Apples touch-ID for iphone 5s kan være hacket, men det er fortsatt fantastisk

Vel, det tok ikke lang tid. Apples iPhone 5S kom ut forrige uke, med en ny Touch ID fingeravtrykssensor innebygd i Hjem-knappen. Like etter tweetet Nick DePetrillo (@NickDe) denne utfordringen: "Jeg vil betale den første personen som lykkes med et trykk fra iPhone 5s-skjermen, gjengir den og låser opp telefonen på <5 prøver 100 dollar." Nettstedet hans istouchidhackedyet.com/ inviterte andre til å legge ut egne tilbud. Nå, mindre enn en uke senere, er det blitt hevdet den kollektive belønningen for dollar, bitcoins og sprit.

Og vinneren er...

I et blogginnlegg datert sist lørdag kunngjorde Tysklands ærverdige Chaos Computer Club at deres biometriske hacking-team lykkes med å låse opp en iPhone 5s ved hjelp av et falskt fingeravtrykk. "Et fingeravtrykk av telefonbrukeren, fotografert fra en glassoverflate, var nok til å lage en falsk finger som kunne låse opp en iPhone 5s sikret med Touch ID, " heter det i innlegget. "Dette demonstrerer - igjen - at biometri med fingeravtrykk er uegnet som tilgangskontrollmetode og bør unngås."

DePetrillo kunngjorde veldig spesifikke kriterier for å kreve dusøren: "Alt jeg ber om er en video av prosessen fra trykk, løft, reproduksjon og vellykket opplåsing med reprodusert trykk." Mens CCC-videodemonstrasjonen ikke nøyaktig stemte overens med disse forholdene, godtok DePetrillo den som bevis.

Tallying the Booty

Vinneren av tyvegodset, som går under navnet Starbug, planlegger å gi det til en CCC-spinoff kalt Raumfahrtagentur. Jeg beregnet akkurat hva Starbug ville få hvis hver deltaker faktisk kom gjennom den lovede betalingen. Kontantbeløpet ville være $ 8364, 01, 100 euro, og bitcoin-ekvivalenten til ytterligere 2 779 dollar. Andre tilfeldige tilbud inkluderer syv flasker vin og brennevin, en gratis patentsøknad for teknikken og en "skitten sexbok."

Et tilbud på 10 000 dollar dukket opp kort, men ble tatt ned kort tid før hacknyhetene brøt. En håndfull av dem som tilbyr kontanter, plasserer faktisk pengene i sperretur; disse beløpene blir garantert utbetalt. I det minste vil Starbug få $ 900 og 0.661 bitcoins. Vil du delta i crowdfunded-belønningen? Du kan fortsatt gjøre det ved å tweete tilbudet ditt (minimum $ 50 eller 0, 4 bitcoin) til @IsTouchIdHacked.

Bekreftet av Lookout

Mark Rogers, forsker ved San Francisco-baserte Lookout Security, klarte også å hacke Touch ID og la ut alle detaljer i går. Til tross for at han klarte å hacke det, synes Rogers fremdeles Touch ID er "kjempebra."

Rogers påpeker at det ikke er lett å hacking med Touch ID. Det "er avhengig av en kombinasjon av ferdigheter, eksisterende akademisk forskning og tålmodigheten til en kriminalscene-tekniker" for å produsere et falskt fingeravtrykk. Selv om du har de nødvendige ferdighetene, er det ingen enkel sak. "Det er en langvarig prosess som tar flere timer og bruker utstyr for over tusen dollar, inkludert et kamera med høy oppløsning og laserskriver." Teknikken hans skapte trykket på et kobberkledd brett, mens CCC brukte en åpenhet. For å faktisk låse opp en telefon, måtte han feste det falske fingeravtrykket på en fuktig finger.

Praktisk sikkerhet

Hvorfor er Touch ID fremdeles fantastisk? Rogers påpeker at foreløpig ikke bruker halvparten av alle iPhone-brukere en enkel PIN-kode, fordi det ikke er praktisk. Touch ID er derimot symbolet på bekvemmelighet. Å trykke på Hjem-knappen er noe du allerede gjør; å legge til fingeravtrykkgodkjenning til prosessen krever ingen ekstra handlinger.

Det Rogers virkelig vil se er tofaktorautentisering - Touch ID pluss en passord, for eksempel. Han ser for seg et system der du, for eksempel, logger deg på banken din med et fingeravtrykk, men angir en passord for å faktisk kunne gjøre en transaksjon. Jeg må være enig. Fingeravtrykkgodkjenning er feil, firesifret PIN-autentisering er feil, men de to sammen gir bedre sikkerhet.

Tidlige beskrivelser av Touch ID fikk det til å høres ut som teknologien bare ville fungere med en ekte, levende finger eller tommel. At et løftet trykk kan lure det får meg til å lure på om vi snakket for tidlig når vi sa at en avskåret tommel ikke ville fungere. Men jeg er ikke sikker på at jeg vil høre noen detaljer om forskning rettet i den retningen.