iOS’ta Touch ID güvenlik ihlali.

Selam arkadaşlar bundan 4-5 ay önce keşfettiğim açığı apple’a mail olarak yolladım fakat. Bir defa sorunun tamamını anlatmam için dönüş yaptılar. ben anlattım ve daha dönüş sağlanmadı. gönderdiğim maili sizlere sunuyorum.

ilk yolladığım

On August 24, 2018 at 12:34:13 PM GMT, bozdemir.26@icloud.com wrote:

Merhabalar!

İsmim Barış. Bugün telefonumda bir özellik keşfettim veya bir güvenlik sorunu tespit ettim. Touch ID’de parmak izi tanımlarken iki ayrı parmak kullanarak. (Birisi bana birisi ise başkasına ait) parmak izi tanımladım ve ardından yeni tanımladığım dışındaki tüm izleri sildim. Şu anda telefonumu tek parmak izi kaydı ile iki parmak açabiliyor. Denediğim sürümler ise 12.0 ve 11.4. Benimle iletişime geçerseniz tam detaylı olarak anlatabilirim nasıl yaptığımı.

Barış Özdemir
+90 (531)
Eskişehir/Türkiye


iPhone’umdan gönderildi


verdikleri cevap.

Hello,

Thank you for contacting the Apple Product Security team. We take every report of a potential security issue seriously. This message is being sent to you by a security analyst who has reviewed your note.

Touch ID can be trained to recognize up to five different fingers. How the enrollment process is used and which fingers are presented to the sensor is up to the person controlling the device. Does the device exhibit a similar behavior when only one fingerprint is used during enrollment?

If you have any questions or concerns please feel free to let us know.

Best regards,
Akila
Apple Product Security

ve son mailim.

When defining finger prints to your device, in only one Touch ID process, two different fingers or two different persons finger can be defined to your devices fingerprint sensor so that after only one touch ID process two different person can open your phone with their fingerprints. I can send a video about this to you if you want.


düşünceleriniz nedir.

Sistemde bir hata olmadığını söylüyorlar ve haklılar.
Sen parmak zi tanımlarken 2 farklı insanın 2 farklı parmağını kullanırsan.
Açılış esnasında 2 farklı parmağı da tanıyıp açılması gayet normal.
Tek parmak tanımladığında farklı bir parmak ile TouchID güvenliği aşılmıyorsa sorun yoktur.
TouchID senin parmak izini almıyor.
Bir çok kere parmak izini ekrana farklı pozisyonlarda dokundurup algoritma ile tek yönlü imzalar oluşturuyor.
Eğer sen parmak izi tanımlarken tek parmak değil bir den çok parmak kullanırsan, touchid bunun aynı parmağın farklı kısımları ya da farklı pozisyonları olarak algılar.
Ve bu parmakları tekrar benzer pozisyonda dokundurduğunda aynı imza üretileceği için kilidi açar.

Sen sana verilen parmak izi tanımlama şartnamesinin dışında parmak izi tanımladığın için bu bir güvenlik ihlali sayılmaz.
Tıpkı senin pin kodunu başkasına söylediğinde bunun telefondan kaynaklı bir güvenlik açığı olmadığı gibi.

Ayrıca bu bahsettiğin şey bence çok iyi bir şeyi kanıtlıyor.
Apple gerçekten de parmak izi kaydı tutmuyor yoksa farklı parmaklar kullanarak parmak izi tanımladığında sistem bunu reddederdi.

Zaten amacı güvenlik olan birisi sadece kendi parmak izini tanımlar, eğer kendi parmağınızı tanımladınız ve eşinizin parmağı halen ekranı açıyorsa, ya da eşinizin parmak izini silmenize rağmen ekranı açıyorsa o zaman güvenlik açığı var diyebiliriz. Amacına uygun kullanıldığı sürece herhangi bir açık olmayacaktır zaten.