指紋情報をスワイプ音から再現する技術「PrintListener」が登場、部分指紋による認証は最大で28％が突破可能

スマートフォンのロック解除や銀行の振り込みなどに用いられる「指紋認証」は、2032年には1000億円規模の市場価値を持つと考えられています。技術の普及に伴い、「指紋盗難」に気をつけて手の詳細な写真はあまり表に出さないなど、気をつける企業も出てきていますが、アメリカと中国の共同研究で、「スワイプ時に発生する摩擦音」から指紋情報を再現できることが明らかになりました。
PrintListener: Uncovering the Vulnerability of Fingerprint Authentication via the Finger Friction Sound
(PDFファイル)https://www.ndss-symposium.org/wp-content/uploads/2024-618-paper.pdf

Your fingerprints can be recreated from the sounds made when you swipe on a touchscreen — Chinese and US researchers show new side channel can reproduce fingerprints to enable attacks | Tom's Hardware
https://www.tomshardware.com/tech-industry/cyber-security/your-fingerprints-can-be-recreated-from-the-sounds-made-when-you-swipe-on-a-touchscreen-researchers-new-side-channel-attack-can-reproduce-partial-fingerprints-to-enable-attacks
今回の研究は華中科技大学、武漢大学、清華大学、コロラド大学デンバー校の研究者が共同で行ったもの。研究者らは、サイドチャネル攻撃「PrintListener」と名付けています。
「PrintListener」攻撃がどのように行われるかを示したのが以下の図。まず、ユーザーがスマートフォンでスワイプ操作を行うと、その音を検出・分析して、指紋情報を再現します。すると得られた指紋を用いて、アクセスコントロールを得たり、決済を行ったり、個人情報を抜き出したりできます。

スマートフォンを操作したときの音は、端末そのものを伝わってマイクに拾われたり、聞こえる音として伝わったりします。

取得された音は、まずノイズや背景音を取り除いてスワイプ動作で発生した音だけを抽出する前処理が行われます。続いて、スペクトル分析などを行った上で指紋パターンを検出します。指紋パターンが見つかっても終わりではなく、この情報をもとに「パターンマスター指紋」の生成が行われます。

生体認証では、本人をどれぐらい的確に検出して承認するか、他人による試行を検出してはじくかが重要になってきます。研究者らによると、PrintListener攻撃で作られたパターンマスター指紋を用いると、他人受入率(FAR)が0.01％というセキュリティ設定においても、部分指紋なら最大27.9％、完全指紋でも最大9.3％が突破可能だったとのことです。