Pirater vos empreintes digitales est un jeu d’enfant, en voici la preuve

Les capteurs biométriques, en particulier les scanners d’empreintes digitales, sont aujourd’hui partout : smartphones, ordinateurs, etc. Si l’utilisation des empreintes digitales pour s’authentifier est très pratique, par rapport au traditionnel mot de passe, cette méthode n’est pourtant pas aussi sécurisée qu’on le croit.

Chaque personne a une empreinte unique. Mais il est aussi facile d’utiliser les traces de doigts que nous laissons sur une surface, comme du verre, pour générer une copie des empreintes digitales, ce qui permettra ensuite de pirater nos appareils.

Et si vous pensez que cela requiert un matériel sophistiqué, vous vous trompez ! Dans une récente publication, la plateforme américaine Kraken a démontré qu’il était possible de voler les empreintes digitales d’une personne, puis d’utiliser celles-ci pour déverrouiller un appareil, en ne dépensant que 5 dollars.

Un appareil photo, une imprimante et de la colle à bois !

Comme l’explique l’entreprise, il suffit de prendre en photo une surface touchée par la cible, sur laquelle celle-ci a laissé son empreinte digitale. Cette photo peut ensuite être exploitée (une heure sur Photoshop) afin de générer un négatif de l’empreinte.

Puis, le négatif est imprimé sur une feuille d’acétate avec une imprimante laser. En effet, le toner laisserait une structure en 3D de l’empreinte digitale.

Et la touche finale : ajouter de la colle à bois sur l’impression, pour, puis laisser sécher pour obtenir une copie de l’empreinte digitale.

Comme le montre la vidéo ci-dessous, Kraken a testé cette fausse empreinte sur un iPad, un MacBook Pro, et un appareil servant à stocker des cryptomonnaies. Dans tous les cas, cette fausse empreinte créée avec de la colle à bois a trompé les algorithmes de ces appareils.

« Nous avons pu effectuer cette attaque bien connue sur la majorité des appareils dont notre équipe disposait pour les tests. S’il s’agissait d’une véritable attaque, nous aurions eu accès à une vaste gamme d’informations sensibles », lit-on dans la publication de Kraken.

Le message que la plateforme veut faire passer : « Il devrait être clair maintenant que, bien que votre empreinte digitale vous soit propre, elle peut toujours être exploitée avec une relative facilité. Au mieux, vous ne devriez envisager de l’utiliser que comme authentification à deuxième facteur (2FA). »