Europol: biometrische beveiliging te omzeilen en misbruiken door criminelen
Criminelen kunnen biometrische beveiliging omzeilen om hier vervolgens misbruik van te maken en het is belangrijk dat opsporingsdiensten dit weten, zo stelt Europol in een nieuw rapport. "Door te herkennen hoe criminelen kwetsbaarheden kunnen misbruiken, kunnen autoriteiten de toename van misdrijven gefaciliteerd door biometrische presentatie-aanvallen beter tegengaan", aldus het rapport. Bij dit soort aanvallen presenteren aanvallers biometrische informatie aan een systeem om het zo te misleiden.
Het rapport beschrijft verschillende methodes waarop biometrische beveiligingssystemen zijn te omzeilen, zoals het namaken van vingerafdrukken, het gebruik van geprinte foto's van gezichten of afspelen van eerder opgenomen beelden, het dragen van 3d-maskers, face morphing-aanvallen voor paspoortfoto's, het aanbrengen van make-up om detectie te voorkomen en deep fakes.
Europol stelt in het rapport dat het belangrijk is voor opsporingsdiensten om deel te nemen aan initiatieven voor de ontwikkeling van biometrische technologieën, standaardisatie en het delen van informatie. "Door actief bij dergelijke initiatieven betrokken te zijn, kunnen opsporingsfunctionarissen bijdragen aan de ontwikkeling van robuuste frameworks en richtlijnen voor biometrische herkenningssystemen." Door bekend te zijn met de aanvallen die criminelen toepassen kan deze informatie weer worden gebruikt voor het verbeteren van systemen, gaat het rapport verder.
"Het is essentieel om met deze kwetsbaarheden bekend te zijn en de ontwikkeling van nieuwe methodes om ze te misleiden of omzeilen door criminelen te anticiperen", laat Europol weten. "Met deze kennis zijn opsporingsdiensten in een betere positie om hun onderzoeken uit te voeren en mogelijke gevallen van biometrische presentatie-aanvallen te identificeren en beoordelen."
Is maar een vraagje hoor!
Stop met biometrie, tenminste als het niet een fysieke controle van een ID kaart met echtheidskenmerken betreft. Biometrie hoort niet op het internet thuis. Vooral niet met de opkomst van generatieve AI.
Met als lichtende voorbeelden: Hollywood en science fiction schrijvers.
Maar ... (Den Haag letten jullie eventjes goed op!), dan hebben veiligheidsdiensten zoals Interpol en Europol geen achterdeurtjes meer nodig om toegang tot encrypted data en communicatie te krijgen.
Ze kunnen ook gewoon de biometrie-beveiliging omzeilen.
Net zoals criminelen dat doen.
Dan zijn we meteen van die achterdeur-wens / encryptieverzwakking-wens af.
Die is dan overbodig geworden.
/s
"Nee, dat zijn onrealistische aanvallen die niet in de praktijk werken. Jij kijkt gewoon te veel films!"
Fijn dat Europol mij nu gelijk geeft!
Ik denk dan aan authenticatie via biometrie en dan zorgen die methodes er alleen maar voor dat de authenticatie mislukt.
Maar Europl denkt aan andere dingen. Namelijk massasurveillance. Jouw gezicht herkennen zodat ze weten dat je ergens rond loop. En dan werken die methodes natuurlijk wel om te voorkomen dat ze je gezicht herkennen.
"Nee, dat zijn onrealistische aanvallen die niet in de praktijk werken. Jij kijkt gewoon te veel films!"
Fijn dat Europol mij nu gelijk geeft!
"Het is echter niet altijd nodig om om inbreuk te maken op de lichamelijke integriteit van de verdachte, schrijven de onderzoekers: "Wanneer vingerafdrukken van een verdachte zijn vastgelegd in een database van de politie, kunnen die in een mal worden geëtst, waarmee de vinger van de verdachte wordt nagebootst. In geval van beveiliging met een gezichts- of irisscan is het denkbaar dat de smartphone het desbetreffende gezicht herkent wanneer de smartphone ervoor wordt gehouden." Verdere technische details over deze methode worden niet gegeven."
