Da quando l’iPhone X è stato commercializzato, in tutto il mondo si è scatenata la caccia a metodi per ingannare il Face ID, il sistema di autenticazione che permette di autenticarsi con il dispositivo usando il volto. È stata dimostrata la possibilità di ingannare il sistema da parte di gemelli, bambini e anche usando particolari maschere ad hoc stampate in 3D. Ora Macrumors cita Bkav, l’azienda vietnamita che a metà novembre in un video aveva mostrato la possibilità di ingannare Face ID usando una maschera, un filmato che aveva lasciato dubbi sul metodo utilizzato, non chiarendo ad esempio se sul dispositivo era attiva o no l’opzione “Richiedi di guardare verso Face ID”.
Bkav ha pubblicato un secondo video, usato una nuova maschera e spiegato meglio il metodo utilizzato per ingannare il Face ID. Come spiegato sul blog dell’azienda è stata utilizzata una maschera 3D stampata con polvere di pietra, spendendo circa 200$. Immagini 2D degli occhi ottenute partendo da immagini a infrarossi sono state successivamente incollate per simulare l’apparato visivo reale.
Sull’iPhone X usato per la dimostrazione è stato resettato il sistema di riconoscimento, impostando il riconoscimento di un nuovo volto. È stata attivata l’opzione “Richiedi di guardare verso Face ID” e attivato il “Rilevamento dello sguardo”. Sul nuovo iPhone anche non usando il Face ID, la fotocamera TrueDepth si attiva in modo “intelligente” per utilizzare le funzioni di rilevamento dello sguardo, ad esempio riducendo la luminosità del display quando l’utente non lo sta guardando oppure abbassando il volume degli avvisi se si si sta usando il dispositivo. Se non si desidera usare queste funzioni, basta andare su Impostazioni > “Face ID e codice” e disabilitare “Rilevamento dello sguardo”. Il Face ID è dotato anche di una funzione di accessibilità per gli utenti ipovedenti o non vedenti. Se si vuole che il Face ID non richieda di guardare l’iPhone X, basta andare su Impostazioni > Generali > Accessibilità e disabilitare “Richiedi di guardare verso Face ID.” Quest’ultima funzione, com’è facile immaginare, offre un livello di protezione in più ed è quella che dovrebbe impedire di sbloccare il dispositivo usando maschere o fotografie.
Dopo avere attivato il Face ID, il ricercatore di Bkav mostra nel filmato la possibilità di sbloccare normalmente iPhone X sia con il suo volto, sia con la maschera creata ad hoc. La maschera sembra in grado di sbloccare il telefono immediatamente senza problemi e gli occhi stampati in 2D sembrano ingannare il dispositivo, nonostante sia attiva l’opzione “Richiedi di guardare verso Face ID”. Il sistema di protezione usato da Apple rileva lo sguardo e riconosce se gli occhi sono aperti e rivolti nella direzione del dispositivo. Questo dovrebbe ridurre le probabilità che qualcun altro riesca a sbloccare l’iPhone a nostra insaputa (ad esempio, mentre dormiamo).
I ricercatori di Bkav affermano che i materiali usati per creare la maschera si trovano facilmente e che il Face ID non è “abbastanza sicuro per l’uso nelle transazioni commerciali” ma bisogna ricordare che creare la maschera 3D non è un compito facile. Serve una stampante 3D, migliaia di dollari di materiali, accesso fisico all’iPhone X della persona “target” e foto dettagliate del viso di quest’ultima per ricostruire il volto. Anche avendo a disposizione tutto questo materiale, è fondamentale stampare in modo preciso la maschera 3D e se non si è creato un modello perfetto, dopo cinque tentativi iPhone X richiederà sempre e comunque lo sblocco con il codice.
I ricercatori di Bkav ritengono che il Face ID sia meno sicuro del Touch ID perché, a loro dire, è più facile catturare il volto di un utente anche a distanza, rispetto a ottenere le impronte digitali ma ottenere una replica perfetta del viso di un qualunque utente non è un compito facile come sembrano voler dimostrare o comunque un problema del quale l’utente medio debba preoccuparsi.
Apple stessa ha spiegato vari scenari nei quali è possibile ingannare Face ID e la necessità di fare attenzione a sue debolezze intrinseche. Le probabilità statistiche sono diverse nel caso, ad esempio, di gemelli o fratelli somiglianti e con i bambini di età inferiore ai 13 anni, che potrebbero non aver ancora sviluppato pienamente i tratti distintivi del volto. Se eventualità di questo tip preoccupano l’utente, Apple consiglia di effettuare l’autenticazione tramite codice.
Quando nel 2013 con l’iPhone 5S fu presentato il Touch ID (predecessore del Face ID), in rete fiorirono vari filmati per dimostrare la possibilità di ingannare il lettore di impronte digitale ricostruendo l’impronta con stampe 3D partendo da un calco; da allora a oggi non sembra che il sistema sia stato questo disastro che vari media hanno cercato di far credere. Come il Face ID, anche il Touch ID non è obbligatorio: elimina la scomodità̀ del blocco con codice, non sostituendolo, ma piuttosto permettendo di accedere in sicurezza al dispositivo anche quando occorre farlo in fretta e senza dover riflettere troppo.
