보안 측면에서의 Android 지문인증 (4)

이전 글까지 SW/HW 구조적인 측면에서 Android 지문인증의 보안에 대해 살펴보았습니다.

 

만약 제가 해커라면 SW/HW적으로 공격하기 힘들다는 것을 알게 되면 공격방법을 달리 해보겠습니다.

예를 들면, 영화에서 가끔 나오는 지문의 틀을 떠서 3D 프린터 같은 것으로 지문의 모형을 만들어 지문인증시스템을 공격하는 종류의 것이죠. 이런 공격은 SW/HW적으로 아무리 보안 설계를 한다고 하더라도 막기가 어려운 법입니다.

 

최근 Android에서는 이런 부분에 대해서도 고려하기 시작했습니다.

 

source.android.com/security/biometric/measure

생체 인식 잠금 해제 보안 측정하기  |  Android 오픈소스 프로젝트  |  Android Open Source Project

위 내용이 바로 그것입니다.

 

기본적으로는, Imposter Accept Rate (IAR), Spoof Acceptance Rate (SAR) 같은 관련 보안 측정 항목을 정의하고 Android Compatibility Definition Document (CDD)에 요구사항으로 명세함으로써, 각 제조사에서 Android 제품을 만들면 Google 인증을 받도록 되어 있습니다.