Newsgroup: it.comp.sicurezza.varie
Titolo: (OT) Biometria e smartphone, binomio insicuro (PI)

Da P.I.
Biometria e smartphone, binomio insicuro
 
Ricercatori statunitensi perfezionano i metodi del (recente) passato e
bypassano ancora una volta la presunta sicurezza dei lettori biometrici
mobile. Una password si può cambiare ma un'impronta violata è per sempre
 
Roma - Dal dipartimento di informatica e ingegneria della Michigan State
University arriva un nuovo studio sull'insicurezza dei lettori biometrici
integrati sui gadget mobile di ultima (e penultima) generazione, un tentativo
di hacking andato a segno che costa relativamente poco...
 
Sembra che l'articolo sia enormemente ispirato alla mia sign!
Che Maruccia mi abbia copiato?
 
Forse che sia il caso di trovare una soluzione intermedia che possa
identificare inequivocabilmente e che sia nel contempo modificabile.
 
 
-- 
Una password si puo' cambiare.
Un dato biometrico e' rubato per sempre!
Medita!

Rispondo qui sotto a sunoz

Da quando è uscito w10, e ha riportato anche su w7 e w81 le sue 
violazioni della privacy e le telemetrie, ho eliminato l'uso del 
lettore di impronte dal mio pc.
 
E' chiaro che tali info faranno gola a tutti...
 
 

 di impronte dal mio pc.
 
Anche perché per rubarti la chiave bastava tagliarti un dito! :D :(
 
 



Si ma prima uno dovrebbe capire quale sia il dito usato per accedere; a
quel punto, nel dubbio te li taglian tutti e ciao (poi magari si scopre
che il sistema usava un lettore di iride o di... emorroidi :D)
 
Scherzi a parte, il biometrico va bene SE usato correttamente, ossia in
un sistema di autenticazione a fattori multipli; altrimenti non serve a
molto; l'utilizzo di una componente biometrica offre, rispetto ad altri
sistemi di autenticazione (password, smartcard ...) il vantaggio non
indifferente di poter accertare in maniera relativamente certa che, chi
si sta autenticando è la persona autorizzata e non qualcun altro che è
entrato in possesso delle necessarie informazioni; ovvio che se poi si
ammazza il tizio e gli si taglia un dito (o cava un occhio) si torna
punto ed a capo; ma nel caso in cui si utilizzi un sistema come quello
che ho descritto, normalmente c'è anche una telecamera con dietro un
essere umano che dovrebbe accorgersi se ti presenti tenendo in mano il
dito mozzato a qualcuno
 
 
 
 

 dito mozzato a qualcuno
 
"Una telecamera con dietro un essere umano" significa una persona alla 
quale devi pagare uno stipendio. Non ci conterei troppo. :)
 
 
 

 alla quale devi pagare uno stipendio. Non ci conterei troppo. :)
 
dipende; nel caso di autenticazione a fattori multipli per accesso ad
aree riservate ... ovvio non nel caso dello smartphone
 

 Anche perché per rubarti la chiave bastava tagliarti un dito! :D :(
 
No, perchè il dito mozzato tende a decomporsi, e poi manca il battito 
cardiaco :-D
 

 No, perchè il dito mozzato tende a decomporsi
 
Si può evitare con apposite sostanze chimiche, e comunque ci sono parecchie ore
di comporto prima che si verifichino problemi allu dito.
 
(Anche il battito cardiaco è simulabile, almeno lo è per i sensori dell'attuale
generazione che usano il metodo capacitivo).
 
Leonardo
 
-- 
 
Now suppose -just suppose- I could show you a way to
manufacture a wall that would do the same job... but
was only one inch thick.

 dito mozzato a qualcuno
 
...il fatto è che al tempo d'oggi il vigilante che dovrebbe vedere con 
molta attenzione lo schermo della telecamera sta invece guardando con 
altrettanta attenzione lo schermo del suo cellophono che gli mostra gli 
ultimi cazzeggi scambiati su faccialibro....
 
