Face ID van de iPhone X is te foppen met een 3D-geprint masker

Vorige week kondigden onderzoekers van het Vietnamese securitybedrijf Bkav aan dat ze een masker hadden gemaakt dat Face ID, het gezichtsherkenningssysteem van de iPhone X, voor de gek kon houden. Het masker bestond uit een 3D-geprint frame, een door kunstenaars handgemaakte siliconen neus en een paar foto’s die over het masker heen werden gelegd.

Het masker kostte maar ongeveer € 150 aan materialen, maar verwacht niet dat iedereen binnenkort deze beveiligingsvernietigende maskers thuis kan maken. Om het masker namelijk precies goed te krijgen, was ook een geavanceerd gezichtsscansysteem nodig, en ook het werk van een professioneel kunstenaar om de neus zo te kneden dat die Face ID voor de gek zou houden.

In hun verslag over het masker zeiden de onderzoekers van Bkav alleen dat het slopen van Face ID “nog makkelijker was dan we zelf dachten.”

“Na bijna tien jaar ontwikkeling is gezichtsherkenning nog steeds niet volwassen genoeg om veiligheid voor computers en smartphones te garanderen,” schreven de onderzoekers. “Nu Face ID is verslagen door ons masker, moeten de FBI, CIA, wereldleiders, hoofden van grote bedrijven, etc. weten over dit probleem, omdat hun apparaten het waard zijn om te proberen illegaal te ontgrendelen. Hier misbruik is moeilijk voor normale gebruikers, maar simpel voor professionele.”

Bkav beweert de eerste te zijn die een masker gebruikt om Face ID voor de gek te houden, een indrukwekkende prestatie als je bedenkt hoeveel moeite Apple stak in het ontwerpen van gezichtsherkenningssoftware om juist dit te voorkomen. Elke keer dat Face ID wordt gebruikt om een iPhone X te ontgrendelen, maakt het in feite een topografische kaart van het gezicht van de gebruiker op basis van een scan met 30.000 punten. Het systeem gebruikt vervolgens een neuraal netwerk om deze scan te vergelijken met de oorspronkelijke scan die de gebruiker heeft gegeven om een match te bepalen.

Volgens Apple zijn er meer dan een miljard gezichten gebruikt om Face ID te trainen. Tijdens een presentatie in september zei het bedrijf dat het zelfs de hulp van special effects professionals had ingeschakeld om maskers te ontwerpen die specifiek ontworpen waren om Face ID voor de gek te houden tijdens het testproces. Daardoor, zei het bedrijf, zijn de kansen dat een of andere willekeurig type idioot Face ID voor de gek houdt en jouw iPhone X ontgrendelt ongeveer 1 op een miljoen, hoewel het veiligheidssysteem wel makkelijk voor de gek kan worden gehouden door eeneiige tweelingen.

De meeste gebruikers hoeven zich niet zo’n zorgen te maken om een hack als deze. Het kost te veel tijd en energie om een masker te maken om de iPhone X voor de gek te houden, en je hebt er ook nog eens de instemming van de gebruiker voor nodig. De echte bedreiging is voor publieke figuren, wiens gezichtskenmerken overal beschikbaar zijn in foto’s en daardoor makkelijker na te maken zijn door een kunstenaar. Het is ook niet moeilijk om je in te beelden hoe vergelijkbare technieken kunnen worden gebruikt door politie- en veiligheidsdiensten om een vergrendelde iPhone X binnen te komen.

Apple heeft nooit beweerd dat Face ID helemaal veilig was. Maar het feit dat dit Vietnamese beveiligingsbedrijf in staat was om het binnen niet meer dan een week na de release van de telefoon te kraken is een goede herinnering dat biometrische beveiliging nog een lange weg te gaan heeft.