Innovatrics: Testovanie bezpečnosti biometrického overovania identity

Zadanie

Spoločnosť Innovatrics nás poverila nezávislým bezpečnostným testovaním svojho riešenia Identity Verification (IDV) Toolkit, ktoré slúži na digitálne overovanie identity používateľov. Cieľom bolo preveriť odolnosť systému voči pokročilým útokom využívajúcim podvrhnuté biometrické údaje a pokusom o obídenie mechanizmov detekcie prítomnosti živej osoby (Liveness Detection).

Po dohode s klientom sme zvolili black-box penetračné testovanie, ktoré simuluje postup reálneho útočníka bez prístupu k zdrojovému kódu či internej dokumentácii. Testovanie sa zameralo predovšetkým na platformu Android, knižnicu Android Face Lite Library a jej komunikáciu so službou Digital Identity Service (DIS).

Naše riešenie

Počas 16 dní intenzívneho penetračného testovania sme analyzovali bezpečnosť riešenia pomocou reverzného inžinierstva, statickej a dynamickej analýzy aplikácie a simulovaných útokov s podvrhnutím biometrických dát.

Naši etickí hackeri sa pokúsili obísť bezpečnostné mechanizmy viacerými spôsobmi. Testovali nahradenie obrazu zo skutočnej kamery vopred pripraveným videom, manipuláciu s biometrickými údajmi priamo v pamäti aplikácie aj podvrhnutie obrazových snímok na úrovni natívnych knižníc. Súčasťou testovania bola tiež analýza sieťovej komunikácie, autentizačných tokenov a ochranných mechanizmov aplikácie.

Hoci sa nám podarilo prekonať niektoré počiatočné ochranné mechanizmy a získať kontrolu nad pamäťou klientskej aplikácie, ani jeden z realizovaných scenárov neviedol k úspešnému obídeniu biometrického overovania identity. Viacvrstvová bezpečnostná architektúra riešenia dokázala identifikovať pokusy o manipuláciu a odmietnuť podvrhnuté údaje.

Výsledky testovania poskytli spoločnosti Innovatrics nezávislé potvrdenie odolnosti jej riešenia voči testovaným typom útokov a pomohli posilniť dôveru zákazníka v bezpečnosť systému.

„V rámci jedného z významných zákazníckych projektov sme potrebovali nezávisle overiť odolnosť nášho riešenia na overovanie identity voči útokom využívajúcim podvrhnuté biometrické údaje (Injection Attacks). Spoločnosť Citadelo sme si vybrali pre jej odborné skúsenosti, dobrú reputáciu a schopnosť zrealizovať testovanie v náročnom časovom horizonte. Výsledky bezpečnostného hodnotenia nám poskytli nezávislé potvrdenie odolnosti nášho riešenia a posilnili dôveru zákazníka v jeho bezpečnosť.“

Viktor Bielko, Product Manager, IDV Toolkit, Innovatrics

Zákazník

Innovatrics je slovenská technologická spoločnosť, ktorá sa špecializuje na vývoj biometrických riešení na overovanie a identifikáciu osôb. Jej technológie využívajú rozpoznávanie tváre, odtlačkov prstov a ďalšie biometrické metódy na zabezpečenie digitálnej identity. Riešenia spoločnosti nachádzajú uplatnenie vo finančnom sektore, verejnej správe a ďalších oblastiach, kde je potrebné spoľahlivé a bezpečné overovanie totožnosti.