 

 identificare inequivocabilmente e che sia nel contempo modificabile.
 
al momento c'è parecchio fermento relativamente a FIDO
 
https://fidoalliance.org/specifications/overview/
 
 
ma non sono esattamente certo che sia la soluzione
 
 

 Leonardo
 
Ad ogni modo, andare in giro con un dito mozzato non è elegante, e
rischia di suscitare qualche sospettuccio.
Sono sicuro che con un pizzico di fai-da-te si può far di meglio :)
 
FALSE IMPRONTE:
http://www.wikihow.com/Fake-Fingerprints
 
 
FALSE IRIDI:
https://www.schneier.com/blog/archives/2012/07/fake_irises_foo.html
 
 
FALSO RICONOSCIMENTO FACCIALE:
https://www.blackhat.com/presentations/bh-dc-09/Nguyen/BlackHat-DC-09-Nguyen-Face-not-your-password.pdf
 
 
3.2 Fake Face Bruteforce
In fact, hacker cannot just get into the system with whichever images
taken from a
user because the lighting, viewpoint and even some characteristics of
that person
might be different from those when the system learned his/her face.
To make sure that the photo would pass the checking of the application,
hacker would
have to edit it to adjust the lighting and the viewpoint. Due to the
fact that hacker
doesn’t know exactly how the face learnt by the system looks like, he
has to create a
large number of images (Fake Face) - let us call this method of attack
“Fake Face
Bruteforce”. It is just easy to do that with a wide range of image
editing programs at
the moment.
There are several things to concern about in image editing so as the
BruteForce to be
successful, including:
-The image’s viewpoint.
-Lighting effect
 
....
 
IV. CONCLUSION
In this paper, we have introduced basic face recognition algorithms as
well as their
applications in authenticating users based on their faces in present
access control
systems. We have also pointed out weak points that might allow one to
bypass into the
systems of the three big computer manufacturers Lenovo – Asus – Toshiba.
The main purpose of the paper is to give sufficient evidences that the
authentication
technologies being used by these three manufacturers are not efficient
and secure
enough as they are prone to be bypassed putting users’ data at serious
risk.
 
===

 
http://www.wikihow.com/Fake-Fingerprints
 
...
 
Oltre alle impronte digitali disseminate nell'ambiente e potenzialmente 
riproducibili, pensiamo anche al fatto che le autorità possono obbligare 
i cittadini a farsi prendere le impronte...
Si tratta in sostanza di un dato pubblico più che privato.
Ulteriore tallone d'Achille, l'invarianza. Usare le impronte su più 
servizi sarebbe come usare la stessa password su più siti, cioè uno dei 
comportamenti più sconsigliati.
 
Quindi come è stato detto mi pare al massimo un elemento da inserire in 
una combinazione di fattori che ne includa anche altri non biometrici.
 
Oppure una protezione della privacy senza pretese da una fidanzata 
impicciona :)
 
 

 combinazione di fattori che ne includa anche altri non biometrici.
 
Almeno una autenticazione a 2 passi, ma anche a tre assieme: un PIN, 
una password, un sms con codice tipo token, e a chiudere una seconda 
password.
 
 

 i cittadini a farsi prendere le impronte...
 
Tu non hai di sicuro il passaporto, se no sapresti cosa succede al 
cittadino probo che chiede umilmente il passaporto...
 


Naturalmente puoi non fidarti, ma nel caso del passaporto è previsto che 
le impronte dei probi cittadini non siano raccolte in alcun database ma 
solo nel chip, afaik.
 
http://www.poliziadistato.it/articolo/15834-Passaporto_con_l_impronta/
 
[...]
Le impronte digitali non saranno raccolte in nessuna database; saranno 
inviate ai sistemi centrali per le verifiche e vi resteranno conservati 
solo per il tempo strettamente necessario alle fasi dell'istruttoria. Al 
momento del rilascio del passaporto, verificato il suo funzionamento, 
tutte le impronte verranno cancellate dagli archivi centrali e da quelli 
della questura. Rimarranno solo all'interno del passaporto elettronico. 
In questo modo il documento è più sicuro dal punto di vista della 
contraffazione e diventa strumento fondamentale per l'identificazione 
delle persone in quanto le impronte digitali sono uniche e irripetibili. 
Le impronte verranno prese a tutti tranne ai minori di 12 anni.
 
 
 

 cittadino probo che chiede umilmente il passaporto...
 
Per non parlare delle "tonnellate" di impronte digitali accumulate negli 
archivi dei distretti militari prima dell'abolizione della leva 
obbligatoria.
 
 
;-)
 
Ciao,
AleX

 solo nel chip, afaik.
 
Naturalmente il problema principale nel caso specifico del passaporto 
elettronico non è lo stato italiano.
 
Non solo.
 
Non per primo.
 
Se vuoi nasconderti dietro un dito, fallo pure, basta che non vieni a 
lamentarti con me poi.
 
Tanto è inutile resistere (cit.)
 

AleX wrote on 10/03/16 21:36:

Ecco, mi sono spesso chiesto se quei dati prima o li distruggano, o se per 
legge vengano tenuti in eterno.
Quando ci sono indagini di polizia, non farebbero prima a consultare 
quell'archivio in molti casi?
 
Gabriele
 

 quell'archivio in molti casi?
 
