腾讯和浙江大学发现安卓和鸿蒙的指纹识别比iPhone更容易被破解！

腾讯和浙江大学发现安卓和鸿蒙的指纹识别比iPhone更容易被破解！

近日，腾讯安全玄武实验室和浙江大学的研究人员发现了一种名为“”的攻击，可以使智能手机容易受到指纹暴力破解攻击。 指纹识别技术是现代智能手机中广泛应用的生物识别技术。 它可用于解锁设备、付款和授权。 它因其便利性和安全性而广受欢迎。

但该攻击利用了“-After-Match-Fail”（CAMF）和“Match-After-Lock”（MAL）两个零日漏洞，有效绕过了尝试次数限制、活体检测等现有防护措施。 CAMF漏洞允许攻击者无限次尝试指纹解锁，而不会触发设备上的尝试限制，这意味着攻击者可以通过暴力攻击获得对设备的访问权限。 MAL 漏洞允许攻击者在设备锁定时继续尝试解锁指纹，从而成功绕过设备的尝试限制。

此外，研究人员发现指纹传感器串行外设接口（SPI）上的生物识别数据没有得到充分保护，使得中间人（MITM）攻击有可能劫持指纹图像。 这意味着攻击者可以在指纹传感器和设备处理器之间插入设备来拦截和修改指纹图像以获得访问权限。

该攻击利用了指纹传感器中的漏洞，允许攻击者绕过现有的保护措施，例如尝试限制和活体检测，从而使智能手机容易受到指纹暴力攻击。 攻击者只需物理访问目标设备、指纹数据库以及大约 15 美元的设备即可提交无限数量的指纹图像，直到找到与用户定义的指纹相匹配的指纹图像。

研究人员在十款流行智能手机上测试了 SPI MITM 攻击，并成功在所有 和华为手机上实现了无限次数的指纹解锁尝试。 此外，他们还可以在 iOS 设备上进行 10 次额外尝试，总共 15 次尝试。

该攻击的原理是，存储在指纹传感器串行外围接口（SPI）上的生物识别数据缺乏足够的保护，使得攻击者可以通过中间人攻击（MITM）来拦截指纹图像。 攻击者可以收集指纹数据库，从学术数据集或生物识别数据泄露中获取数据，并将其转换为攻击可以使用的格式。 攻击者还需要使用设备来模拟指纹传感器，然后将其连接到目标设备，以便将攻击者的图像发送到目标设备。 攻击者只需提交无限数量的指纹图像，直到找到与用户定义的指纹匹配的图像。

这种攻击对使用指纹识别技术的设备来说是一个严重的安全威胁，因为它允许攻击者访问该设备。 厂商需要及时修复漏洞，加强指纹数据的保护。 同时，用户还应注意设备的安全设置，避免使用来源不明的应用程序和不安全的网络连接，以降低遭受攻击的风险。

在研究人员的实验中，虽然SE和7也受到了攻击的影响，但由于iOS系统对SPI上的指纹数据进行了加密，攻击者截获的数据基本没有意义，所以这种攻击并不适合用于严重的攻击。对 iOS 设备的威胁。 同时SE和7还可以将指纹尝试次数增加到15次，这意味着攻击者无法暴力破解指纹识别系统。

然而，对于其他使用指纹识别技术的设备来说，该攻击仍然是一个严重的安全威胁。 这种攻击方法可以让攻击者获得对设备的访问权限，从而导致财务损失和身份盗用等后果。 因此，研究人员建议手机制造商和操作系统开发商加强对指纹传感器数据的加密和验证，以防止类似的攻击。 同时，用户还应注意设备的安全设置和使用习惯，避免受到指纹识别技术的攻击。

加密生物识别数据是 iOS 设备最重要的安全功能之一。 iOS系统对SPI上的指纹数据进行加密，这意味着即使攻击者截获了指纹数据，也无法轻易解密并利用。 这种对生物特征数据进行加密的机制可以保证指纹识别系统的安全，避免攻击和其他类似的攻击方式，从而保护用户的隐私和安全。

此外，对于敏感数据，iOS设备还可以使用硬件加密将数据存储在设备上，并确保只有设备的所有者才能访问这些数据。 这些安全功能可以使 iOS 设备成为目前市场上最安全的智能手机之一。

总体而言，这种攻击对使用指纹识别技术的设备来说是一个严重的安全威胁。 为了保护设备和用户的安全，厂商需要及时修复漏洞，加强指纹数据的保护。 同时，用户还应注意设备的安全设置，避免使用来源不明的应用程序和不安全的网络连接，以降低被攻击的风险。

看到这个消息你有何感想？

您会选择购买另一台 设备吗？