นักวิจัยพบช่องโหว่ที่สำคัญในเซ็นเซอร์ลายนิ้วมือบนหน้าจอแบบออปติคอลผู้โจมตีได้รับอนุญาตให้ปลดล็อกอุปกรณ์ทันที

ที่มา VIVO X21 - TheVerge

เซ็นเซอร์ลายนิ้วมือบนหน้าจอดูเหมือนจะเป็นเทรนด์ที่กำลังจะเกิดขึ้นในสมาร์ทโฟน เซ็นเซอร์ลายนิ้วมือทั่วไปมีความน่าเชื่อถือมากในช่วงหลายปีที่ผ่านมา แต่ยังคงถูก จำกัด ด้วยการออกแบบ ด้วยเซ็นเซอร์ลายนิ้วมือทั่วไปคุณจะต้องค้นหาเซ็นเซอร์จากนั้นปลดล็อกโทรศัพท์ของคุณ เมื่อวางสแกนเนอร์ไว้ใต้จอแสดงผลการปลดล็อกอุปกรณ์ให้ความรู้สึกเป็นธรรมชาติมากขึ้น เทคโนโลยีนี้ยังอยู่ในช่วงวัยเด็กและยังไม่เติบโตเต็มที่ แต่มี บริษัท เพียงไม่กี่แห่งเช่น OnePlus ได้วางจำหน่ายโทรศัพท์ที่มีเซ็นเซอร์ลายนิ้วมือบนหน้าจอแล้ว

เซ็นเซอร์ออปติกที่ใช้ในเครื่องสแกนลายนิ้วมือบนหน้าจอส่วนใหญ่ในปัจจุบันยังไม่แม่นยำนักและนักวิจัยบางคนยังค้นพบช่องโหว่ใหญ่ในตัวพวกเขาซึ่งเพิ่งได้รับการแก้ไขเมื่อเร็ว ๆ นี้ ช่องโหว่ที่ค้นพบโดย ห้องทดลอง Xuanwu ของ Tencent ให้ผู้โจมตีผ่านฟรีทำให้พวกเขาข้ามหน้าจอล็อกได้อย่างสมบูรณ์

หยางหยู นักวิจัยจากทีมเดียวกันกล่าวว่านี่เป็นปัญหาที่เกิดขึ้นอย่างต่อเนื่องในทุกโมดูลเครื่องสแกนลายนิ้วมือบนหน้าจอที่พวกเขาทดสอบและยังเสริมว่าช่องโหว่ดังกล่าวเป็นความผิดพลาดในการออกแบบของเซ็นเซอร์ลายนิ้วมือบนหน้าจอ

Threatpost รายงานว่า Huawei ได้แก้ไขช่องโหว่ในเดือนกันยายนพร้อมกับผู้ผลิตรายอื่น

Exploit ทำงานอย่างไร?

เซ็นเซอร์ลายนิ้วมือบนหน้าจอหลายตัวใช้เซ็นเซอร์ออปติก เซ็นเซอร์เหล่านี้มักจะถ่ายภาพความละเอียดต่ำเพื่อแก้ไขข้อมูล เมื่อใดก็ตามที่วางนิ้วบนสแกนเนอร์ไฟพื้นหลังของจอแสดงผลจะสว่างขึ้นที่บริเวณนั้นและเซ็นเซอร์ออปติกจะติดตามลายนิ้วมือ

การสัมผัสสถานที่เฉพาะนั้นบนจอแสดงผลจะทิ้งรอยนิ้วมือไว้อย่างแน่นอนดังนั้นนักวิจัยจึงพบว่าการวางวัสดุสะท้อนแสงที่ทึบแสงเหนือเซ็นเซอร์บนหน้าจอเพื่อปลดล็อกอุปกรณ์ที่กำหนด วัสดุสะท้อนแสงนี้เมื่อสัมผัสกับสแกนเนอร์จะสะท้อนแสงจำนวนมากกลับเข้ามา วิธีนี้จะทำให้เครื่องสแกนออปติคัลซึ่งปลดล็อกโทรศัพท์โดยใช้ลายนิ้วมือที่ตกค้างเป็นลายนิ้วมือจริง

เครื่องสแกนลายนิ้วมือปกติที่ใช้เซ็นเซอร์ความจุจะไม่มีช่องโหว่ เป็นความจริงที่ทั้งเซ็นเซอร์ออปติกและความจุจะขึ้นอยู่กับการสร้างภาพ แต่วิธีการของพวกเขาต่างกัน เครื่องสแกนแบบ Capacitance ใช้กระแสไฟฟ้าแทนแสง

แก้ไขปัญหา

นักวิจัยขณะพูดคุยกับ Threatpost ระบุว่าพวกเขาค้นพบช่องโหว่ในเดือนกุมภาพันธ์และแจ้งให้ผู้ผลิตทราบทันที ตั้งแต่นั้นมาผู้ผลิตโทรศัพท์ได้ปรับปรุงอัลกอริทึมการระบุตัวตนเพื่อแก้ไขการใช้ประโยชน์

สำหรับผู้ใช้ทั่วไปสิ่งนี้ไม่น่าจะเป็นปัญหาเนื่องจากการใช้ประโยชน์ไม่ใช่การโจมตีจากระยะไกล ผู้โจมตีจะต้องเข้าถึงโทรศัพท์ของคุณ แต่การใช้ประโยชน์นี้อาจเกี่ยวข้องกับผู้ที่มีข้อมูลที่ละเอียดอ่อน