安全公司研究人員用150美元面具解鎖iPhone X的Face ID
圖片來自網路
據國外安全公司研究人員表示，他們使用了150美元的面具來攻破鎖定蘋果新iPhone X的Face ID面部識別系統。
越南安全公司Bkav的研究人員在2009年展示了一種繞過東芝和聯想筆記型電腦的面部認證的方法。上週五，公司研究人員發佈了一個視頻，展示了他們用一個訂制的面具展示iPhone X的Face ID解鎖， 而不是蘋果一再堅持的現場人臉是唯一能夠滿足面部識別系統要求的條件。
圖片來自網路
研究人員表示，他們使用二維和三維印表機設計他們的面具，用矽膠材料手工製作鼻子。面具的其他功能使用二維圖像在臉頰上和臉部周圍的特殊處理，
一位元Bkav代表在電子郵件中寫道：在沒有一定的安全知識的情況下製造正確的面具是相當困難的。我們可以欺騙蘋果的AI，因為我們瞭解他們的AI如何工作以及如何繞過它。“
我們一直在質疑研究人員所掌握的關鍵細節，以評估這些結果是否代表蘋果公司多年來開發的認證系統的真正核心意義。
圖片來自網路
另一個重要的考慮是如何做面部膜具。例如研究人員是否必須獲得面具所基於的真實面部，人類的目標是坐著測量還是採取模具副科，或者另一方面，是否使用了可以在沒有目標或同意的情況下拍攝的圖像或視頻來製作的面具，
Bkav代表介紹這些和其他細節。正如下面的交流所表明的那樣，有時直接回避了這些問題：
媒體：剛剛註冊真實面孔之後，您是否可以使用面具立即解鎖iPhone？問的原因是，根據蘋果公司所提到，Face ID會隨著時間的推移進行額外的捕捉，並用新計算的演算法表示增加其註冊的Face ID資料。你能準確地描述你如何進行這個實驗嗎？
Bkav：Apple Face ID學習臉部的新圖像並不重要，因為它不會影響Apple Face ID有效的安全措施。但是，我們知道這個學習意義，因此為了給出更有說服力的結果，我們在製作面具的時候應用了絕對沒有密碼的嚴格規定。
媒體：解釋你的工作真正意義所為。
Bkav：我們是領先的網路安全公司，在沒有一定的安全知識的情況下製造“正確”的面具是相當困難的。正如寫作中提到的那樣，我們可以攻破蘋果的AI，因為我們瞭解他們的AI如何工作以及如何繞過它。和2008年一樣，我們是第一個表明人臉識別不是筆記型電腦有效的安全措施。
媒體：人臉的尺寸是否需要？如果沒有目標，他們將如何獲得？
Bkav：第一點是，一切都比你想像的要容易得多。你可以用你自己的iPhone X試試，即使你覆蓋了一半的臉，手機也能識別你。這意味著識別機制並不像你想像的那麼嚴格，蘋果似乎太依賴Face ID的AI了。我們只需要一個半臉來製作面具。這比我們自己想像的更簡單。蘋果這樣做不是很好。我記得讀過一篇關於Mashable的文章，蘋果說iPhone X已經計畫在2018年推出，但是公司決定在一年前發佈。這表明他們在決定用人臉ID取代Touch ID之前沒有進行科學的認真評估。第二點是，在網路安全方面，我們稱之為概念證明，對於雙方，駭客和用戶都是有用的。駭客，他們可以找到一個更簡單的方法來利用使用者的設備基於這樣的PoC與用戶一起，如果他們知道這種可能性，他們將不會使用該功能來保證自己的安全。就像KRACK攻擊一樣，要成功利用這個攻擊也不是件容易的事，但是使用者需要儘快更新補丁，因為威脅是真實的。是需要知道的問題，因為他們的設備是值得非法解鎖的嘗試。對普通用戶來說，開發是困難的，但對於專業用戶來說很簡單。
