腾讯极客攻破iPhone刷脸解锁，凭一副眼镜，转走熟睡用户的钱

允中 2019-08-11 12:35:29 来源：量子位

眼镜男女，你的刷脸有漏洞

允中发自凹非寺

量子位报道 | 公众号 QbitAI

Face ID，苹果iPhone最先进的刷脸解锁方式，也一直以3D识别更安全而著称。

相比广大安卓阵线的2D刷脸识别，iPhone用了更贵的传感器，能够实现更周密强大的活体识别，保证用户在闭眼情况下不会被解锁手机。

但是，就在今年白帽黑客大会上，向来以安全著称的iPhone刷脸，还是被一副简单的眼镜攻破了。

而且对于那些戴眼镜的iPhone用户，Face ID可能存在一直未被发现的漏洞。

此次破解荣誉，属于腾讯安全玄武实验室的安全研究员马卓。

戴眼镜的漏洞

最初，腾讯安全研究员的核心是刷脸解锁中的“活体检测”，即在刷脸过程中，需要用户看一眼才能解锁。

于是马卓专门研究了活体检测中的眼睛扫描原理，最后发现：

活体检测对人眼的处理，最终会抽象为黑色区域（人眼）上嵌上白点（虹膜）。

而如果用户戴上眼镜，人眼的处理方式就会发生变化，Face ID不再从“人眼”提取信息，活体检测就存在空子可钻。

于是腾讯安全研究员，基于这种空子，打造了一款眼镜。

该眼镜镜片上贴有黑色胶带，黑胶内又嵌有白色胶带，成功仿造了人眼识别信息，最终成功解锁熟睡用户的iPhone，并进一步转走他支付账户中的钱。

但即便如此，要实现类似对Face ID的攻破依然不容易，因为现实“作案”条件很难。

这个Face ID的用户得处于“无意识”状态，还不能在戴这副特殊眼镜的过程中吵醒他。

所以，广大iPhone用户实际不用担心，毕竟能符合“作案”条件的人，一般也不用如此大费周章搞副眼镜才能转走你的钱。

但出于安全攻防角度，腾讯安全的极客还是提供了一种可能攻击的方式。

这也有利于业界更多关注活体识别潜在的缺陷。

马卓也建议，生物识别公司可以为相机添加身份认证，并增加视频和音频综合检测的权重。

最后，再小小介绍一下此次闪耀美国极客大会的腾讯安全研究员：马卓。

他是腾讯安全玄武实验室的安全研究员，被称为“乱入白帽黑客界的炼金术师”，目前主要从事嵌入式安全、固件逆向等方向的研究。

— 完 —