Le lecteur d’empreintes digitales du Samsung Galaxy S5 est compromis (MàJ)

Mise à jour : Comme prévu les chercheurs ont dévoilé la semaine dernière les détails de leurs travaux (.pdf) lors de la conférence Black Hat. Ils y révèlent l'existence d'un fichier /data/dggraw.bmp stocké sur les téléphones Android, dans un dossier non protégé et non chiffré. "N'importe quel processus ou application non privilégié peut voler les empreintes de l'utilisateur en accédant à ce fichier", qui contient une image de l'empreinte, re-générée à chaque scan. L'image devient exploitable après une petite manipulation. 

Les systèmes mis à jour n'ont plus cette faille, confirmée au moins sur Galaxy S5 et HTC One Max.

Article du 23 avril 2015 –

Peut-on faire confiance à son téléphone mobile pour garder jalousement en lui toutes les informations biométriques qu'il collecte ? Comme Apple avant lui avec son système Touch ID, Samsung a mis en avant la sécurité pour présenter le lecteur d'empreintes digitales désormais intégré aux smartphones de la marque depuis le Samsung Galaxy S5. Les données biométriques sont en effet collectées grâce au lecteur du téléphone, mais stockée uniquement sous la forme d'une signature électronique chiffrée à l'aide d'une puce dédiée. Lorsqu'une application ou un site internet souhaite identifier l'utilisateur avec son empreinte digitale, c'est la signature calculée par la puce qui est comparée à celle stockée, et non les caractéristiques biométriques elles-mêmes.

Mais deux chercheurs de la la firme de sécurité FireEye affirment avoir trouvé le moyen d'intercepter l'empreinte digitale au moment où elle voyage entre le lecteur d'empreintes et la puce dédiée. Selon Forbes, qui a interviewé les deux hackers, la technique peut être déployée à l'aide d'un malware qui bénéficierait d'un "accès au niveau système", ou par n'importe qui accède au téléphone en tant que root.

CHAQUE FOIS QUE VOUS TOUCHEZ LE BOUTON

"Si l'assaillant peut casser le noyau [du système Android], même s'il ne peut pas accéder aux données d'empreintes digitales stockées dans la zone de confiance, il peut lire directement l'empreinte digitale à n'importe quel moment", expliquent Tao Wei et Yulong Zhang, qui présenteront leurs travaux cette semaine à la conférence de sécurité informatique RSA. "Chaque fois que vous touchez le capteur d'empreintes digitales, l'assaillant peut voler votre empreinte".

"Vous pouvez obtenir les données, et depuis les données vous pouvez générer l'image de votre empreinte digitale". Dès lors, il devient possible d'accéder à n'importe quel contenu et application qui ne serait protégé que par l'empreinte digitale. 

D'où l'importance de ne pas reposer uniquement sur une information biométrique qui ne peut faire l'objet d'aucune révocation (et qui peut être obtenue grâce à de simples photos de vos doigts), mais de ne la voir que comme un complément de sécurité à d'autres méthodes d'identification, comme un bon vieux mot de passe, un code PIN, ou un SMS de confirmation.

La vulnérabilité aurait été corrigée dans Android 5.0 et supérieurs, mais Samsung s'est pour le moment refusé à tout commentaire, se réservant une période d'enquête sur les allégations des chercheurs.