Securityセキュリティリサーチャー(インシデントアナリスト)で、セキュリティコンサルタントのキタきつねの独り言。(https://foxestar.hatenablog.com/)をご覧ください。IDは未だ強固だったつぶやいてみた。ID強いな・・と感じてしまいました。gigazine.net研究者は、活性検出がユーザーの目をどのようにスキャンするかに特に注目しました。彼らは、活性検出のための目の抽象化により、黒い点(目)に白い点(虹彩)が表示されることを発見しました。ユーザーが眼鏡をかけている場合、活性検出が目をスキャンする方法が変わることを発見しました。「調査の結果、FaceIDの弱点が見つかりました。眼鏡をかけている間、ユーザーはロックを解除できます。眼鏡をかけている場合、眼鏡を認識したときに眼の領域から3D情報を抽出しません。」これらの2つの要素を組み合わせて、研究者は「X-glasses」と呼ばれる眼鏡のプロトタイプを作成しました。レンズの黒いテープと黒いテープの内側に白いテープがあります。このトリックを使用して、彼らは犠牲者の携帯電話のロックを解除し、FaceIDと他の類似技術の両方の注意検出メカニズムをバイパスするために、眠っている犠牲者の顔の上にテープ付きメガネを置くことで、モバイル決済アプリを通して彼のお金を転送することができました。物理的ハッキングは、たしかにその通りなんでしょう。Appleが生体認証のロジックをそのままにしているとは思いませんので、あまり時間がかからずに修正パッチが出てくるのではないでしょうか。お金が送れるので成功だ!と研究者ですから当然そう主張するのだと思いますが、脅威レベルではネットから侵害されるようなものではなく、攻撃者が物理的に被害者の近くに居る必要がある攻撃ですので、犯罪に対して足がつきやすい傾向があるかと思います。寝ている方・・・というのが条件であるので、研究者も書いてますが、意外に条件が難しいかと思います。攻撃には明ら​​かな欠点があります。被害者は意識を失ってはならず、メガネを顔に当てたときに目を覚ますことができません。研究者によると、一般に、生体検知と生体認証のセキュリティと設計の背後にある弱点を示しています。軽減の観点から、研究者たちは、バイオメトリクスのメーカーがネイティブカメラのID認証を追加し、ビデオおよびオーディオ合成検出の重みを増やすことを提案しました。(ThreatPost記事より引用)この発表を聞いて思ったのが、普段から目を開けて寝ている人なら、こんな事しなくても一発でFaceID突破できるのではないか・・・という事ですが、テープで瞼を開けてしまうという手でも突破できてしまうかも知れません。参考?:gifmagazine.netこの攻撃よりも、私は父親が寝ている時に、TouchIDを娘が解除してしまう攻撃の方が、目から鱗で脅威に感じます。ホームページ7/8に日本プライバシー認証機構(JPAC)様からホワイトレポートをリリースしました。キタきつねとしての初執筆文章となります。「パスワードリスト攻撃」対策の参考として、ご一読頂ければ幸いです。象印の再発防止策を考えてみた。(106)調べてみた。(114)つぶやいてみた。(146)まとめてみた。(調査データ等掲載)フォックスエスタはてなブログをはじめよう!foxcafelateさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。