем лучше всего подходят как раз принтеры Samsung), пара контактных линз и клей.
Проблема серьезнее, чем кажется
В то время как такой способ обмана сканера сетчатки выглядит в меру курьезно, продемонстрирован сам факт уязвимости этого инструмента. Между тем, именно сканер сетчатки Samsung планировал использовать как основной способ авторизации в своей собственной системе электронных платежей Samsung Pay. То есть, в случае попадания такого смартфона в руки злоумышленнику, под угрозой будут не только хранящиеся на нем данные, но и финансы его прежнего пользователя.
«По большому счету, сегодня не существует универсальных, неуязвимых способов авторизации, - говорит Дмитрий Гвоздев , генеральный директор компании "Монитор безопасности". - Уязвимые места или способы обхода рано или поздно находятся у всех подобных инструментов, даже у биометрических сканеров, когда-то считавшихся образчиком надежности. Наиболее верным подходом к защите будет использование комбинации из сразу нескольких способов авторизации. Это не всегда удобно для пользователей, но тут остается выбирать, что важнее: удобство или защищенность данных на устройстве».
Оказывается, сканер радужки глаза в смартфоне Samsung Galaxy S8 тоже можно обмануть. А сама процедура обхода системы система биометрической идентификации не требует использования каких-либо дорогостоящих и высокотехнологичных устройств, сообщает Motherboard.
Об этом сообщили участники немецкого сообщества в сфере защиты данных Chaos Computer Club. Они также опубликовали инструкцию по обходу сканера радужки глаза в смартфоне Samsung Galaxy S8.
Как выяснили хакеры, для разблокировки достаточно сделать цифровую фотографию глаза в ночном режиме съемки или отключив на камере инфракрасный фильтр.
После небольшой обработки, которая может включать изменение яркости и контрастности, фотографию глаза нужно распечатать на лазерном принтере (авторы исследования иронично отмечают, что наилучшего результата им удалось добиться при помощи принтеров Samsung).
В последнем этапе хакеры наложили на снимок контактную линзу для имитации настоящего глаза, такое изображение телефон воспринимает как настоящий глаз. После этого система биометрической идентификации по радужной оболочке глаза Samsung Galaxy S8 капитулировала.
Участники Chaos Computer Clubs обращают внимание на то, что таким путем можно получить доступ к платежному сервису Samsung Pay.
«Если вы дорожите данными на смартфоне или хотите использовать его для совершения платежей, то использование традиционного PIN-кода является более надежным подходом, чем биометрическая аутентификация», - отметил представитель ССС Дирк Энглинг (Dirk Engling).
Как говорится на сайте Samsung, сканер радужки глаза - одна из самых безопасных систем биометрической идентификации, поскольку радужку нельзя скопировать так же легко, как и отпечаток пальца. Ранее мы уже , что данную модель телефона удалось разблокировать просто поднеся телефон с фотографией владельца смартфона.
Позднее информацию о продемонстрированном методе обхода сканера радужной оболочки прокомментировали в Samsung:
«Компании известно об этом сообщении. Samsung заверяет пользователей, что технология распознавания радужной оболочки глаза в Galaxy S8 была разработана и внедрена после тщательного тестирования, чтобы обеспечить высокий уровень точности сканирования и предотвратить попытки несанкционированного доступа.
Описываемый в упомянутом материале способ может быть реализован только с использованием сложной техники и совпадении ряда обстоятельств. Нужна фотография сетчатки высокого разрешения, сделанная на ИК-камеру, контактные линзы и сам смартфон. В ходе внутреннего расследования было установлено, что добиться результата при использовании такого метода невероятно сложно.
Тем не менее, даже при наличии потенциальной уязвимости, специалисты компании приложат все усилия, чтобы в кратчайшие сроки обеспечить безопасность конфиденциальных и личных данных пользователей».
Подписывайтесь на Квибл в Viber и Telegram , чтобы быть в курсе самых интересных событий.
В Galaxy S8 и S8+ три биометрических датчика: сканер отпечатков пальцев, сканер радужной оболочки глаз и распознавание лица с помощью фронтальной камеры. Они используются для аутентификации пользователя с разной целью, хотя часть их возможностей дублируется.
Сканер отпечатков пальцев
Дактилоскопический сканер применяется в Galaxy S8 и S8+ для разблокировки экрана (в том числе совместно с вводом пароля), а также для подтверждения личности в приложениях и для подтверждения платежей (в Google Play, Android Pay, Samsung Pay и прочих сервисах).
Ранее Samsung размещала такой сканер спереди, а на новых смартфонах он расположен сзади рядом с камерой. Вероятно, компания Samsung понимает, что это не самое удачное решение, поэтому даже добавила в камеру напоминание о необходимости периодически чистить линзу камеры (которая может заляпаться, когда пользователь пытается нащупать сканер).
