BrutePrint: Android-смартфоны уязвимы к брутфорсу отпечатка пальца

BrutePrint: Android-смартфоны уязвимы к брутфорсу отпечатка пальца

BrutePrint: Android-смартфоны уязвимы к брутфорсу отпечатка пальца

Специалисты Чжэцзянского университета и Tencent Labs рассказали о новом векторе атаки, который получил имя BrutePrint. Его суть заключается в бесконечном количестве попыток аутентификации по отпечатку пальца для получения контроля над мобильным устройством на Android.

Как известно, брутфорс-атаки подразумевают множество попыток входа с помощью пароля или другого кода, которые в процессе не раз заканчиваются ошибкой. Задача атакующих — получить несанкционированный доступ к аккаунтам, системам или сетям.

Китайским исследователям удалось обойти защитный механизм, блокирующий количество неудачных попыток входа с помощью отпечатка пальца на современных Android-смартфонах. В этом им помогла связка из двух уязвимостей: Cancel-After-Match-Fail (CAMF) и Match-After-Lock (MAL).

Технические подробности BrutePrint авторы опубликовали на ресурсе Arxiv.org. Согласно отчёту, им удалось выявить недостаточную защищённость биометрических данных в последовательном периферийном интерфейсе (Serial Peripheral Interface, SPI) датчиков отпечатков.

Эта брешь позволяет провести атаку вида «человек посередине» и получить доступ к образам отпечатков. Исследователи протестировали свой вектор на десяти популярных моделях смартфонов и смогли добиться неограниченного числа попыток аутентификации в ОС Android и HarmonyOS (Huawei).

В случае iOS эксперты смогли выбить себе десять дополнительных попыток входа.

 

Стоит отметить, что для осуществления BrutePrint злоумышленнику необходим физический доступ к целевому устройству. Потребуется также доступ к базе данных отпечатков пальцев и оборудование, которое можно приобрести за 15 долларов (1198 рублей).

 

Интересный результаты тестов: все подопытные смартфоны уязвимы как минимум к одному из описанных багов. Android-девайсы допускают бесконечное число попыток подбора отпечатка, у «яблочных» устройств всё несколько надёжнее.

Мошенники начали продавать россиянам космос — от билетов до лунного грунта

В преддверии Дня космонавтики резко активизировались мошенники, предлагающие билеты на экскурсии по объектам, связанным с освоением космоса, — например, на космодромы или в Центр управления полётами. Кроме того, они активно продают якобы метеориты, детали космических кораблей и онлайн-курсы по подготовке космонавтов и астронавтов.

О схемах, которые эксплуатируют повышенный интерес к космической теме перед 12 апреля, рассказал РИА Новости член Союза юристов-блогеров на базе МГЮА имени Кутафина при Ассоциации юристов России Иван Курбаков.

Как отметил юрист, для продажи экскурсий на различные объекты — например, космодромы или в Центр управления полётами — злоумышленники используют фальшивые сайты. Через них они предлагают билеты на несуществующие или недоступные мероприятия.

Эту схему мошенники используют уже давно. Чаще всего она встречается в инвестиционном мошенничестве, но нередко применяется и для продажи различных товаров, особенно перед праздниками, а также при аренде недвижимости и бронировании отелей. Помимо прямой кражи денег, злоумышленники нередко собирают персональные и платёжные данные пользователей.

По словам Ивана Курбакова, ещё одна популярная схема связана с продажей метеоритов, лунного грунта и фрагментов космических аппаратов. Некоторые такие «товары» даже сопровождаются «сертификатами» якобы от имени научных учреждений, однако на деле эти документы изготовлены мошенниками. В результате покупатель получает подделку — обычный кусок металла или земной минерал.

Заметное место, как предупреждает юрист, занимают и фальшивые образовательные программы. В частности, мошенники продают онлайн-курсы «подготовки космонавтов» с выдачей поддельных дипломов. Также встречаются случаи продажи платного участия в якобы научных конференциях на космическую тематику.

RSS: Новости на портале Anti-Malware.ru