Le célèbre Chaos Computer Club (CCC) a ainsi réussi à tromper le lecteur d’empreintes digitales quelques jours seulement après la sortie du smartphone. Le principe est relativement simple : les bidouilleurs du CCC ont appliqué une méthode bien connue qui permet de contourner n’importe quelle protection de ce type. Pour ce faire, il faut récupérer d’une manière ou d’une autre une empreinte de la victime, et en fabriquer un masque avec de la colle ou du latex.
Touch ID oblige, la « photographie » de l’empreinte devra être d’une très grande résolution. Comme on le verra dans la vidéo (un peu speedée) ci-dessous, la bidouille fonctionne… mais il sera certainement plus rapide d’obliger la victime à poser le doigt sur le capteur !
🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.
Il a la tremblotte ou quoi?
Il fallait s’y attendre… Par contre je trouve pas la vidéo si démonstrative que ça. J’aurai été plus convaincu par la bidouille si un objet avait été utilisé comme support de l’empreinte
Y’avait pas une histoire de protection avec la ‘détection’ des vaisseaux sanguins pour éviter justement d’utiliser ce genre de choses ??
Comment peut-on être sûr que dans la vidéo Il n’est pas déjà enregistré son empreinte ?
Afin la deuxième empreinte sachant que l’on peut enregistré jusqu’à 5 empreintes ??
N importe quoi. Autant lui couper le doigt ça ira plus vite lol
Apparement c’était bien du bullshit marketing… Au delà du dévérouillage c’est tout le système derrière qui s’effondre, achats etc…
il doit faire froid vu la tremblotte du gars
reste a voir si les futurs tel avec ce systeme serons mieux ou moins bien .
nous attendons les one max au virage
Je suis sceptique quant à la sécurité d’une telle technologie…
Sera t-il possible de choisir entre la sécurité biométrique et celle par mot de passe??
Ceux qui envie de lire un pavé: https://www.journaldugeek.com/2013/09/22/iphone-5s-senateur-demande-explications-touch-id/comment-page-2/#comment-975236
De plus si à l’avenir ça continue (même chose par d’autre constructeur / Samsung xD ?), les empreintes deviendront le nouveaux saint graal des hackeurs pour tout déverrouiller direct… Donc 1 vos empreintes seront ficher par tout les puissances moyennant du cash (je veux pas connaitre les raisons….) et aussi par des sociétés (same, contre du cash, je veux pas savoir pq…) et puis vos données seront encore plus en péril…
Je vous Conseil de bien de réfléchir.
@Fredo
Parkinson ou alors il est alcolo
@Meiry : Le prochain, ce sera HTC 🙂
De ce qu’on sait de la technologie employée, ça me semble plus être un canular qu’autre chose.
Le lecteur d’empreinte n’est pas une nouveaute sur un smartphone… pourquoi tant de bruit pour CE smartphone en particulier ?
@Omen77 : Oui, merci ^^ j’ai cru comprendre en lisant les 2/3 commentaires que j’avais sauté xD. En tout cas voila, moi ça me fait peur, surtout quand on vient d’une région très marqué par la WW2.
Comme je le disait dans l’autre article concernant ce fameux hack, la vidéo me parait peut convaincante qu’on on sait comment le capteur est sensé fonctionner.
Perso , je pense que le gars a enregistré aussi son majeur et c’est celui-ci qui débloque le tel à travers la couche(inerte) qu’il a rajouté.
N’importe quoi. Trucage.
Le lecteur comme les récents lecteurs utilisent les sous couches épidermiques donc non récupérables.
Faut arrêter de regarder des films.
@Error32 : Tu as surement raison, après tant que l’on pas de fiche technique précise (constructeur ?) sur le capteur biométrique, il est compliqué de savoir les limitations du système, et ça n’enlèvent pas d’autre possibilité de hack, notamment sur l’authentification pour payé qui sera facilement contourné si l’empreinte n’est enregistrer qu’en locale, et si c’est en ligne malgré les promesses, et bien… c’est pire… Moi je vois rien de bon, à mon avis w8 and see et surtout dans un premier temps, ne l’utilisez pas.