Сканер радужной оболочки глаза
Как и отпечатки пальцев, рисунок радужки глаз уникален для каждого человека. Этот сканер заменяет собой дактилоскопию и обладает рядом преимуществ - например, пропадает необходимость прикасаться к устройству (что может оказаться критично, когда руки грязные или сырые). Этот сканер позволяет разблокировать смартфон, верифицировать аккаунт Samsung, а также залогиниваться в приложения и на веб-сайты. У него есть и недостатки - медлительность работы и невысокая точность распознавания пользователя.Фронтальная камера со сканером лица
Сканирование лица - наиболее молодая и перспективная технология. По словам Samsung, она позволяет разблокировать смартфон моментально (за 0,1 с), причём лицо пользователя может находиться на большом расстоянии от фронтальной камеры.
Сейчас сканирование лица используется для разблокировки смартфона и заменяет ввод PIN-кода, пароля, или графического кода. Компания Samsung не до конца уверена в защищённости этой технологии, поэтому её нельзя использовать для подтверждения платежей в Android Pay и Samsung Pay. Обмануть этот сканер с помощью обычной фотографии вряд ли получится, но это не значит, что хакеры не изобретут способы обхода защиты - например, при помощи трёхмерного изображения или маски.
Почему компания Samsung не смогла обойтись одним сканером на все случаи? Вероятно, всё идёт именно к этому. Возможно, в следующих флагманах будет использоваться лишь один из имеющихся сейчас сканеров, но также есть вероятность, что компания совместит несколько технологий, и биометрическая защита будет анализировать сразу несколько параметров, что значительно увеличит её надёжность.
Не так давно был представлен новый флагман Samsung Galaxy Note 7. Одной из его ключевых функций стала возможность разблокировки устройства при помощи сканирования радужки глаза.
Как выглядит общая схема сканирования радужной оболочки глаза
Радужная оболочка наших глаз, как и отпечаток пальца имеет свой неповторимый рисунок. Поэтому это удобное средство аутентификации. Биометрические гражданские паспорта, если вы помните, фиксируют именно эту информацию, потому что в отличие от отпечатка пальцев, радужку глаза подделать пока не представляется возможным. Кроме того со временем она не изменяется.
Однако сканер не просто фотографирует ваш глаз, а потом сверяет с исходником. На практике процедура начинается с направленного инфракрасного луча ближнего спектра. Этот свет для идентификации подходит гораздо лучше, чем дневной, потому что камере легче захватить рисунок радужки, подсвеченный именно ИК-светом. Кроме того, такой сканер может работать в темноте. При этом процедуре идентификации радужной оболочки могут подвергаться даже люди с плохим зрением, так как ИК-луч свободно проходит через прозрачные очки и линзы. После того, как рисунок радужки зафиксирован, алгоритм переводит рисунок радужной оболочки глаза в код, который сравнивается с имеющейся базой.
Захват изображения глаза — полученная картинка — определение радужки и века — выделение этой области — удаление века с картинки — нормализация этой области — транскодирование — сравнение с базой данных
В чём особенность сканера Samsung Galaxy Note 7?
По большей части, сканер нового фаблета от Samsung работает по описанной выше схеме, любопытная деталь заключается в том, что на фронтальной панели Galaxy Note 7 располагается камера, которая занимается исключительно распознаванием радужной оболочки глаза. Почему же фронтальная камера не может выполнять эту задачу? Потому что камера должна быть чувствительна к ИК спектру. В обычных камерах ИК свет фильтруется, так как он портит обычные фотографии. Кроме этого считывающая камера имеет более узкий угол обзора, чтобы видеть глаз пользователя лучше, особенно на расстоянии.
Насколько это безопасно?
Некоторые пользователи выразили озабоченность по поводу того, что такой сканер в Samsung Galaxy Note 7 может быть небезопасен, в частности, не приведёт ли его частое использование к необратимому повреждению глаз. Такие вопросы вполне резонны, ведь для сканирования смартфон отправляет луч света прямо в ваш глаз, и так как этот свет невидим для человека, то зрачок никак не пытается от него защититься, поэтому свет попадает на сетчатку, не встречая никаких преград.
На самом деле мы не можем быть на 100% уверенными, что частое использование сканера радужки глаза Samsung Galaxy Note 7 не будет иметь какого-то влияния на наши глаза. Если сейчас эту статью читает окулист, мы будем рады услышать ваше экспертное мнение в этом вопросе.
Сама компания предупреждает пользователей, что подносить смартфон слишком близко к глазам во время идентификации не нужно, если следовать этому предостережению всё должно быть хорошо. Однако так как считывание радужки не такое частое явление, массового тестирования и результатов, сделанных на основе людей, пока нет. Когда они появятся, может быть уже слишком поздно кого-то предупреждать, а может быть и наоборот — придёт подтверждение, что функция полностью безопасна.
Это тоже самое, что сканер сетчатки?
