Estás escuchando
En vivo
por Redacción RPP
·Investigadores chinos desarrollaron un ataque de fuerza bruta que puede vulnerar el sensor de huellas dactilares en teléfonos Android.
La autenticación por huella dactilar es una función de seguridad popular en smartphones y otros dispositivos. Es conveniente y fácil de usar, y puede ser más segura que las contraseñas. Sin embargo, un nuevo ataque llamado BrutePrint podría eludir la autenticación por huella dactilar en dispositivos Android, y sus propios creadores en Tencent Labs y la Universidad de Zhejiang en China han sido capaces de vulnerar esta instancia de seguridad.
De acuerdo con los desarrolladores de esta herramienta, BrutePrint funciona explotando una vulnerabilidad en la forma en que los dispositivos Android manejan las imágenes de las huellas dactilares.
Cuando se escanea la huella dactilar de un usuario, la imagen se almacena en el dispositivo. BrutePrint puede capturar las señales SPI (interfaz periférica en serie) que se utilizan para comunicarse entre el sensor de huellas dactilares y el procesador del dispositivo.
Estas señales contienen datos que se pueden utilizar para reconstruir la imagen de la huella dactilar. Una vez que se ha reconstruido la imagen, se puede utilizar para crear una huella dactilar falsa que desbloquee el dispositivo.
Cómo funciona BrutePrint
En un ataque de fuerza bruta exitoso, BrutePrint logra su objetivo al proporcionar una imagen aproximada que se considera aceptable en la base de datos de huellas dactilares. Este ataque manipula la tasa de aceptación de falsos positivos (FAR) aumentando el umbral para que se acepten menos imágenes aproximadas.
El equipo de desarrolladores identificó que BrutePrint actúa como un intermediario entre el sensor de huellas dactilares y el entorno de ejecución confiable, aprovechando vulnerabilidades que permiten realizar intentos de adivinación ilimitados. El atacante retira la cubierta posterior del dispositivo y conecta una placa de circuito económica que contiene la base de datos de huellas dactilares almacenada en el almacenamiento flash. El precio de esa pieza es de 15 dólares.
Luego, el atacante debe convertir esta base de datos en un diccionario de huellas dactilares adaptado al sensor específico utilizado por el teléfono objetivo. Este proceso incluye la utilización de una técnica de transferencia de estilo neuronal, lo que aumenta las posibilidades de obtener una coincidencia.
El equipo de trabajo logró desbloquear todos los dispositivos con éxito, incluidos algunos que habían sido actualizados con los últimos parches de seguridad. También descubrieron que el ataque se podía llevar a cabo en cuestión de minutos, sobre todo en aquellos equipos con un sensor de huellas de baja calidad.
El proceso de autenticación por huella dactilar difiere del uso de contraseñas, ya que no requiere una coincidencia directa entre lo ingresado y lo almacenado en una base de datos, sino que utiliza un umbral de referencia para determinar si la huella es aceptable.
Esta vulnerabilidad ha sido notificada a Google, aunque no se sabe cuándo se lanzará una solución. Mientras tanto, los usuarios pueden protegerse de BrutePrint desactivando la autenticación por huella dactilar en sus dispositivos. También sugieren que los usuarios sean conscientes de los riesgos de usar la autenticación por huella dactilar y tomen medidas para proteger sus dispositivos, como usar contraseñas fuertes y habilitar la autenticación de dos factores.
Es importante tener en cuenta que BrutePrint no es el único tipo de ataque que puede burlar la autenticación por huella dactilar. Existen otros métodos que también pueden superar esta medida de seguridad, y constantemente se están desarrollando nuevos ataques. Por esta razón, es fundamental emplear una variedad de medidas de seguridad para proteger tus dispositivos, como utilizar contraseñas sólidas y habilitar la autenticación de dos factores.
Te recomendamos
Comparte esta noticia
![¡En plena audiencia! Acusado atacó a jueza que le negó la libertad condicional [VIDEO]](https://e.rpp-noticias.io/small/2024/01/04/mmd-vd-20240104-clj-usa-justiciacriminalidad-349g2vy-es-1520871mp4_1520872.webp)
