L'identifiant tactile de l'iPhone 5 d'Apple peut être piraté, mais il reste génial

Eh bien, cela n'a pas pris longtemps. L'iPhone 5S d'Apple est sorti la semaine dernière avec un nouveau capteur d'empreinte digitale Touch ID intégré dans le bouton Accueil. Peu de temps après, Nick DePetrillo (@NickDe) a tweeté ce défi: "Je paierai la première personne qui lève avec succès une impression de l'écran de l'iPhone 5s, la reproduit et déverrouille le téléphone en moins de 5 tentatives d'essais pour 100 $." Son site Web istouchidhackedyet.com/ a invité les autres à publier leurs propres offres. Moins d’une semaine plus tard, la récompense collective des dollars, des bitcoins et des boissons alcoolisées a été réclamée.

Et le gagnant est...

Dans un article de blog daté de samedi dernier, le vénérable club allemand Chaos Computer a annoncé que son équipe de piratage biométrique avait réussi à déverrouiller un iPhone 5 en utilisant une fausse empreinte digitale. "Une empreinte digitale de l'utilisateur du téléphone, photographiée sur une surface en verre, était suffisante pour créer un faux doigt capable de déverrouiller un iPhone 5 sécurisé avec Touch ID", a déclaré le poste. "Cela montre - encore une fois - que la biométrie par empreintes digitales est inappropriée en tant que méthode de contrôle d'accès et qu'elle doit être évitée."

DePetrillo a annoncé des critères très spécifiques pour réclamer la prime: "Tout ce que je demande, c'est une vidéo du processus d'impression, de levage, de reproduction et de déverrouillage réussi avec copie reproduite." Alors que la démonstration vidéo de CCC ne correspondait pas exactement à ces conditions, DePetrillo l'a acceptée comme preuve.

Compter le butin

Le gagnant du butin, qui porte le nom de Starbug, prévoit de le donner à une entreprise dérivée de CCC appelée Raumfahrtagentur. J'ai calculé ce que Starbug obtiendrait si chaque participant obtenait le paiement promis. Le montant total en espèces serait de 8 364, 01 dollars, soit 100 euros, et l'équivalent en bitcoins d'un autre montant de 2 779 dollars environ. Parmi les autres offres au hasard figurent sept bouteilles de vin et de spiritueux, une demande de brevet gratuite pour la technique et un «sex book sale».

Une offre de 10 000 dollars est apparue brièvement, mais a été retirée peu de temps avant l’annonce des nouvelles. Une poignée de ceux qui offrent de l’argent ont effectivement mis cet argent de côté. ces montants sont garantis pour être payés. À tout le moins, Starbug recevra 900 dollars et 0, 661 bitcoins. Vous voulez participer à la récompense crowdfunded? Vous pouvez toujours le faire en tweetant votre offre (minimum 50 USD ou 0, 4 bitcoin) à @IsTouchIdHacked.

Confirmé par Lookout

Mark Rogers, chercheur à Lookout Security, basé à San Francisco, a également réussi à pirater Touch ID et a publié tous les détails hier. Malgré le fait qu'il ait réussi à le pirater, Rogers pense toujours que Touch ID est "génial".

Rogers souligne que le piratage Touch ID n’est pas une mince affaire. Il "repose sur une combinaison de compétences, de recherches académiques existantes et de la patience d'un technicien de scène de crime" pour produire une fausse empreinte digitale. Même si vous avez les compétences nécessaires, ce n'est pas une mince affaire. "Il s'agit d'un processus long qui prend plusieurs heures et utilise des équipements d'une valeur de plusieurs milliers de dollars, notamment une caméra haute résolution et une imprimante laser." Sa technique créait l’impression sur un carton recouvert de cuivre, tandis que CCC utilisait un transparent. Pour déverrouiller un téléphone, il devait coller la fausse empreinte digitale à un doigt humide.

Sécurité pratique

Pourquoi Touch ID est-il toujours aussi génial? Rogers souligne qu'actuellement, la moitié des utilisateurs d'iPhone n'utilisent même pas un simple code PIN, car ce n'est pas pratique. Touch ID, en revanche, est la quintessence de la commodité. Vous appuyez déjà sur le bouton principal. l'ajout d'une authentification par empreinte digitale au processus ne nécessite aucune action supplémentaire.

Ce que Rogers aimerait vraiment voir, c'est une authentification à deux facteurs - Touch ID plus un code d'accès, par exemple. Il envisage un système dans lequel, par exemple, vous vous connecteriez à votre banque avec une empreinte digitale, mais saisiriez un code d'authentification pour effectuer une transaction. Je suis d'accord. L'authentification par empreinte digitale est imparfaite, l'authentification par code PIN à quatre chiffres l'est aussi, mais les deux ensemble permettent une meilleure sécurité.

Les premières descriptions de Touch ID donnaient l'impression que la technologie ne fonctionnerait qu'avec un vrai doigt ou un pouce. Le fait qu'une empreinte soulevée puisse tromper cela me fait me demander si nous avons parlé trop tôt quand nous avons dit qu'une coupure de pouce ne fonctionnerait pas. Mais je ne suis pas sûr de vouloir connaître les détails des recherches menées dans cette direction.