Da iPhone 5S in poi abbiamo cominciato a conoscere i lettori di impronte digitali sugli smartphone. Questi strumenti biometrici consentono di sbloccare i dispositivi nel giro di un paio di secondi, danno il via libera per i pagamenti e compiono parecchie altre funzioni del genere. A livello teorico sono ben più sicuri delle tradizionali password, delle sequenze o del riconoscimento facciale.

Peccato che a livello pratico la situazione sia ben diversa. Le impronte, una volta digitalizzate, possono essere sottratte agli utenti. E quando succede, è difficile porre rimedio alla situazione: se una password può essere reimpostata a piacimento, le caratteristiche conformazioni delle creste e valli sulla cute delle falangi distali per ovvi motivi rimangono costanti.

Inoltre quando ciò malauguratamente accade, il furto è silente. L’utente può rimanere all’oscuro della frode per molto tempo.

Proprio quella delle impronte digitali è stata una delle tematiche toccate durante la Black Hat Security Conference.

Gli esperti del settore Tao Wei e Yulong Zhang hanno messo in evidenza le vulnerabilità a esse collegate relative al sistema operativo Android. Sono stati simulati due attacchi, il primo consistente in un malware in grado di superare i sistemi di pagamento con l’autenticazione biometrica e l’altro, più critico, avente a che fare con la sottrazione indebita da remoto delle impronte da dispositivi.

A quanto sembra i lettori di impronte sulla piattaforma Android di Google possono essere violati più facilmente rispetto a quelli di Apple: il duo di esperti ha rilevato che gli attacchi sono andati a buon fine sia su HTC One Max sia su Samsung Galaxy S5, ma non su iPhone o altri dispositivi della Mela con Touch ID.

La differenza tra Android e iOS sembra essere consistente. I dispositivi con la prima piattaforma semplicemente sembra che non facciano abbastanza per garantire agli utenti la sicurezza delle impronte digitalizzate, le quali spesso sono lasciate alla mercè di privilegi di sistema di più alto livello. Con il Touch ID di Apple, invece, queste vengono rese disponibili solo con una chiave criptata, anche nel caso in cui un malintenzionato abbia accesso diretto al lettore di impronte del dispositivo.

I produttori sono comunque al lavoro per correggere le imperfezioni del sistema, che a quanto pare sembra non manchino affatto.

La Black Hat Security Conference si è svolta dall’1 al 6 Agosto a Las Vegas, nel Nevada. Per altre informazioni sulla conferenza consigliamo di consultare questa pagina.