1. 首页
  2. 产品研究院

一张纸秒破屏下指纹锁,全面屏手机纷纷中招,产品安全设计须谨慎

屏下指纹解锁安全漏洞不容忽视,产品安全设计须谨慎。

建议各互联网企业针对此漏洞赶紧制定应对方案,金融行业APP、社交行业APP、政务类APP等都须针对安卓全面屏下解锁功能的手机停用指纹授权的功能,如指纹支付指纹登录等应用场景。

10月24日,GeekPwn2018国际安全极客大赛在上海开幕。继前年的鼻尖解锁、去年的照片解锁之后,手机解锁又被破解高手们“盯上”了。这一次,来自腾讯安全玄武实验室的专家使用一张塑料卡片,用比科幻电影还科幻的手法破解了时下最新的指纹解锁方式——屏下指纹解锁。

最新的指纹解锁方式,为何被攻破?

值得注意的是,这是屏下指纹解锁的漏洞首次被公开披露。据了解,指纹解锁有多种原理和路径,比如利用电容、光学、超声波等等。目前,电容解锁仍是主流方式,基于光学原理的屏下指纹解锁手机,才刚刚进入市场。

近年来,全面屏手机越来越受用户欢迎,屏下指纹解锁之所以成为手机厂商的新宠,也是为了向用户提供更大的手机屏幕。传统的电容解锁必须有解锁键,屏下指纹解锁则不需要。用户轻微按压屏幕时,手机的OLED屏像素会发出光线将指纹照亮。不同纹路反射的光线不同,指纹传感器会根据反射光线形成指纹图像,与数据库分析比对后达到指纹解锁的目的。

一张纸秒破屏下指纹锁,全面屏手机纷纷中招,产品安全设计须谨慎
屏下指纹解锁节省了按钮空间,用户按压屏幕即可解锁。(网络图片,图中手机非现场破解手机。)

他对隐私护卫队透露,研究期间的破解成功率非常高。根据目标手机和算法的不同,研究人员可以使用各种工具实现解锁,不一定是今天大赛现场使用的白色卡片。“正常使用手机的情况下,基本上都可以破解。除非是冬天,人的手非常干冷、没有任何汗渍,屏幕上的残迹很少。”

腾讯安全玄武实验室负责人于旸介绍,用户按压屏幕时多少会留下一些手印,也就是指纹残迹,这为破解提供了条件。研究人员通过反射体欺骗的方法,可以让屏下指纹传感器认为手机的主人正在使用指纹验证。因此,该漏洞被实验室命名为“残迹重用漏洞”。

一张纸秒破屏下指纹锁,全面屏手机纷纷中招,产品安全设计须谨慎
“TK 教主”于旸介绍破解原理。

漏洞已被修复,用户无需过分担忧

于旸再三强调,“残迹重用漏洞”几乎在所有的安卓手机上都有出现,并不能归咎于哪一个手机厂商。漏洞的根源在屏下指纹识别技术的设计层面,不同国家和地区、不同厂商开发的屏下指纹芯片和识别算法,都存在同样的问题。

“设计层面的漏洞数量不多,但影响深远。”于旸说,对于新的技术,如果没有在早期发现问题,而是等技术广泛使用后再处理,就要花费极其高昂的代价,甚至无法完善解决。比如玄武实验室2015年发现的BadBarcode漏洞,过去二十年间所有条码阅读器厂商的大部分产品可能都存在该问题,彻底消除影响是不可能的。

好消息是,“残迹重用漏洞”已经被修复。据了解,玄武实验室今年初就开始和国内几家主流手机厂商合作,不仅通过更新算法修复了已上市手机中的漏洞,还将相关解决信息提交给相关芯片厂商,推动了供应链层面的安全修复。于旸对此很自豪,在他看来,残迹重用漏洞”的修复过程,是手机厂商、应用开发商、网络安全研究者多方携手、协作联动的典型案例。

近年来,指纹解锁手机逐渐普及,相关的破解层出不穷,甚至出现了不少十分耸动的消息。于旸告诉隐私护卫队,很多的破解案例启示都是偏向于理论的,需要一定的实验条件,用户大可不必过分担忧。

至于已被修复的“残迹重用漏洞”,他告诉隐私护卫队,如果用户真的非常担心,可以通过一个简单的操作来避免破解风险:解锁后手指在屏幕上顺手一抹,把残留的指纹痕迹弄模糊或擦干净即可。

虽然漏洞已被修复,但只是算法和安全协议上的优化,并未根治,指纹在屏幕上留下的残迹依然还在,所以建议各互联网企业针对此漏洞赶紧制定应对方案,金融行业APP、社交行业APP等都须针对安卓全面屏下解锁功能的手机停用指纹授权的功能,如指纹支付和指纹登录等应用场景。

原创文章,作者:DevilStefan,如若转载,请注明出处:https://www.pmtemple.com/fengsaitao/1547/

发表评论

电子邮件地址不会被公开。 必填项已用*标注

联系我们

185-1614-2515

在线咨询:点击这里给我发消息

邮件:admin@pmtemple.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code