Ce gadget à 15 dollars est capable de berner le lecteur d'empreinte de nombreux mobiles Android

Par Nathan Le Gohlisse, Spécialiste Hardware.

Publié le 29 mai 2023 à 15h00

Des chercheurs en sécurité ont démontré que l'utilisation mal intentionnée d'un petit gadget à bas prix peut suffire à compromettre un lecteur d'empreinte digitale sur à peu près n'importe quel smartphone Android.

15 dollars et un lecteur d'empreinte digitale qui n'est plus sécurisé du tout. Pour faire court, c'est ce que mettent en évidence les conclusions d'une étude menée par des chercheurs en sécurité dont le travail a été épluché par le site spécialisé ArsTechnica.

Les smartphones Android affligés…

Pour cette étude, les chercheurs ont utilisé un petit circuit imprimé qui vaut 15 dollars. Surnommé « BrutePrint », il ne lui faut parfois pas plus de 40 minutes pour lire et copier les empreintes digitales stockées sur un smartphone Android grâce à une vulnérabilité découverte sur le système d'exploitation de Google. Cette dernière permet de deviner un nombre illimité d'empreintes digitales dès que la correspondance la plus proche est trouvée dans une base de données d'empreintes préalablement chargée sur le dispositif, et ce, lorsque le smartphone est verrouillé.

Ce dispositif low cost est pourtant basique. Il s'appuie sur un microcontrôleur STM32F412 de STMicroelectronics, un commutateur analogique bidirectionnel à deux canaux « RS2117 » et un connecteur reliant la carte mère du smartphone au circuit imprimé d'un capteur d'empreinte digitale. BrutePrint est également équipé d'une carte SD 8 Go.

Pour leur démonstration, les chercheurs ont utilisé 10 smartphones différents, dont deux iPhone : l'iPhone SE et l'iPhone 7 (tous deux équipés de Touch ID). À noter toutefois que les mobiles Android testés ont tous été lancés il y a quelques années déjà, il y a trois ou quatre ans pour la plupart.

… mais les iPhone épargnés

Comme le souligne Wccftech, l'efficacité de BrutePrint est variable d'un modèle à l'autre, mais ce petit gadget est parvenu à trouver et à reproduire l'empreinte digitale permettant le déverrouillage de chacun des smartphones Android testés… avec un délai de recherche plus ou moins long toutefois, puisque l'opération nécessite entre 40 minutes et 14 heures.

Le modèle le plus vite vaincu est quoi qu'il en soit le Galaxy S10 Plus, avec 0,73 à 2,9 heures de temps de déverrouillage. Le Xiaomi Mi 11 Ultra s'avère le plus coriace, avec un temps de déverrouillage compris entre 2,79 et 13,89 heures, selon les mesures rapportées par ArsTechnica.

Les deux iPhone testés sont en revanche restés inviolés, leur dispositif de sécurité n'ayant tout simplement pas pu être contourné, lit-on. La raison soulignée par Wccftech est assez évidente : iOS chiffre systématiquement ses données de sécurité, ce qui n'est pas le cas d'Android.

Les chercheurs responsables de l'étude sont toutefois loin d'être pessimistes dans leurs conclusions, indiquant que la faille exploitée pour l'expérience pourrait être comblée, au moins en partie, à l'avenir. En travaillant ensemble, les fabricants de smartphones et de capteurs d'empreinte digitale pourraient facilement venir à bout de telles méthodes de contournement.

Sources : ArsTechnica, Wccftech

Par Nathan Le Gohlisse

Spécialiste Hardware

Piratage / Cybercriminalité

Actualités High-Tech

Vous êtes un utilisateur de Google Actualités ou de WhatsApp ?
Suivez-nous pour ne rien rater de l'actu tech !

Commentaires (0)

Rejoignez la communauté Clubic

Rejoignez la communauté des passionnés de nouvelles technologies. Venez partager votre passion et débattre de l’actualité avec nos membres qui s’entraident et partagent leur expertise quotidiennement.

Commentaires (10)

Bidouille

Merci de faire de la pub pour ce truc au cas où les truands ne l’auraient pas encore vu.

nicgrover

Merci pour le plans et indications, je m’attèle à la construction dès maintenant

Elinyhs

Ça sert majoritairement à fournir une raison supplémentaire aux utilisateurs de ne pas laisser traîner leur smartphone ou encore mieux de ne pas utiliser ses données biométriques pour s’identifier.

tfpsly

Précision importante : il faut démonter l’écran, débrancher le capteur d’empreinte, puis brancher le gadget entre ce lecteur et la mobo du téléphone. Bref, avoir le tél démonté jusque plus d’une demi-journée. Pas très discret donc.

BrutePrint comprises of an STM32F412 microcontroller from STMicroelectronics, a bidirectional, dual-channel analog switch called RS2117, an SD card with 8GB of internal memory, and a connector that connects the smartphone’s motherboard to the circuit board of a fingerprint sensor. BrutePrint exploits a vulnerability in Android smartphones that allows for unlimited fingerprint guesses, with the device getting unlocked as soon as the closest match is found in the database.
[…]
Fortunately, those researchers believe that this security exploit can be mitigated in the operating system, as the individuals hope that its latest findings will encourage people to take careful measures to encrypt fingerprint data. Furthermore, these researchers state that such a security threat can be addressed if smartphone and fingerprint sensor manufacturers work together in a collective effort. Now all that remains is future Android

EDIT - dans les commentaires de l’article source, certaines se demandent si seulement Android 11 et plus anciens seraient touchés. Les téléphones testés avec succès seraient sous A8 à 11 (page 9 du pdf des chercheurs).

En fait les téls craqués ont un Android d’avant ou jusque septembre 2020. Les deux seuls iPhones testés ont un iOs de janvier 2021.

EDIT2 - j’ai enfin trouvé pourquoi il y avait des lignes continues et pointillées dans le graph de temps de crackage : ligne continue = le tél n’a qu’une emprunte enregistrée; ligne pointillée = le tél a toutes les empruntes possibles enregistrées (4 ou 5 selon le modèle) :

KlingonBrain

Merci de faire de la pub pour ce truc au cas où les truands ne l’auraient pas encore vu.

Ne vous faites pas d’illusion, quand une info de ce genre arrive au niveau de Clubic, les hackers sont certainement au courant depuis belle lurette.

Gloumouf

Ca peut être utile dans le cadre d’une enquete policière par exemple.

jeroboam64

Je n’y crois pas trop à leur boitié à 15 € qui déverrouille les mobiles alors que dans certaines enquêtes policières ils mettent des semaines voire des mois à déverrouiller un smartphone:thinking:

Korgen

Pas besoin non plus d’en rajouter une couche et donner des idées à d’autres.

jvachez

Comment font-ils pour essayer pendant 40 minutes ? Moi j’ai le problème inverse, si mon doigt n’est pas reconnu Android me force un autre mode de déverouillage.

KlingonBrain

Pas besoin non plus d’en rajouter une couche et donner des idées à d’autres.

Ca se discute, car le danger de diffuser cette info dans le grand public est faible : son exploitation n’est pas à la portée de tous en plus d’être difficile à mettre en oeuvre pour des raisons simples d’accès à l’appareil.

Et celui qui a les compétences qu’il faut pour les exploiter, c’est qu’il suit déjà des sources d’information spécialisées sur la sécurité. Il n’aura pas besoin de clubic pour trouver ce genre d’idée.

Pour finir, il faut réaliser qu’il y a un grand bénéfice aussi à informer les victimes potentielles. De cette façon, elle comprennent qu’il ne faut pas accorder une confiance absolue aux sécurités.