Nessuno può mettere le mani sul tuo modello SA-10.
 
Nessuno.
 
Facevamo fatica anche dall'interno dell'ospedale militare stesso a 
sapere da dove venissero i ricoverati, nel senso di nome, cognome e reparto.
 
Figuriamoci se dovevamo contattare la famiglia :-)
 
Se poi vogliamo fregarcene della legge, sacra et inviolabile, per adesso 
va in voga il metodo Bossetti. L'anno prossimo non so che nome prenderà 
quel metodo ;-)
 

 quell'archivio in molti casi?
 
Al di là dell'ammissibilità, dubito che sia pratico consultare un archivio 
in larga misura cartaceo.
 
Ciao,
AleX

 
 
All'epoca ricordo che nemmeno l'interessato poteva sbirciare nel proprio 
fascicolo.
 
Tuttavia, da qualche anno, è possibile (per l'interessato) richiederne 
copia integrale (se non è andata nel frattempo al macero).
 
Ciao,
AleX

 solo nel chip, afaik.
 
Come si può leggere tale chip? In teoria se lascio il passaporto a 
qualcuno tipo albergo in vacanza questo qualcuno potrà leggere i dati e 
"stampare" l'impronta?
 
Per fortuna non mi sembra esistano stampanti di impronte digitali! :D
 
Saluti.
GabrieleMax
 


 
Purtroppo ti sbagli, si può fare:
http://www.theguardian.com/technology/2016/mar/08/samsung-and-huawei-fingerprint-scanners-can-be-fooled-using-an-inkjet-printer
 
 
 
Gabriele
 

 
http://www.theguardian.com/technology/2016/mar/08/samsung-and-huawei-fingerprint-scanners-can-be-fooled-using-an-inkjet-printer
 
 
Azz... quindi prima il modo per copiare un'impronta e poi come 
stamparla... :\
 
Saluti!
GabrieleMax
 

"stampare" l'impronta?
 
Non sembra essere tanto semplice, vedi pagina 4 di questo:
http://tinyurl.com/jannlrz
 
 
--
 
Byebye from Verona, Italy
 
Bernardo Rossi

 in larga misura cartaceo.
 
Sì, e quindi? (cit.)
 

 copia integrale (se non è andata nel frattempo al macero).
 
Sarà perchè è andato tutto all'aria? Ma se perfino la mia copia del 
libretto sanitario militare l'ho salvata perchè c'ero io, di mezzo. Se 
no neanche me la davano.
 

 Come si può leggere tale chip? In teoria se lascio il passaporto a
 
Protocollo RFID, l'han voluto gli americani. Prima di accorgersi che era 
già bacato in partenza. Consigliano ai turisti americani all'estero di 
non portarsi dietro il passaporto e di lasciarlo in cassaforte, vedi tu.
 

 no neanche me la davano.
 
No, l'accesso agli atti deriva dalle norme sulla trasparenza 
amministrativa. Quindi sono almeno due decenni che si possono richiedere.
 
Comunque io ho richiesto le copie dei miei fascicoli personali un paio 
d'anni fa, quando ho letto che avevano cominciato a distruggere ;-)
 
Così adesso ho nel cassetto della scrivania foglio matricolare, SA-10, 
libretto di tiro, libretto delle vaccinazioni ;-)
 
 
Ciao,
AleX 

 Sì, e quindi? (cit.)
 
Rispondeva alla domanda di Gabriele: senza un'archivio elettronico, quei 
dati sono inconsultabili. 
 
 
Ciao,
AleX

 2482010.pdf
...
 

 dell'attuale generazione che usano il metodo capacitivo).
 
comunque, tornando agli smartphones, l'idea di usare l'impronta
digitale è, fondamentalmente, stupida, basta considerare che su
tali device (smartphone/tablet) di impronte ne trovi un tot :P!
 
 

 del congedo? Sempre ai "Centri Documentali" (ex Distretti militari)?
 
 
Direi di sì, a giudicare da questo modulo. 
 
 
http://www.comune.piacenza.it/comune/pratiche/certificati-
 
anagrafici/modulo-richiesta-documenti-leva.pdf 
 
Ciao,
AleX

 Solo che non sapendo rispondere con un valore esatto, ho indicato quello
 
Gli egiziani usavano il papiro. Fino adesso è il tipo di registrazione 
su carta che ha resistito di più. Altrimenti tocca reimparare a scolpire 
con mazzuolo e punteruoli vari.
 

 reimparare a scolpire con mazzuolo e punteruoli vari.
 
Ha resistito quella che doveva resistere. Non quella che il faraone ha 
deciso di bruciare dopo tot anni. ;-)
 
Ciao,
AleX