Philip Schiller d'Apple a dévoilé la fonction Face ID en septembre. Moins d'une semaine après la sortie de l'iPhone X, une entreprise de sécurité vietnamienne a déclaré avoir piraté Face ID à l'aide d'un masque spécialement conçu.
Lorsque l'iPhone X a été lancé en septembre 2017, Apple a dévoilé sa fonction Face ID qui repose sur la reconnaissance faciale pour déverrouiller l'écran. Cette fonction était la plus excitante et la plus intéressante pour les utilisateurs d'Apple, car ils pensaient enfin que personne ne pourrait jamais pirater leur téléphone avec un pouce ou un motif.
À l'époque, Phil Schiller, vice-président senior du marketing mondial d'Apple, avait déclaré que des « fabricants de masques professionnels et des maquilleurs d'Hollywood » avaient aidé à « entraîner les réseaux neuronaux » de Face ID, rendant la sécurité des téléphones plus fiable que jamais et presque impossible à pirater.
Considérant ce « défi accepté », la société de sécurité technologique vietnamienne Bkav a utilisé l'impression 3D, le moulage en silicone et la conception artisanale pour développer un masque qui prétend réussir à tromper FaceID pour déverrouiller n'importe quel iPhone X.
Mesures anti-usurpation d'identité de Face ID.
Comme indiqué dans le livre blanc d'Apple, Face ID utilise un système de caméra TrueDepth pour cartographier précisément la géométrie d'un visage et le reconnaître. Après avoir détecté la direction de votre regard, les détails sont traités par un réseau neuronal, permettant de déverrouiller un téléphone d'un simple coup d'œil.
En plus de fonctions telles que le suivi des changements d'apparence faciale, Apple propose également un logiciel anti-usurpation d'identité pour empêcher toute supercherie avec Face ID. Le dispositif anti-usurpation fonctionne en utilisant une séquence aléatoire d'images 2D et une carte de profondeur capturées par la caméra. Cette séquence est convertie en données mathématiques brutes, puis comparée à l'image initiale de l'utilisateur enregistrée.
Démasquer les faiblesses de Face ID
Les chercheurs de Bkav ont commencé à tester Face ID dès que l'iPhone X leur a été livré la semaine dernière. Dans le cadre de l'expérience de preuve de concept de Bkav, l'équipe a configuré un nouvel iPhone X avec Face ID en sélectionnant une règle "pas de code", permettant d'utiliser uniquement le visage artificiel pour déverrouiller le téléphone.
Ngo Tuan Anh, vice-président de la cybersécurité chez Bkav, a expliqué que le masque était « spécialement conçu en combinant l'impression 3D avec le maquillage et les images 2D », ainsi que des « traitements spéciaux sur les joues et autour du visage, là où il y a de grandes surfaces de peau, pour tromper l'IA de Face ID ». Au total, il a coûté 150 $ à fabriquer. Bkav déclare que ses chercheurs ont utilisé une « imprimante 3D populaire » pour le cadre facial, avec un nez « fabriqué par un artiste à la main ».
Placé sous un drap à moins d'un mètre de l'iPhone X, le masque a réussi à déverrouiller le téléphone dès que le matériau a été retiré. Bien que cela puisse inquiéter les utilisateurs réguliers d'iPhone X, Bkav souligne que les cibles potentielles sont plus susceptibles d'être des « milliardaires, des dirigeants de grandes entreprises » et des politiciens.
Fabrication et test du masque
Les chercheurs de Bkav affirment qu'ils n'ont eu besoin que d'« une moitié de visage pour créer le masque. C'était même plus simple que nous l'avions imaginé. » L'équipe a suggéré que, puisque Apple a sorti l'iPhone X un an plus tôt, « ils n'ont pas effectué d'estimation scientifique et sérieuse avant de décider de remplacer Touch ID par Face ID. »
Bkav ajoute : « Prenez le nez de notre masque par exemple, sa création n'est pas compliquée du tout. Lorsque nous avons constaté que le nez ne répondait pas parfaitement à nos exigences, nous l'avons corrigé nous-mêmes, et le piratage a fonctionné. »
« IL EST DONC FACILE DE FABRIQUER LE MASQUE ET DE BATTRE FACE ID. »
IA et biométrie piratables
Ce n'est pas la première fois que l'impression 3D est utilisée pour pirater un système de sécurité biométrique de téléphone ou exploiter les faiblesses des systèmes de reconnaissance IA.
Le professeur Anil Jain, de l'université d'État du Michigan, a aidé la police à déverrouiller le téléphone d'une victime de meurtre sécurisé par un scanner d'empreintes digitales. L'équipe de Jain a utilisé les empreintes digitales du casier judiciaire pour imprimer en 3D des moules pour des doigts artificiels identiques à ceux de la victime.
Plus tôt ce mois-ci, le système de reconnaissance d'objets IA de Google a été trompé par des chercheurs du MIT qui lui ont fait identifier à tort un modèle de tortue spécialement imprimé en 3D comme un fusil.