媒體：面具的近似成本是多少？
Bkav：約150美元。
媒體：構建面具需要多長時間，包括開發與其生產相關的3D模型的時間？
Bkav：在11月5日收到iPhone X之後，我們開始研究它，包括3D模型和其他資產。
媒體：採用了哪些技術來製作與3D列印部分相關的3D模型？
Bkav：我們使用了流行的3D印表機。鼻子是由手工藝術家製作的。我們使用二維列印的其他部分（類似於我們9年前攻破人臉識別）。皮膚也是手工製作來欺騙蘋果的AI系統。
媒體：誰會成為這種攻擊的目標？
Bkav：潛在目標不是常規使用者，但億萬富翁，大公司領導，國家領導人和聯邦調查局等代理人需要瞭解Face ID的問題。安全單位的競爭對手，公司的商業競爭對手，甚至國家都可能從我們的PoC中受益。關於3D掃描和列印，現在簡單，將來會更加簡單。我們可能會使用具有3D掃描功能的智慧手機（如Sony XZ1）; 或者用3D掃描器建立一個房間，幾秒鐘就可以完成掃描（這裡是一個3D掃描的例子）。一個更簡單的方法是基於照片，藝術家從它的照片製作一個東西。以我們面具的鼻子為例，它的創作根本不複雜。我們有一位藝術家先用矽膠製作。然後，當我們發現鼻子沒有完全滿足我們的需求時，我們用自己的方式來修復它，然後就工作了。這就是為什麼鼻子左側有一個顏色不同的部分（附圖）。所以製作面具和攻破面部識別碼很容易。在這裡我想重申，我們的實驗是一種概念驗證，其目的是證明一個原則，其他問題將在以後研究。此外，由於許多記者想要更多地瞭解我們的實驗，計畫在下周初舉行國際新聞發佈會並進行現場直播。在這次會議中，您的任何進一步的問題，以及在這封電子郵件中未被查明的問題都將得到明確和滿意的答覆。詳細的時間和持續時間將很快提供。目前，我希望品質保證及以上資訊在某種程度上是有用的。
圖片來自網路
閱讀答覆的一種方式表明，研究人員和藝術家需要目標的説明來創建面具，但是在將來，研究人員認為可以設計類似的面具，而只需要借助3D掃描或沒有目標的知識或同意可能拍攝的照片。如果這個解釋是正確的，那麼它破壞了蘋果公司的觀點，即只有一張真人臉才能用來解鎖Face-ID功能的手機。但是需要目標説明的駭客仍然會建議暫時的臉部識別仍然相對安全。
圖片來自網路
Bkav的研究人員應該公佈一個更長的視頻，記錄製作面具所需要的東西，以及是否能夠在登記真實面孔後立即騙過Face ID。在此之前，這是不可能的，如果這是一個真正的駭客。
本文由科技大偵探原創 未經授權轉載必究
訂閱本頭條號關注更多精彩內容
你能準確地描述你如何進行這個實驗嗎？Bkav：Apple Face ID學習臉部的新圖像並不重要，因為它不會影響Apple Face ID有效的安全措施。但是，我們知道這個學習意義，因此為了給出更有說服力的結果，我們在製作面具的時候應用了絕對沒有密碼的嚴格規定。
媒體：解釋你的工作真正意義所為。
Bkav：我們是領先的網路安全公司，在沒有一定的安全知識的情況下製造“正確”的面具是相當困難的。正如寫作中提到的那樣，我們可以攻破蘋果的AI，因為我們瞭解他們的AI如何工作以及如何繞過它。和2008年一樣，我們是第一個表明人臉識別不是筆記型電腦有效的安全措施。
媒體：人臉的尺寸是否需要？如果沒有目標，他們將如何獲得？
