手機指紋暴力破解攻擊影響所有安卓設備和部分 iOS 設備。

暴力破解攻擊是指通過多次嘗試的方法來破解口令、密碼、密鑰，以獲取賬戶、系統、網絡等的非授權訪問。騰訊玄武實驗室與浙江大學研究人員提出一種針對手機指紋保護的暴力破解攻擊方法—— BrutePrint，可暴力破解智能手機指紋以繞過用戶認證，并控制設備。

(資料圖)

研究人員利用了 2 個 0 day 漏洞來繞過智能手機上現有的針對暴力破解的防護措施，比如嘗試次數限制和活性檢測。這兩個漏洞分別是 Cancel-After-Match-Fail ( CAMF，匹配失敗后取消 ) 和 Match-After-Lock ( MAL，鎖定后匹配 ) 。研究人員發現指紋傳感器的串行外設接口 ( Serial Peripheral Interface，SPI ) 上的生物數據未得到充分的保護，可以通過中間人攻擊（MITM）來劫持指紋圖像。

BrutePrint 攻擊

BrutePrint 攻擊的原理是向目標設備提交無數次的指紋圖像直到與用戶定義的指紋匹配。

圖 BrutePrint 攻擊

BrutePrint 攻擊的攻擊者需要有目標設備的物理訪問權限，并能夠訪問指紋數據庫，如學術研究數據庫或泄露的指紋數據庫，以及大約 15 美元的攻擊設備。

圖 發起 BrutePrint 攻擊所需的設備

與密碼破解不同，指紋匹配使用的是參考門限而非特定值，因此攻擊者可以通過操縱 False Acceptance Rate ( FAR，錯誤接受率 ) 來增加接收門限，并更加容易得創建匹配的指紋。

BrutePrint 攻擊位于指紋傳感器與可信執行環境（TEE）之間，利用 CAMF 漏洞來操縱智能手機指紋認證的多點采樣和錯誤取消機制。CAMF 在指紋數據上注入一個錯誤的校驗和以停止認證過程。因此，攻擊者可以在目標設備上不斷嘗試指紋輸入，但手機保護機制并不會記錄錯誤的嘗試次數，最終實現無限次的嘗試。

圖 CAMF 漏洞攻擊邏輯

MAL 漏洞使得攻擊者可以推斷出指紋圖像的認證結果，即使設備處于鎖定模式。

圖 引發 MAL 漏洞的機制

鎖定模式是連續多次輸入指紋解鎖失敗的一種保護機制。在鎖定時間內，設備不會接受解鎖請求，但 MAL 漏洞可以幫助繞過這一限制。

BrutePrint 攻擊使用 neural style transfer（神經風格遷移）系統將數據庫中的所有指紋圖像轉換為看似是設備傳感器掃描的。

圖 根據傳感器類型改進圖像

實驗數據

研究人員在 10 款主流智能手機上對 BrutePrint 和 SPI MITM 攻擊進行了測試，并成功在所有安卓和鴻蒙設備上實現了無限制嘗試次數，并在 iOS 設備上實現了額外的 10 次嘗試。

圖 測試的設備

因為在安卓設備上實現了無限的測試次數，因此只要有足夠的時間，攻擊者就可以暴露破解安卓設備指紋，并解鎖設備。

在 iOS 設備中，雖然 iPhone SE 和 iPhone 7 受到 CAMF 漏洞的影響，但研究人員只能將指紋攻擊的嘗試次數增加到 15 次，還不足以暴露破解指紋并解鎖設備。

圖 測試結果

對于 SPI MITM 攻擊，所有受測的安卓設備都可以劫持用戶指紋圖像，但 iPhone 不受到該攻擊的影響，因為 iPhone 加密了 SPI 上的指紋數據，所以攔截數據對攻擊沒有任何意義。

實驗表明，如果設備中只錄入了一份指紋，那么完成 BrutePrint 攻擊所需的時間在 2.9 小時到 13.9 小時之間。如果目標設備中錄入了多個指紋，那么暴力破解所需的時間會減少到 0.66 小時到 2.78 小時之間。

圖 暴力破解指紋所需時間

結論

總的來看，BrutePrint 在針對普通用戶的攻擊來說可能性不大。但對于犯罪分子和執法機構來說，BrutePrint 暴力破解具有現實意義。犯罪分子可以通過暴力破解解鎖被竊的設備，并提取出其中的數據。而執法機構通過暴力破解攻擊可以在調查取證過程中繞過設備的安全防護。