Una placa de 15 dólares basta para superar la seguridad de tu smartphone

El lector de huellas dactilares se ha convertido en uno de los pilares centrales que sustentan la seguridad de tu smartphone, aunque algunos modelos llevan ya un tiempo apostando por soluciones más avanzadas, como el iPhone de Apple que, como ya saben nuestros lectores habituales, utiliza un sistema de reconocimiento facial 3D que no es posible engañar utilizando fotografías o vídeos.

No hay duda de que ambos sistemas de seguridad tienen sus ventajas y sus desventajas cuando se utilizan en un smartphone, y que al final no existe una solución perfecta, pero la verdad es que superar un lector de huellas dactilares es mucho más fácil de lo que parece, y no es necesario utilizar tecnología avanzada ni especialmente cara.

Un grupo de expertos ha demostrado que es posible superar el lector de huellas dactilares de diferentes terminales basados en Android y iOS, entre los que se encuentran el Galaxy S10+, el iPhone SE, el OnePlus 7 Pro y el Xiaomi Mi 11 Ultra, utilizando un ataque de fuerza bruta con huellas dactilares conocido como «BrutePrint».

Para poder llevar a cabo este tipo de ataque se ha recurrido a una placa que tiene un coste de solo 15 dólares, y que integra una microcontroladora STM32F412 de STMicroelectronics,  un conmutador analógico bidireccional de doble canal conocido como RS2117, una tarjeta flash SD con 8 GB de capacidad de almacenamiento que contiene una enorme base de datos de huellas dactilares, y un conector de placa a placa que conecta la placa base del teléfono a la tarjeta impresa flexible del sensor de huellas dactilares.

Este tipo de ataque se aprovecha de vulnerabilidades que permiten realizar intentos ilimitados de identificación por huella dactilar, y a partir de ahí empieza a utilizar esa base de datos de huellas dactilares que contiene la placa para enviarlas al smartphone hasta que este se desbloquea. Sé lo que estáis pensando, ¿cómo es posible que se filtre mi huella dactilar? Quizá te sorprenda la respuesta, pero la verdad es que realmente no necesitan tu huella dactilar para que este ataque funcione.

La clave del asunto está en que el sistema de autenticación por huella dactilar tiene un margen o umbral de referencia que es relativamente amplio, lo que significa que no exige una coincidencia exacta a nivel de huella dactilar, sino que basta con que la imagen de esta sea considerada como una aproximación aceptable. Dicho de otra forma, si en esa base de datos se encuentra una huella dactilar parecida a la nuestra, el ataque tendrá éxito y la seguridad de nuestro smartphone se verá comprometida.

Por otro lado, hay que destacar también que con «BruteForce» se realiza una manipulación para que la tasa de aceptación falsa sea más alta, lo que facilita enormemente el margen de éxito al utilizar esas imágenes parecidas a nuestra huella dactilar real. Obviamente, para poder realizar este tipo de ataques no solo es necesario contar con esa placa, sino que también hay que conectarla al smartphone y convertir su base de huellas dactilares en una especie de «diccionario» utilizable, pero esto no es nada especialmente complicado para personas que tengan unos conocimientos mínimos.