@Error32
C’est pas du tout le genre du CCC de pondre du flan…
Lol, j’avais pas vu que c’est “Chaos Computer Club”.
Autant pour moi, je doute du Fake du coup :/ Après faut voir avec précision ce qui est possible ou pas !
Moi j’y crois. Pourquoi pas. Maintenant faudrait qu’un membre du JDG possède le 5S et test le truc, et tout le monde sera fixé si fake ou pas.
(PS: Personne ne l’a encore ? lol )
Les vrais systèmes de prise d’empreinte (dermatoglyphes ou réticule sanguin) détectent la présence de vie dans le doigt (réseau sanguin) mais ça ne vaut pas 5 euros, ce serait plutôt 500 euros prix public !
Ce n’est donc pas sur un smartphone qui vaut ce prix que l’on va retrouver ce genre de détecteur (et encore moins sur les notebooks hein ?).
La démonstration du CCC était donc téléphonée.
db
Question : est ce que la sécurité Android avec la reconnaissance faciale où il faut sourire pour débloquer le tel a été contournée 🙂
Le plus drôle quand même c’est le blabla d’Apple qui dit que cela prend sous les couches de l’épiderme, ce qui est totalement faux aux vues de cette vidéo
La seule chose que j’apprend avec cette vidéo, c’est que le mec doit voir un médecin au plus vite vu sa tremblote.
Le reste n’est en aucun cas une preuve de quoi que ce soit. S’il avait refait un doigt en latex ou autre ok, mais là il pose un truc (on ne sait même pas quoi) sur son doigt donc bon…
@xplosive.
Renseigne-toi sur qui sont les CCC.
Qui te dit qu’il sait exactement pourquoi il tremble ? tes arguments a l’emporte pièces n’emportent rien
p0wned
Ca me rappelle un episode de mythbuster ou il arrivait a craquer un systeme soit disant a tout epreuve de lecteur d’emprunte … Avec une photocopie des doigts ! 😀 La comme il s’agit que d’une simple caméra au final m’etonne pas qu’il soit pas si dur a craquer. Surtout que je crois avoir vu un chiffre genre une fiabilité de 1/20 000 que deux personne passent sur l’iphone ce qui indique clairement que c’est pas un vrai lecteur d’empreintes…
De tout façon même si c’est vrai il est tout de même bien plus sécurisant car les situations ou tu tapes ton numéro en public dans le metro au boulot ou autre ou tu ne peux pas utiliser ta deuxième main pour cacher l’écran ou que tu oublie sont légion, là il faut déjà que le mec ai le matos pour copier ton empreinte la compétence ect….
@Peredur : D’après iFixit, le lecteur serait un simple capteur CMOS. Donc, il ferait une photo des empreintes. Je ne sais pas si un capteur CMOS est capable d’aller lire sous la peau… A moins d’ajouter un autre capteur qui “lirait” l’activité électrique cardiaque du doigt…
@Nico : Ton code, tu ne le tapes pas devant tout le mode, si ? Même ton code de carte bleue ? N’oublie pas que ce téléphone est censé pouvoir être utilisé à une seule main , donc avec ta seconde main, tu peux cacher l’écran 😉
Prochaine étape: hacker le capteur CMOS depuis une iApp pour récupérer en clair l’empreinte de l’utilisateur, et l’envoyer sur internet pour usage futur. Et vous pourrez toujours essayer de changer votre empreinte compromise…
Pour tous les ignorants, voici des liens à lire:
le communiqué du CCC:
http://www.ccc.de/en/updates/2013/ccc-breaks-apple-touchid
La méthode employée:
http://dasalte.ccc.de/biometrie/fingerabdruck_kopieren?language=en
Comme vous pouvez le voir ca ne nécessite aucun matériel spécifique, les 3/4 sont des produits d’usage courant.
Pour trouver une empreinte c’est pas bien compliqué: on en laisse PARTOUT.
A l’heure de l’authentification à 2 facteurs et à token type OTP (mot de passe à usage unique), l’utilisation d’un mot de passe inchangeable (votre empreinte, vous en avez une, à vie) qui plus est laissée partout est un non-sens du point de vue de l’authentification.
