NON CI SI PUÒ FIDARE MANCO PIÙ DELLE IMPRONTE DIGITALI - IL GENERALE RAPETTO: È CROLLATO IL MITO DEI DATI BIOMETRICI COME STRUMENTI INVIOLABILI NEI NOSTRI DISPOSITIVI (SMARTPHONE, TABLET, PC): LE IMPRONTE DIGITALI FALSE SONO STATE CAPACI DI BYPASSARE I SENSORI ALMENO UNA VOLTA IN CIRCA L’80% DEI TENTATIVI EFFETTUATI

-

Umberto Rapetto per www.infosec.news

Smettiamola di credere alla inviolabilità dei dispositivi, delle applicazioni critiche e persino delle aree riservate cui si accede come in certi film di 007 e dintorni.

È crollato il mito dell’autenticazione dei soggetti autorizzati a “entrare” in un sistema o in luogo dopo l’avvenuto riconoscimento dell’impronta digitale.

Il nostro polpastrello ha progressivamente preso il posto di password e altri codici alfanumerici magari generati da “chiavette” o “token”, generando una falsa sensazione di sicurezza il cui permanere rischia in prospettiva di avere qualche controindicazione.

La sempre più diffusa disponibilità di piccoli lettori di impronte ha incentivato il ricorso a quella dinamica di validazione dei processi di identificazione.

Se già trent’anni fa mi era capitato di avere un mouse che sul lato sinistro aveva un piccolissimo strumento che verificava sia la corrispondenza del “disegno” del polpastrello del pollice, sia il fatto che la stazione di lavoro fosse effettivamente presidiata (così da spegnere tutto in caso di assenza superiore ad un tempo prestabilito), oggi certe opportunità non sbalordiscono più nessuno.

Dopo aver visto lettori “embedded” (o incorporati) nelle  tastiere di tanti computer portatili, si è potuto riscontrare che la tecnologia touchscreen e certe specifiche “app” hanno semplificato il sistema in argomento. Alla richiesta del dispositivo, del programma, del sito o della specifica funzionalità, basta poggiare il dito sullo schermo e in un battibaleno il gioco è fatto.

Dando per scontato che – a differenza di parole chiave, smart card o altri aggeggi – il dito non viene perso o lasciato in giro dall’utente, molte realtà hanno optato per questa soluzione ma non hanno fatto i conti con la “vivacità” dei più caparbi malintenzionati.

Qualche giorno fa, il gruppo di ricercatori di Talos (che fa capo al colosso americano Cisco) ha spiegato che quel tipo di meccanismo potrebbe rassicurare chi teme i ladruncoli, ma non può non preoccupare chi sa bene cosa sono in grado di fare i pirati informatici assoldati da Nazioni bellicose, dal crimine organizzato o da grandi “corporation” prive di scrupoli.

I super-esperti in questione non si sono basati su semplici modelli teorici, ma hanno preferito spendere qualche migliaio di dollari per eseguire una serie di test sui sistemi di riconoscimento biometrico attraverso l’impronta digitale commercializzati da Apple, Huawei, Microsoft, Samsung e altri importanti produttori.

Il risultato di questa prova empirica non è affatto confortante perché le impronte digitali false sono state capaci di bypassare i sensori almeno una volta in circa l’80% dei tentativi effettuati.

La tecnica sperimentale si è basata sull’esecuzione di 20 tentativi per ciascun dispositivo con la migliore impronta digitale falsa che i ricercatori sono stati in grado di creare. Fatta eccezione per i prodotti Apple (per i quali è stabilito un limite di cinque tentativi prima di richiedere il PIN o la password), i ricercatori hanno reiterato i 20 tentativi e con una media di 17 casi hanno avuto la meglio sul sistema di autenticazione.

Tra i legittimi timori è emersa la circostanza che alcuni dispositivi hanno consentito la ripetizione di un numero illimitato di tentativi, con l’evidente esposizione al rischio di un “crack” da parte di qualche malfattore.

Ma come hanno fatto quelli di Talos a “falsificare” impronte digitali? Il lavoro è stato impegnativo e ha richiesto mesi di sacrifici e sforzi, producendo anche oltre 50 stampi di impronte digitali prima di creare quello in grado di funzionare.

Se il sistema di autenticazione biometrica può risultare efficace per il quisque de populo che smarrisce lo smartphone e il tablet, non è blindatura efficace se a perdere o a farsi sottrarre il dispositivo è personaggio su cui si concentrano interessi magari economici, finanziari, commerciali, industriali o politici e per il quale c’è sicuramente qualcuno pronto ad investire pur di ottenere segreti o altre informazioni preziose.

I ricercatori di Talos hanno agito utilizzando tre tecniche per raccogliere l’impronta digitale della potenziale vittima.

La prima metodologia si è basata sulla raccolta diretta, coinvolgendo l’interessato e costringendolo a premere un dito su un pezzo di argilla o di plastilina, così da ottenere un negativo dell’impronta digitale. La tecnica numero due prevede la circostanza della “vittima” che poggia il polpastrello su un lettore “pubblico” di impronte (come quelli installati negli aeroporti, nelle banche o a determinati posti di frontiera) che acquisisce l’immagine bitmap della porzione epidermica. Il terzo sistema (un classico della cinematografia) consiste nella rilevazione fotografica dell’impronta che le dita lasciano su un bicchiere o su un’altra superficie trasparente.

Una serie di ottimizzazioni e successivi passaggi di elaborazione portano a disporre di una immagine sufficientemente grande per passare alla generazione di una impronta digitale realistica.

Il tema è parecchio tecnico e chi vuole approfondire l’argomento può leggere il report di Talos oppure guardare questo video.

Mi raccomando, però, di non cercare di emulare le gesta di questi qualificatissimi birbaccioni. E’ ormai Pasqua, dobbiamo essere tutti più buoni…