Smartphone e impronte digitali, un binomio non del tutto sicuro

Come raccontava un giornalista di The Verge, sono bastati cinque minuti a una persona da sola per simulare la sua impronta digitale e accedere al suo telefono. In quel caso il calco dell’impronta era stato fatto a partire del dito del giornalista, che collaborava all’esperimento, ma in altri casi la finta impronta è stata creata a partire da una semplice fotografia. Nel 2014 un hacker tedesco aveva tentato (e riuscito) lo stesso esperimento con l’impronta digitale del ministro della difesa tedesco. Ora che la biometria sembra volersi sostituire alle password a cui ci siamo abituati (anche se non esiste una password sicura al 100%), anche queste tecnologie dimostrano di avere falle che possono essere sfruttate. La differenza tra una password e una impronta digitale è che la prima, in caso di violazione, può essere cambiata, la seconda no. Non solo: in sempre più casi vengono richieste le impronte digitali (dal rilascio del passaporto all’ingresso in certi paesi, come gli Stati Uniti); in questo modo si creano immensi archivi di impronte digitali che potrebbero essere violati. In questo caso, ogni accesso che sfrutta questo dato biometrico sarebbe compromesso in maniera definitiva, per tutta la vita di una persona, con le conseguenze che questo può comportare. Sulla maggior parte degli smartphone dotati di lettore di impronte in circolazione, funziona un sistema di riconoscimento biometrico noto come “zero-knowledge proof”. Questo collega un lettore di impronte locale a servizi digitali remoti (applicazioni o siti web) senza trasmettere i dati biometrici, rendendo così più sicuro il collegamento. Nel caso un hacker riuscisse a entrare nella comunicazione, avrebbe comunque bisogno dell’impronta digitale per accedere: dovrebbe quindi “rompere” due sistemi di sicurezza. Difficile, sì, ma non impossibile. La prima conclusione che si può trarre da questi elementi è che non esiste (ancora?) una forma di accesso che sia sicuro al 100% e che i rischi di violazione, nel caso dei dati biometrici, possono avere risultati drammatici. E che forse, prima di attivare l’autenticazione con l’impronta digitale, è meglio pensarci bene.