Bkav：第一點是，一切都比你想像的要容易得多。你可以用你自己的iPhone X試試，即使你覆蓋了一半的臉，手機也能識別你。這意味著識別機制並不像你想像的那麼嚴格，蘋果似乎太依賴Face ID的AI了。我們只需要一個半臉來製作面具。這比我們自己想像的更簡單。蘋果這樣做不是很好。我記得讀過一篇關於Mashable的文章，蘋果說iPhone X已經計畫在2018年推出，但是公司決定在一年前發佈。這表明他們在決定用人臉ID取代Touch ID之前沒有進行科學的認真評估。第二點是，在網路安全方面，我們稱之為概念證明，對於雙方，駭客和用戶都是有用的。駭客，他們可以找到一個更簡單的方法來利用使用者的設備基於這樣的PoC與用戶一起，如果他們知道這種可能性，他們將不會使用該功能來保證自己的安全。就像KRACK攻擊一樣，要成功利用這個攻擊也不是件容易的事，但是使用者需要儘快更新補丁，因為威脅是真實的。是需要知道的問題，因為他們的設備是值得非法解鎖的嘗試。對普通用戶來說，開發是困難的，但對於專業用戶來說很簡單。
媒體：面具的近似成本是多少？
Bkav：約150美元。
媒體：構建面具需要多長時間，包括開發與其生產相關的3D模型的時間？
Bkav：在11月5日收到iPhone X之後，我們開始研究它，包括3D模型和其他資產。
媒體：採用了哪些技術來製作與3D列印部分相關的3D模型？
Bkav：我們使用了流行的3D印表機。鼻子是由手工藝術家製作的。我們使用二維列印的其他部分（類似於我們9年前攻破人臉識別）。皮膚也是手工製作來欺騙蘋果的AI系統。
媒體：誰會成為這種攻擊的目標？
Bkav：潛在目標不是常規使用者，但億萬富翁，大公司領導，國家領導人和聯邦調查局等代理人需要瞭解Face ID的問題。安全單位的競爭對手，公司的商業競爭對手，甚至國家都可能從我們的PoC中受益。關於3D掃描和列印，現在簡單，將來會更加簡單。我們可能會使用具有3D掃描功能的智慧手機（如Sony XZ1）; 或者用3D掃描器建立一個房間，幾秒鐘就可以完成掃描（這裡是一個3D掃描的例子）。一個更簡單的方法是基於照片，藝術家從它的照片製作一個東西。以我們面具的鼻子為例，它的創作根本不複雜。我們有一位藝術家先用矽膠製作。然後，當我們發現鼻子沒有完全滿足我們的需求時，我們用自己的方式來修復它，然後就工作了。這就是為什麼鼻子左側有一個顏色不同的部分（附圖）。所以製作面具和攻破面部識別碼很容易。在這裡我想重申，我們的實驗是一種概念驗證，其目的是證明一個原則，其他問題將在以後研究。此外，由於許多記者想要更多地瞭解我們的實驗，計畫在下周初舉行國際新聞發佈會並進行現場直播。在這次會議中，您的任何進一步的問題，以及在這封電子郵件中未被查明的問題都將得到明確和滿意的答覆。詳細的時間和持續時間將很快提供。目前，我希望品質保證及以上資訊在某種程度上是有用的。
圖片來自網路
閱讀答覆的一種方式表明，研究人員和藝術家需要目標的説明來創建面具，但是在將來，研究人員認為可以設計類似的面具，而只需要借助3D掃描或沒有目標的知識或同意可能拍攝的照片。如果這個解釋是正確的，那麼它破壞了蘋果公司的觀點，即只有一張真人臉才能用來解鎖Face-ID功能的手機。但是需要目標説明的駭客仍然會建議暫時的臉部識別仍然相對安全。
圖片來自網路
Bkav的研究人員應該公佈一個更長的視頻，記錄製作面具所需要的東西，以及是否能夠在登記真實面孔後立即騙過Face ID。在此之前，這是不可能的，如果這是一個真正的駭客。
本文由科技大偵探原創 未經授權轉載必究
訂閱本頭條號關注更多精彩內容