Les projets commerciaux (paiement “sécurisé” par exemple) d’apple sont au plus mal avec ce contournement aisé.
La seule vocation qui reste à ce dispositif est le relevé en masse des empreinte digitales des utilisateurs pour aller dans les datacenters d’apple.
A partir du moment où c’est une technologie propriétaire, j’ai le droit de dire cela. Si ce n’est pas le cas, juste publiez les sources.
Apparemment (d’après d’autres sites), pour réaliser son hack il a du faire une photo et une impression de son doigt à 1200dpi. Du coup je pense qu’on peu être tranquile encore un moment avant que monsieur et madame tout le monde réussisse à nous pirater notre touch id…
Oui enfin ça.. N’importe qui ayant déjà vus une série TV ou un blockbuster américain aurait déjà connu cette technique.. Après, pour en venir à de telles extrémités, c’est qu’il doit y avoir des trucs sacrément importants dans le téléphone..
@Keeg : Ils ne sont pas assez riches au jdg 🙂
@omen77 : lol, meme un lecteur du JDG. quelqu un qui test, et confirme et la question du fake ou pas sera résolue
@Keeg : Juste une petite blague 🙂 Par contre, le procédé n’est pas à la portée de tout le monde : Photographie en 2400 dpi, édition en 1200 dpi, puis moulage 3D de l’empreinte. Car même si c’est un peu complexe, la sécurité a tout de même été contournée. Des réseaux organisés peuvent très bien investir dans ce genre de matériel, il serait certainement très vite remboursé. Tu ne peux pas t’imagine ce que les gens laisser dans leurs smartphone, ou ordinateurs… Parfois, pour le plaisir des yeux des gens qui réparent 🙂
Sinon, ça fonctionne aussi avec des pattes de chien ou chat, ou un téton… à quand l’unlock avec ma bite ?
http://www.phonandroid.com/iphone-5s-quelques-methodes-pirater-lecteur-dempreintes.html
Dans tous les cas, c’est pas dur de récupérer l’empreinte digitale du proprio du tel sur un ecran tactile … Faut voir les traces de doigt sur mon Galaxy ^^
On va dire que j’ai bouffé trop de film, mais là où cela peut réellement devenir dangereux c’est dans le cas où l’on voudrait faire tomber quelqu’un. On identifier le device à hacker, on récupère l’empreinte de la victime, et on s’amuse à l’étaler où bon nous semble, une scène de crime par exemple…
Comment ça j’ai trop fumé ?
PAR CONTRE, là où ça m’étonnerait fortement, c’est que la NSA et compagnie (pour rappel on a aussi une “NSA” à la française et aux mêmes méthodes) ne bavent pas à l’idée d’obtenir gratuitement une banque d’empreinte grand public, avec l’identité du propriétaire à la clé…
@ petis :
T’as pas trop fumé, c’est juste que ton raisonnement est trop “apple basher” pour qu’on te prenne au sérieux…
Si un mec veut tes empreintes, tu pense vraiment qu’il va se faire chier à pirater ton téléphone quand il lui suffit d’aller les prendre là où tu les met partout à longueur de journée ?
Je vous rappelle que les empreintes vous les donnez à l’état quand vous faites votre carte d’identité, et pas que l’index, alors ils s’en tapent bien de votre téléphone (surtout que c’est pas tout le monde qui aura un 5S vu le tarif).
@scer: +1, tout le monde se prend bien trop la tête la dessus 😀
Aussi, renseignez vous sur ce qu’est le Secure Enclave, c’est très bien gardé comme endroit quand on se penche un peu plus sur la technologie utilisée par ARM dans ses puces. Confirmé par des docteurs en sécurité informatique, c’est vraiment secure. Après faut jamais dire jamais…
Le vrai pb… c’est que les EMPREINTES sont SUR le telephone avec le verre !!!!
c’est comme si le mot de passe etait ecrit sur le verre du tel.
Apres, dans quelle mesure recuperer ces empreintes est chose facile ou pas… c’est une autre histoire.
