スマートフォンの指紋認証をセロハンテープでハッキング

February 5, 2018 08:00
by 牧野武文

スマートフォンで使われている指紋認証。中国江蘇省の匿名エンジニアが、身近な文房具でハックするお手軽な方法を公開して話題になっていると、『中国日報網』が報じた。

指紋認証突破は難しい

指紋認証はいろいろな方法でハッキングできる。ミシガン大学の研究チームは、指紋をスキャンし、これをプリントしたシートで指紋認証が突破できることを実証した。だが、これで「指紋認証は危険」ということにはならない。なぜなら、ミシガン大学の手法では、銀イオンが含まれた導電性の特殊インクでプリントをしなければならないからだ。このような特殊インクを入手することは不可能ではないが、誰にでも手軽にできることではない。

ミシガン大学の研究チームが公開した指紋認証のハッキング方法。導電性の特殊インクが必要になるが、簡単な手順で指紋認証が突破できる

また「導電性のラテックス素材で指紋の型を取る」「寝ている間に本人の指を使う」という方法もよく知られているが、いずれの方法も「本人の指紋をどうやって入手するか」という問題が残る。

しかし、この匿名のエンジニアが公開した方法では、身近に手に入る物を使い、本人の指紋をどうやって入手するかという問題もクリアできることから、大きな話題になっている。

セロハンテープでハッキング

ハッキングの方法は2種類公開された。ひとつは指紋認証センサー部分に、透明フィルムを貼るという簡単な方法。これで本人に最低3回以上、指紋認証をしてもらう。こうすると本人の指紋がテープに転写され、以降は誰の指でも乗せるだけで、指紋認証が通るようになってしまうという。
そんな簡単な方法で可能なかと首をかしげる方も多いだろう。実際に一般的なセロハンテープで試してみると、指紋センサーにテープを貼った状態でも、指紋認証は問題なく通る。多くの指紋認証センサーは、静電容量方式で指紋を認識している。これは、指紋の凸部分が触れた部分の電極に電荷が溜まることを利用している。テープ程度であれば、直接指紋が触れなくても、テープ越しに触れている凸部分の電極に電荷が集まるのだと思われる。

ただしセロハンテープを貼ったiPhone 8に、登録されている指を置いて、何度か指紋認証を行い、指紋がテープの上に残っていることを確認してから、登録をしていない指を置いてみたが、指紋認証を突破することはできなかった。

このエンジニアは、Xiaomi 6、HUAWEI　Mate10、魅族pro6 plus、iPhone 6の4機種で実験をしてみた。Android 3機種はこの方法で簡単に他人の指で指紋認証を突破できた。iPhone 6はうまくいかなかったが、テープを貼った状態で指紋登録からやり直すと、他人の指でも解除できるようになったという。

（1）指紋センサー部分に新しい透明テープを貼る

（2）指紋を登録している指で、連続して３回以上指紋認証を行う。これで、テープの上に指紋が転写される

（3）登録していない指、他人の指でも指紋でロック解除ができるようになった

テープと導電性インク突破する

もうひとつの方法は、テープと導電性インクを利用する方法だ。まずテープに導電性インクを塗り、乾かしてからこれを指紋センサーに貼る。こうしてから、本人に指紋の登録をしてもらう。そうすると本人だけでなく、誰の指でも指紋認証が可能になるのだ。

多くの指紋認証は、正確に指紋が同一であるかどうかを判断しているわけではない。判別の速度をあげるために、差異が20％以内であれば同一と判断する仕組みになっている。

導電性インクを塗った場合、「導電性インクによる図案＋周囲の指紋」が指紋として登録されることになる。他人の指を使った場合でも、導電性インク部分は同一となり、違いは周囲の指紋部分だけだ。この指紋部分の違いが大きくなければ、差異が20％以内と判定され、同一の指紋だと判定される。

（1）もうひとつの方法は、テープに導電性インクを塗る

（2）このテープを指紋センサーに貼り、新規に指紋登録を行う

（3）導電性インクの模様と指紋が合わさった図像が指紋として登録される。
他人の指を乗せても、差異が20%以下になり、誰の指でも指紋認証が行えるようになる

指紋認証は万能ではない

もちろん、自分のスマホにテープが貼ってあったりすれば、誰もが不振に思うはずだ。しかし、iPhoneのホームボタンなどで、ボタンの形状と同じように丸くテープが貼られていたら、意外に見逃してしまうかもしれない。あるいは指紋センサーの保護フィルムだなどと言われれば、自分で貼ってしまう人もいるかもしれない。

この手法が悪用される可能性は、現実には極めて低いが、指紋認証セキュリティが万能ではないということを広く知らしめる意味はあると発言する専門家もいる。

パスコード、指紋、顔、声紋とさまざまな認証技術がスマートフォンに使われるようになっているが、いずれの技術も100％ではない。むしろ、どれも意外に簡単な方法でハッキングされてしまう。重要なのは、「スマホを肌身離さず身につけておく」ということだ。スマホは、もはや「情報を入れるお財布」になっている。デスクやテーブルの上に放置をして、その場を離れることが最も危険なことなのだ。

ニュースで学ぶ中国語

　
指紋密碼（zhiwen mima）：指紋パスワード。指紋認証が簡単な手法で突破できることが問題になりつつある。最近では、小麦粘土を使って指紋の型を取り、それで指紋認証を突破できたという報告もある。