安卓与鸿蒙系统被指高危漏洞：指纹识别可被破解

安卓与鸿蒙系统被指高危漏洞：指纹识别可被破解

近日，腾讯安全玄武实验室和浙江大学的研究人员在和鸿蒙系统中发现了一个高危漏洞。 该漏洞可以绕过手机指纹识别数量限制，允许无限量提交指纹图像，并通过暴力破解和穷举方法破解指纹识别。

根据相关论文信息，研究人员发现了两个零日漏洞——After-Match-Fail (CAMF) 和 Match-After-Lock (MAL)。

使用可抑制攻击板、硬件自动点击器和可选操作板实现自动指纹暴力破解的示例。 图片来源：arXiv(2023)。 DOI：10.48550/arxiv.2305。

锁定后匹配功能中的一个缺陷本应在设备处于锁定模式时禁用身份验证活动，该缺陷已被研究人员破解，并允许他们继续提交无限数量的指纹样本。

对存储在指纹传感器串行外围接口上的生物识别数据的保护不充分，使得攻击者能够窃取指纹图像。 样本也可以轻松地从学术数据集或生物识别数据泄露中获取。

研究人员使用了 10 台设备进行破解测试，其中包括 6 部安卓手机、2 部华为鸿蒙手机、2 款机型。

从测试结果来看，所有设备和一台（华为）设备至少存在一个允许入侵的漏洞。 由于iOS设备（尤其是和iOS）具有更严格的防御机制，这些设备能够抵御暴力攻击。 研究人员指出，该设备容易受到CAMF漏洞的影响，但还没有达到可以成功进入的程度。

值得一提的是，根据实验数据，当用户在一台设备上输入多个指纹时，暴力破解所需的时间会大幅下降，这与多个指纹生成匹配图像的概率较高有关。

因此，除非必要，最好不要在手机上输入多个指纹信息。