@ stupid :
Le problème n’est pas de savoir si c’est facile de récupérer une empreinte, ça tu en récupère partout dans la rue, mais de savoir l’exploiter (c’est pas à la porté de tout le monde), et ce que tu vas pouvoir en faire. Si un mec me vole mon téléphone, j’empreinte le smartphone de n’importe qui, je vais sur icloud et je le verrouille, il ne pourra plus rien en faire même avec mon empreinte. S’il veut le restaurer, ça lui demandera mon mot de passe, mon empreinte ne lui sera d’aucune utilité. S’il veut désactiver activation lock ou find my iphone, ça lui demandera également un mot de passe, donc mon empreinte lui sera inutile.
Tout ce qu’il pourra faire entre le moment où il aura volé mon téléphone (après biensur s’être fait chier à récupérer mon empreinte, et la recréer avec du matos que monsieur tout le monde n’a pas), c’est passer des appels ou acheter des trucs sur itunes. Du coup ça ne lui sera pas d’une grande utilité…
@Scer : Et aller voir tes photos, vidéos, accès à tes différents comptes (mail, FB, Twitter, Bancaires, etc.), dépenser une fortune en applications, téléphoner à tes frais à l’autre bout du monde, Si ça ne t”inquiète pas plus que ça, à ce moment, ne met même pas de mot de passe sur ton smarpthone, et laisse-le bien en évidence !
pour un système dit infalsifiable et qui ne devait pas lâcher avec ce type d’astuce (dixit les précisions de quelques uns de nos amis applefans), c’est mal parti !
@ omen77 :
Ca ne m’inquiète pas plus que si je me fais voler ma carte bancaire. Je me fais voler ma carte, je trouve une âme charitable pour me laisser passer un coup de fil, je fais opposition, ça me prend 30 secondes. A la simple différence que juste avec ma carte le gars pourra faire des truc, pas besoin de devoir avoir accès à du matos spécifique pour recréer mes empreintes.
Si je me fais voler mon téléphone, je trouve une âme charitable pour me laisser me connecter 30 secondes, je vais sur icloud, je verrouille mon téléphone et le gars ne pourra plus rien en faire, pas même le formater, il lui faudra mon mot de passe. Ca me prendra 30 seconde, et j’ai plus de chances de trouver une âme charitable qui me laissera utiliser son téléphone (même si je me trouve sur paris à ce moment là), qu’un mec possédant le matos adéquat pour recréer des empreintes décide de s’en prendre à moi, et de faire mes empreintes factices avant de m’agresser dans la rue pour me voler mon téléphone, dans le seul but d’avoir accès à des photos ou des mails sans grand intérêt…
Faut comprendre qu’il y a un gouffre énorme entre avoir la possibilité technique de faire quelque chose, et que tout le monde fasse cette chose. Sinon tout le monde piraterai des comptes bancaires pour se faire de l’argent facile…
Ah mon cher scer… Te revoilà toi, tu m’avais pas manqué, tiens.
Et donc je suis trop presseur de pomme pour mon second commentaire également j’imagine ?
http://reflets.info/iphone5s-jusqua-deux-fois-plus-dempreintes-biometriques-pour-apple/
http://reflets.info/apple-et-les-donnees-biometriques-acte-2-apres-la-voix-vos-empreintes-digitales/
http://reflets.info/touchid-hacked-la-securite-biometrique-de-l-iphone5s-dapple-est-cassee-comme-prevu/
j’arrête la?
jadis on revendait les iPhones volés avec ou sans l’oreille de son propriétaire
maintenant ça va être avec ou sans le doigt
(pour ceux qui choisiront “avec doigt” l’oreille sera donnée en prime)
les temps changent mon bon monsieur.
Ça me rappelle un épisode de Mythbuster, où Adam et Jamy trompent une serrure “ultra sophistiquée” et bien cher qui fonctionnait par emprunte digitale, une copie de l’emprunte en latex et la serrure à plusieurs centaines de dollars s’inclinait, pire, une feuille de papier sur laquelle était “grossièrement” dessinée les sillons de l’emprunte et la serrure là aussi flanchait.
Donc ça m’étonnerait pas qu’il soit aussi facile de tromper la sécurité de l’iphone..
Une chose est sûre, tant que je peux éviter cette technologie, je le ferais.