Если вы запутались — проясню, да сканирование радужки и сетчатки — процессы схожие, но различаются по основному принципу. При сканировании сетчатки, алгоритм считывает не рисунок сетчатки, а изображение глазного дна. Но для бытовых условий гораздо проще пользоваться сканером радужной оболочки, так как для считывания сетчатки устройство нужно подносить вплотную к глазу. В случае со смартфоном это выглядело бы очень глупо.
Зачем это нужно?
В смартфонах уже давно есть считыватели отпечатков пальцев, они быстрые надёжные безопасные и достаточно дешёвые, чтобы быть установленными даже в китайских смартфонах дешевле $200. Зачем тогда нам сканеры радужной оболочки? Главным образом затем, что они в несколько раз более надёжны и безопасны. Главным доводом является то, что отпечатки пальцев мы оставляем почти на каждой поверхности, к которой прикасаемся, а значит копию отпечатка гораздо проще достать. При этом мокрые и грязные пальцы устройству часто тяжело распознать. Получить копию радужной оболочки крайне тяжело, а глаза изнутри никогда не заляпаны грязью, поэтому владельцу воспользоваться аутентификацией в любых условиях гораздо проще. Хотя, в кино уже давно придумали способ, как обойти эту защиту:
Есть ли у технологии будущее?
Я считаю, что сканер Samsung Galaxy Note 7 не сделает его хитом. Да, эта технология работает и ей можно лихо хвастаться друзьям, но для большинства — использование сканера отпечатка пальцев будет достаточно. Однако не исключено, что новинку оценит, в первую очередь, корпоративный сегмент, которому необходимо лучше, чем остальным защищать информацию на своём смартфоне. Для простых обывателей, думается мне, будет слишком лениво подносить смартфон на определённое расстояние, при этом совершая необходимые действия. Но это не говорит о том, что Samsung не разовьёт технологию или о том, что она неожиданно не выстрелит и перекочует даже в iPhone. Шансы у этой серьёзной игрушки есть.
Новинку от компании Samsung. Флагманский смартфон Galaxy S8 вышел и впечатлил многих. За ним пришел не менее впечатляющий Galaxy S8 Plus. Разумеется, Apple ответит на успех Samsung своими новинками, но, пока этого не случилось, мы можем выделить десять функций, которые будут доступны владельцам нового Galaxy, и недоступны владельцам iPhone.
1. Сканер сетчатки глаза
Эта функция позволяет разблокировать смартфон простым взглядом. Грязные и мокрые руки – больше не помеха. Функция дебютировала в Galaxy Note 7, но устройство пришлось отозвать. Распробовать возможности сканера сетчатки смогут именно покупатели Galaxy S8 и Galaxy S8 Plus.
2. Распознавание лиц
В дополнение к сканеру сетчатки и сканеру отпечатков пальцев Samsung добавила функцию распознавания лиц. С ее помощью тоже можно разблокировать смартфон. К сожалению, для этого достаточно иметь фотографию владельца смартфона. Однако, отмечается, что распознавание лиц работает значительно быстрее биометрических сканеров.
3. Большой изогнутый экран
Galaxy S8 оснащен 5,8-дюймовым дисплеем. Galaxy S8 Plus оснастили 6,2-дюймовым дисплеем. Оба дисплея занимают практически всю переднюю панель смартфона и имеют изогнутые края. Ничего подобного в iPhone на данный момент нет.
4. Быстрая зарядка и беспроводная зарядка
Эти две функции уже не удивляют пользователей Galaxy, а вот в смартфонах Apple эти технологии до сих пор не были реализованы.
5. Разъем 3,5 мм
Да, владельцы iPhone 7 и лишены возможности использовать обычные наушники или подключить свой смартфон к стереосистеме с помощью AUX. В новых Galaxy разъем остался на своем месте.
6. Samsung Pay работает с любыми терминалами
Apple Pay – невероятно удобная платежная система, когда терминалы в магазинах оснащены NFC. Samsung Pay работает со старыми и новыми терминалами.
7. Собственная платформа для виртуальной реальности
У компании Samsung есть VR-гарнитура для Galaxy S8, контроллер и собственная платформа для потребления контента, созданная в партнерстве с Oculus.
8. Датчик сердцебиения
Еще в Galaxy S5 рядом со вспышкой появился датчик сердцебиения. Samsung он нравится, и в Galaxy S8 он тоже есть, на том же месте.
9. Galaxy S8 можно превратить в настольный компьютер
С помощью Samsung DeX к Galaxy S8 можно подключить монитор, клавиатуру и мышь. Работать со своими приложениями и данными можно будет при помощи настольного интерфейса с поддержкой окон.
10. Bixby умеет искать информацию по фотографиям
Bixby – это умный ассистент от Samsung. Многое из того, что умеет Bixby, умеет и Siri. Однако, с помощью Bixby можно найти информацию по фотографии. К примеру, можете сфотографировать товар, а вам подскажут, где его можно приобрести.
По материалам Business Insider
