Xakep #305. Многошаговые SQL-инъекции
В эти дни в Лейпциге проходит ежегодная хакерская конференция Chaos Communication Congress, где традиционно происходит немало интересного.
Доклад, посвященный обману систем биометрической аутентификации по риску сосудов, на CCC представили ИБ-эксперты Ян Крисслер (Jan Krissler) и Джулиан Альбрехт (Julian Albrecht), также они поделились подробностями своего исследования с журналистами Vice Motherboard.
Современные биометрические системы уже давно не ограничиваются дактилоскопическими сканерами и FaceID. К примеру, более надежным способом считается аутентификация по рисунку сосудов. Как можно понять по названию, в данном случае система сканирует не только опечатки человека, но также форму, размер и общий «рисунок» сосудов под кожей его руки, и сравнивает полученное изображение с имеющимся образцом. В теории, обмануть такую защиту должно быть намного труднее. Но Крисслер и Альбрехт рассказывают, что обойти эту систему оказалось на удивление легко: по сути, понадобился лишь восковой муляж руки и специальное фото.
«Чувствуешь себя не в своей тарелке, когда [работаешь] с процессом, который преподносится как высокозащищенная система безопасности, а ты модифицируешь камеру, берешь пару дешевых материалов и всё ломаешь», — говорит Крисслер.
Специалисты поработали над обычной SLR-камерой и удалили ИК-фильтр. Это позволило им сделать снимки сосудов под кожей. Причем эксперты подчеркивают, что можно сделать фотографии с расстояния 5 метров, и этого будет достаточно. «Можно просто пойти на пресс-конференцию и сделать фото нужных людей там», — пишет Крисслер. Суммарно специалистам потребовалось порядка 2500 фотографий и около месяца работы, чтобы наладить процесс и найти работающий способ обмана системы.
На основе сделанных снимков и полученного «рисунка» сосудов исследователи изготовили простой восковой слепок руки, и его оказалось достаточно. «Когда нам удалось обмануть систему, я был очень удивлен тому, что всё оказалось так просто», — признается Крисслер.
Исследователи уже сообщили о проблеме специалистам Fujitsu и Hitachi, которые разрабатывают такие биометрические решения, однако пока они не получили от компаний никакого ответа.
«Биометрия – это всегда гонка вооружений. Производители улучшают свои системы, потом приходят хакеры и ломают их, а затем все начинается снова», — пишут эксперты.
