Apple’s FaceID is nogal wat in het nieuws de laatste tijd. Apple ziet het als dé manier om haar klanten hun telefoon te laten ontgrendelen, maar critici vragen zich af of het wel zo’n waterdichte methode is. De methode is gehackt en zou Aziaten niet makkelijk uit elkaar kunnen houden. Is Face ID veiliger dan Touch ID?
Het is een interessante kwestie: is het beter om een telefoon naar je gezicht te laten kijken, waar je diverse meetpunten op kunt vastleggen, of ga je toch voor een scan van de vingerafdruk? Beiden zijn bij ieder mens uniek, maar bieden niet dezelfde hoeveelheid informatie. Zo bevat de vingerafdruk maar één soort informatie - met een sneetje in je vinger kun je de vingerafdruk al niet meer gebruiken.
Laten we eerst eens bekijken hoe dat eigenlijk werkt, die biometrische authenticatie op Apple-producten. Zodra je je frontcamera je gezicht laat scannen of de aanraaksensor (homeknop) je vingerafdruk, dan vergelijkt de telefoon die input met informatie die is opgeslagen op een losse processor die de Secure Enclave wordt genoemd. Klopt de invoer niet met wat er is opgeslagen, dan moet je het wachtwoord intoetsen.
Er zit wel een verschil in, want waar het originele Touch ID input-beeld meteen wordt weggegooid, houdt hij voor FaceID het beeld opgeslagen dat je de eerste keer maakte om je gezicht vast te leggen. Zo wordt er een 3D-model gemaakt waarbij 30.000 gezichtspunten worden vastgelegd via de camera en infrarood. Door deze informatie te bewaren kan Apple het Face ID-netwerk van updates voorzien zonder dat je dan elke keer je gezicht opnieuw hoeft vast te leggen.
1 op 1 miljoen
Klinkt veilig, maar dat is het niet helemaal. Volgens Apple is er een kans van 1 op 50.000 dat de vinger van een ander jouw iPhone kan ontsleutelen. Bij gezichtsherkenning schijnt dat 1 op 1 miljoen te zijn, tenzij die persoon toevallig je tweelingbroer/zus is. Of, volgens de klantenservicepagina van iPhone X: je een kind hebt van 13 jaar of jonger die je telefoon via FaceID wil openen.
Tenzij je Aziaat bent, want daarbij schijnt de scanner toch moeite te hebben om mensen uit elkaar te houden. Aan de andere kant is er slechts één melding uit China gekomen, namelijk dat van twee vrouwen die niet eens op elkaar leken en toch de iPhone beiden konden openen.
In de geschetste situatie wordt er vanuit gegaan dat iemand je telefoon vasthoudt en het apparaat gewoon probeert binnen te dringen. Wordt er gehackt, dan worden deze veilige opties ineens een stuk minder veilig. Hacken kan echter niet op afstand: aangezien het op een aparte processor staat die niet op je standaard netwerk is aangesloten, moet iemand fysiek je telefoon in handen hebben om deze te ontgrendelen.
Dat betekent dat iemand een kopie moet maken van je vingerafdruk, of dat iemand je vinger grijpt terwijl je slaapt. Qua gezichtsherkenning heeft Apple naar eigen zeggen hard zijn best gedaan om te zorgen dat je niet gewoon een foto van iemands gezicht kan gebruiken om het apparaat te ontsleutelen. Bovendien werkt het niet als je je ogen dicht hebt. Het is een team van de University of North Carolina wel gelukt om een telefoon via Face ID te unlocken zonder de eigenaar hiervoor te gebruiken. Met diverse foto’s van social media werd een geanimeerd 3D-model in virtual reality gemaakt om vervolgens succesvol toegang te krijgen tot de telefoon.
3D-printer
Het Vietnamese securitybedrijf Bkav heeft een 3D-printer gebruikt om zo een 3D-masker te krijgen van iemands gezicht. Het was eerst nog onduidelijk of dit nu daadwerkelijk de gezichtsherkenning van iPhone wist te kraken, maar het is uiteindelijk wel gelukt - en dat masker kostte “slechts” 140 euro om te maken. Aan de andere kant schijnt er wel een speciale gezichtsscanner te zijn gebruikt om een goed 3D-beeld te kunnen maken, dus zo makkelijk lijkt het ook niet te zijn. Bovendien moet je wel een specifiek persoon als doelwit hebben om vervolgens zo’n masker te maken. Het blijft niet onmogelijk om toegang te krijgen tot de telefoon van die persoon.
Zowel Touch ID als Face ID zijn uiteindelijk te omzeilen door de security code te gebruiken, wat betekent dat mensen die toegang willen tot je telefoon toch weer een extra manier hebben om die toegang ook echt te krijgen. Het is dan ook aan te raden hiervoor een code te gebruiken van meer dan vier tekens, aangezien deze aanzienlijk moeilijker te kraken is.
Dan rest ons nog één ding, en dat is de vraag beantwoorden of Face ID nou echt veiliger is dan de vingerafdruk. Waarschijnlijk wel: het kost namelijk aanzienlijk meer moeite om de 3D-scannende iPhone-camera voor de gek te houden dan even snel een vingerafdruk te faken. En er zijn nog maar weinig verhalen over mensen die het is gelukt. Maar, dat is wel weer tot op zekere hoogte. Als je een kind hebt, dan kan die wel makkelijker via FaceID je telefoon binnendringen dan via een vingerafdrukscan. Een onbekende die echt kwaad wil doen, zal echter over een heleboel drempels moeten stappen om zonder jouw fysieke hoofd te gebruiken toch je iPhone in te komen.