Bron:
https://www.security.nl/posting/866837/%27Politie+gebruikt+vaak+dwang+om+biometrisch+beveiligde+telefoon+te+ontgrendelen%27
"Nee, dat zijn onrealistische aanvallen die niet in de praktijk werken. Jij kijkt gewoon te veel films!"
Fijn dat Europol mij nu gelijk geeft!
Of Europol heeft nu eindelijk ook die films een keer bekeken.
Het kost wat tijd, maar dan heb je ook wat.
LMAO
"Nee, dat zijn onrealistische aanvallen die niet in de praktijk werken. Jij kijkt gewoon te veel films!"
Fijn dat Europol mij nu gelijk geeft!
Je hebt zeker alleen de titel gelezen ?
Quote uit dat rapport
academia are still at the laboratory testing stage. The possibility of
the attacks detailed in this report, therefore, should not be taken to
mean that the systems are weak, but rather should be seen in the
light of a continued effort to pre-empt the possible exploitation of
such weaknesses and to raise awareness so that any attempts to
exploit them will be caught early on
Sommige potentiele zwakheden zijn al in de analoge tijd (poeder en inkt) bekend, voor echt voldoende gemotiveerde mensen
destruction and alteration of fingerprints can occur in various ways
such as cutting, rubbing or stitching the finger, using acids, or even
through fingerprint transplantations. In some cases, it is difficult to
assess whether fingerprint alterations are intentional or accidental,
as working conditions and accidents often alter fingertips.
(foto van handen met getransplanteerde vingerafdrukken erbij .)
Zoals ongeveer altijd - niks is helemaal perfect , en als het nut/waarde heeft ontstaat er een wapenwedloop tussen aanval en verdediging.
Het rapport ziet er eruit als een vrij nette collectie van 'risico's om bekend mee te zijn' qua mogelijke zwakheden/beperkingen van allerlei soorten biometrie systemen.
Nuttig voor wie al te graag wil geloven dat er helemaal NUL problemen meer resteren zijn als je maar iets biometrisch doet .
Maar het is totaal geen kapstok voor "biometrie is totaal zinloos/kansloos/onveilig/wordt overal omzeild" , als je dat als mening wilt geven.
"Nee, dat zijn onrealistische aanvallen die niet in de praktijk werken. Jij kijkt gewoon te veel films!"
Fijn dat Europol mij nu gelijk geeft!
"Het is echter niet altijd nodig om om inbreuk te maken op de lichamelijke integriteit van de verdachte, schrijven de onderzoekers: "Wanneer vingerafdrukken van een verdachte zijn vastgelegd in een database van de politie, kunnen die in een mal worden geëtst, waarmee de vinger van de verdachte wordt nagebootst. In geval van beveiliging met een gezichts- of irisscan is het denkbaar dat de smartphone het desbetreffende gezicht herkent wanneer de smartphone ervoor wordt gehouden." Verdere technische details over deze methode worden niet gegeven."
Bron:
https://www.security.nl/posting/866837/%27Politie+gebruikt+vaak+dwang+om+biometrisch+beveiligde+telefoon+te+ontgrendelen%27
Jaren geleden al gedaan door de ccc en door mythbusters ....
Help mij even.
Welke database?
Welke partij die er om bekend staat?
Net zoals hackers een andere occupatie zouden vinden als het niet zo laagdrempelig was voor ze om er genoeg succes uit te halen. Ook voor criminelen geldt: kosten/baten analyse.
https://engineering.nyu.edu/news/machine-learning-masters-fingerprint-fool-biometric-systems
DeepMasterPrints: Generating MasterPrints for Dictionary Attacks via Latent Variable Evolution. Philip Bontrager, Aditi Roy, Julian Togelius, et al. 2018 IEEE 9th International Conference on Biometrics Theory, Applications and Systems
https://arxiv.org/pdf/1705.07386
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
