Corram para as montanhas, o Face ID foi burlado! Ou não…
A tônica deste artigo é: sempre que uma nova tecnologia como essa é lançada, alguns correm para comprovar que é possível, sim, burlá-la. Foi assim com o Touch ID, por exemplo, quando o pessoal do Chaos Computer Club (CCC) fotografou, em alta resolução, um dedo de um usuário 2.400 vezes para criar uma impressão digital “falsa” em látex a fim de enganar o sensor de impressão digital da Maçã. Agora, vimos algo “parecido” acontecer com o Face ID.
Muitos veículos como o Wall Street Journal e a WIRED contrataram especialistas e criaram suas próprias máscaras profissionais para testar as capacidades do novo método de desbloqueio biométrico do iPhone X — no caso da WIRED, eles incluíram até detalhes como buracos de olho projetados para permitir o movimento real dos olhos e milhares de cabelos na sobrancelha inseridos na máscara para ela ficar ainda mais real. Todos *sem* sucesso.
Até que a Bkav Corporation — que, segundo o TechCrunch, tem um histórico no assunto já que, em 2009, publicou um relatório [PDF] sobre as fraquezas da tecnologia de reconhecimento facial da ASUS, da Lenovo e da Toshiba —, aparentemente, conseguiu.
Eles afirmaram ter investido “apenas” US$150 (sem contar o valor da impressora 3D), mas a missão para supostamente conseguir burlar o Face ID não foi fácil. A solução elaborada pela Bkav parece ser tão complicada ou mais se comparada àquela do Touch ID, mencionada acima — o que reforça as alegações da Apple de que o novo sistema é mais seguro do que o Touch ID. Eles criaram uma máscara 3D, esculpiram um nariz à mão, imprimiram partes do rosto em alta resolução (2D) e ainda utilizaram uma superfície de pele personalizada projetada para, aí sim, enganar o sistema de inteligência artificial da Maçã.
Existem três pontos-chave na tecnologia Face ID. Em primeiro lugar, uma foto do usuário foi feita para criar a superfície do rosto. Em segundo lugar, outra imagem foi fotografada sob a forma de uma malha para reproduzir a imagem 3D do rosto. Ambas as imagens foram feitas por uma câmera infravermelha. A terceira é a habilidade do Face ID com base na tecnologia AI para distinguir o rosto real e o falso. Os engenheiros da Bkav acham que, com imagens em 2D e 3D, é fácil criar um objeto enganador. A tecnologia AI pode ser uma parte mais complicada. No entanto, a vulnerabilidade na AI do Face ID foi predita pela Bkav desde o evento de lançamento da Apple, com base em pesquisas e análises científicas.
Com esta filosofia, o experimento de Bkav confirmou que o Face ID foi enganado por uma máscara. Além disso, a máscara criada pela Bkav parece muito diferente das máscaras de outras tentativas. “Nossa máscara que enganou o Face ID é simples, mas muito filosoficamente complexa de criar, requer profissionais e insights sobre segurança, bem como tecnologia AI”, acrescentou o Sr. Ngo Tuan Anh.
Os pesquisadores afirmaram que, durante a criação da máscara, aplicaram o princípio “sem senha”, ou seja, um cenário que impediria que tais pesquisadores inserissem um código de acesso após cinco tentativas sem sucesso (já que o Face ID bloqueia-se após isso) e expandissem as possibilidades, treinando o aparelho para que aprendesse e conhecesse os dados da máscara.
Ainda que isso tudo tenha sido feito, o vídeo liberado por eles (acima) gerou diversos questionamentos da comunidade. Quando o autor do teste aperta o botão lateral e desliza, não conseguimos ver o cadeado abrindo ou a animação do Face ID acontecendo. Outra questão envolve a tecnologia do Face ID em si, a qual reconhece se os seus olhos estão abertos e olhando em direção ao dispositivo. Poderia a opção “Exigir Atenção para o Face ID” (disponível em Ajustes » Geral » Acessibilidade » Face ID e Atenção) estar desativada, nessa demo?
Mesmo que tudo isso seja verdade e a Bkav tenha conseguido burlar o Face ID, ela mesma comentou que pessoas comuns não devem se preocupar já que possíveis alvos de algo elaborado como isso seriam apenas “bilionários, líderes de grandes corporações, líderes nacionais e agentes como do FBI”. Ainda assim, a organização criminosa por trás de uma ação dessas precisaria ter em mãos o iPhone X e a pessoa em questão para replicar uma máscara desse nível — sem contar os protocolos de segurança aplicados pela Apple (janela de tempo de 48 horas ou um número máximo de cinco tentativas erradas) para desativar o Face ID e exigir uma senha numérica.
O fato é, como o Carlos Cardoso (do Meio Bit) disse: “Esses recursos [como o Face ID] são uma forma de segurança básica de um aparelho que você usa no seu dia-a-dia. Eles existem para tornar desagradável a relação custo/benefício de quem roubar seu aparelho, não para impedir a KGB de ler seus emails.”
