Innovatrics: Penetrační testování biometrického ověřování identity

Zadání

Společnost Innovatrics nás pověřila nezávislým bezpečnostním testováním svého řešení Identity Verification (IDV) Toolkit, které slouží k digitálnímu ověřování identity uživatelů. Cílem bylo prověřit odolnost systému vůči pokročilým útokům využívajícím podvržené biometrické údaje a pokusům o obejití mechanismů detekce přítomnosti živé osoby (Liveness Detection).

Po dohodě s klientem jsme zvolili black-box penetrační testování, které simuluje postup skutečného útočníka bez přístupu ke zdrojovému kódu či interní dokumentaci. Testování se zaměřilo především na platformu Android, knihovnu Android Face Lite Library a její komunikaci se službou Digital Identity Service (DIS).

Naše řešení

Během 16 dnů intenzivního penetračního testování jsme analyzovali bezpečnost řešení pomocí reverzního inženýrství, statické a dynamické analýzy aplikace a simulovaných útoků s podvržením biometrických dat.

Naši etičtí hackeři se pokusili obejít bezpečnostní mechanismy několika způsoby. Testovali nahrazení obrazu ze skutečné kamery předem připraveným videem, manipulaci s biometrickými údaji přímo v paměti aplikace i podvržení obrazových snímků na úrovni nativních knihoven. Součástí testování byla také analýza síťové komunikace, autentizačních tokenů a ochranných mechanismů aplikace.

Přestože se nám podařilo překonat některé počáteční ochranné mechanismy a získat kontrolu nad pamětí klientské aplikace, žádný z realizovaných scénářů nevedl k úspěšnému obejití biometrického ověřování identity. Vícevrstvá bezpečnostní architektura řešení dokázala identifikovat pokusy o manipulaci a odmítnout podvržené údaje.

Výsledky testování poskytly společnosti Innovatrics nezávislé potvrzení odolnosti jejího řešení vůči testovaným typům útoků a pomohly posílit důvěru zákazníka v bezpečnost systému.

„V rámci jednoho z významných zákaznických projektů jsme potřebovali nezávisle ověřit odolnost našeho řešení pro ověřování identity vůči útokům využívajícím podvržené biometrické údaje (Injection Attacks). Společnost Citadelo jsme si vybrali pro její odborné zkušenosti, dobrou reputaci a schopnost realizovat testování v náročném časovém horizontu. Výsledky bezpečnostního hodnocení nám poskytly nezávislé potvrzení odolnosti našeho řešení a posílily důvěru zákazníka v jeho bezpečnost.“

Viktor Bielko, Product Manager, IDV Toolkit, Innovatrics

Zákazník

Innovatrics je slovenská technologická společnost, která se specializuje na vývoj biometrických řešení pro ověřování a identifikaci osob. Její technologie využívají rozpoznávání obličeje, otisků prstů a další biometrické metody k zabezpečení digitální identity. Řešení společnosti nacházejí uplatnění ve finančním sektoru, veřejné správě a dalších oblastech, kde je potřeba spolehlivé a bezpečné ověřování totožnosti.