Fotografie, čočka, papír. Jen to stačilo na prolomení čtečky oční duhovky u Galaxy S8 [aktualizováno]

Nedávno představený Samsung Galaxy S8 je jeden z prvních smartphonů vybavený čtečkou oční duhovky, jakožto prostředkem pro autentizaci uživatele. Po boku funkce rozpoznání obličeje a snímače otisků prstů se mělo jednat o vůbec nejbezpečnější autentizační metodu v telefonu. Experti z CCC (Chaos Computer Club) ale nyní dokázali, že na bezpečnosti skeneru budou muset inženýři v Samsungu ještě zapracovat, protože se jim ho podařilo prolomit.

Hackerům přitom stačilo poměrně obyčejné vybavení: fotografie majitele telefonu, počítač, tiskárna, papír a kontaktní čočka. Fotografie byla pořízena s aktivovaným infračerveným filtrem a samozřejmě bylo potřeba, aby na ní měla osoba otevřené oči (nebo minimálně jedno). Následně už jen stačilo vytisknout fotografii oka na laserové tiskárně, přiložit na fotografii v místě duhovky kontaktní čočku a bylo hotovo. Čtečka ani nijak dlouho neváhala a během vteřiny odemkla telefon.

Opět se tak potvrzuje, že tím nejbezpečnějším je stále staré dobré heslo, které vám z hlavy nemůže nikdo ukrást, tedy pokud nepočítáme sociální inženýrství, a hlavně může být kdykoli obměněno, což se o částech těla sloužících k biometrické autentizaci říct nedá. Snímač otisků prstů je možné ošálit už řadu let a ihned po premiéře Galaxy S8 jsme se přesvědčili, že stačí obyčejná fotografie, aby se nám někdo dostal do telefonu skrze funkci rozpoznání obličeje.

Aktualizováno o vyjádření Samsung Electronics Czech and Slovak:

„O nahlášeném případu víme, rádi bychom však zákazníky ujistili, že technologie skenování oční duhovky, použitá v telefonech Galaxy S8, procházela při svém vývoji důkladným testováním, abychom dosáhli vysoké přesnosti rozpoznávání a zamezili tak pokusům o průlom zabezpečení, např. pomocí přeneseného obrazu duhovky.

To, co ohlašovatel tvrdí, by bylo možné pouze za velmi vzácného souběhu několika okolností. Vyžadovalo by to velmi nepravděpodobnou situaci, kdy by se v nepovolaných rukách ocitl obraz duhovky vlastníka smartphonu, pořízený infračervenou kamerou a ve vysokém rozlišení, dále jeho kontaktní čočka a rovněž samotný smartphone – to všechno ve stejný okamžik. Provedli jsme interní pokus o rekonstrukci takové situace za takových okolností a replikovat výsledek popsaný v ohlášení se ukázalo být velice těžké.

Pokud však existuje hypotetická možnost průlomu zabezpečení nebo je na obzoru nový způsob, který by mohl ohrozit naše snahy o nepřetržité přísné zabezpečení, budeme případ neprodleně řešit.“