Galaxy S10, lettore di impronte poco sicuro?

Una delle novità introdotte da Samsung con i nuovi top di gamma (Galaxy S10e escluso) è il lettore di impronte digitali in-display ad ultrasuoni. Questo sensore biometrico è considerato più sicuro e veloce di quello basato su tecnologia ottica. Un utente ha invece dimostrato che il lettore del Galaxy S10 può essere ingannato con una stampa 3D dell’impronta.

Oggi esistono tre tipi di lettori di impronte digitali: capacitivo, ottico e ad ultrasuoni. Il primo è quello più diffuso che viene solitamente posizionato sul retro dello smartphone (nel Galaxy S10e è sul lato, sotto il pulsante di accensione). Il sensore ottico si può trovare invece in molti dispositivi di fascia alta, sotto il vetro che protegge lo schermo. In questo caso viene scattata una foto per rilevare le valli e le creste dell’impronta, successivamente confrontata con quella memorizzata. È possibile però utilizzare un’immagine 2D in alta risoluzione dell’impronta per sbloccare lo smartphone.

Il sensore ad ultrasuoni sfrutta invece gli impulsi ad ultrasuoni emessi da un trasmettitore e rilevati da un ricevitore. Alcuni degli impulsi sono assorbiti dal dito, mentre altri tornano indietro. Ciò permette di creare un modello 3D e di identificare l’impronta digitale in maniera accurata e rapida. Tuttavia sono sufficienti alcuni “trucchi” per ingannare il lettore del Galaxy S10.

L’utente darkshark ha innanzitutto scattato una foto della sua impronta su un bicchiere di vetro. L’immagine è stata quindi modificata con Photoshop ed esportata in Autodesk 3ds Max, con il quale è stato creato un modello 3D. Quest’ultimo ha quindi permesso di ottenere una versione 3D in resina dell’impronta con la stampante AnyCubic Photon LCD. Come si può vedere nel video, il sensore ad ultrasuoni del Galaxy S10 ha riconosciuto perfettamente l’impronta.

I attempted to fool the new Samsung Galaxy S10’s ultrasonic fingerprint scanner by using 3d printing. I succeeded.

Un malintenzionato potrebbe teoricamente scattare di nascosto una foto dell’impronta con una reflex dotata di zoom in un luogo pubblico, rubare lo smartphone della vittima e accedere ai suoi dati personali. Se l’app bancaria sfrutta solo l’autenticazione tramite impronta digitale è molto facile svuotare il conto in pochi minuti.