Androids vulneráveis a ataques brute-force de impressões digitais

Investigadores chineses apresentarem um novo tipo de ataque, chamado "BrutePrint" que pode ultrapassar o sistema de verificação de impressões digitais usando brute-force.

Os ataques brute-force consistem, como o próprio nome indica, em usar força bruta para ultrapassar um sistema de segurança. Para algo como um código númerico de quatro dígitos, consistiria em tentar todas as combinações possíveis do 0000 até ao 9999, e o mesmo se pode aplicar a passwords e outros sistemas. Neste caso, nem sequer os sensores de impressões digitais ficam a salvo.

O problema é que a maioria dos dispositivos implementa limites de tentativas na leitura das impressões digitais, mas foi precisamente isso que estes investigadores conseguiram ultrapassar usando duas vulnerabilidades 0-day: a CAMF (Cancel-After-Match-Fail) e a MAL (Match-After-Lock).

O sistema é complexo e necessita de interceptar as comunicações entre o sensor e elemento de segurança do smartphone, mas com isso, consegue manipular o sistema de modo a obter tentativas ilimitadas, gerando impressões digitais falsas que vão sendo ajustados de modo a obter maior grau de aceitação, até que eventualmente consiga ser gerada uma que seja aceite como sendo válida.

Nos dispositivos Android foi possível obter tentativas ilimitadas, fazendo com que seja apenas uma questão de tempo até se conseguir desbloquear um smartphone; nos iPhones o sistema permite passar de 5 tentativas para 15, mas que não são suficientes para possibilitar um ataque brute-force.

Num smartphone com apenas uma impressão digital registada, este tipo de ataque pode demorar entre 3 a 14 horas a desbloqueá-lo. Se tiver registado múltiplas impressões digitais, esse valor reduz-se substancialmente, podendo ir de 30 minutos a 3 horas.


Neste momento não é possível antecipar se será possível evitar este tipo de ataque apenas com uma actualização de firmware, mas tendo em conta que existem centenas de milhões de equipamentos Android que já não recebem actualizações, tornam-se num potencial alvo para este tipo de ataques, fazendo com que a dependência numa impressão digital não seja suficiente para assegurar que um smartphone não possa ser desbloqueado.