Smartphones : peut-on faire confiance à la reconnaissance des empreintes et des visages ?
La sécurité des smartphones et tablettes de Samsung, Google et Apple est compromise par les ratés de leurs déverrouillages par empreinte digitale et par reconnaissance faciale.
C’est une préoccupation pour beaucoup : empêcher les curieux de pénétrer dans leur smartphone et de consulter leurs informations privées. Les fabricants de mobiles ont donc fait des efforts pour simplifier le verrouillage des appareils et son corollaire, le déverrouillage sécurisé. Désormais, beaucoup de smartphones Android intègrent un lecteur d’empreintes directement caché sous l’écran. Quant aux iPhone, ils peuvent être déverrouillés plus naturellement en présentant son visage à l’écran, grâce à la technologie Face ID. Le lecteur d’empreintes ou la reconnaissance du visage servent aussi à sécuriser l’accès à des applications bancaires ou autoriser des paiements dans l’App Store et le Play Store, les magasins d’applications d’Apple et Google. Malheureusement, une série de problèmes récents fait craindre que ces armures numériques soient friables. Le cas Samsung Une utilisatrice anglaise a ainsi constaté début octobre que le lecteur d’empreintes de son Samsung S10, directement accessible sur l’écran, déraillait quand on l’équipait d’une coque intégrale en silicone transparent. Son mari est parvenu à le déverrouiller. Nous n’avons pas réussi à reproduire ce problème, mais Samsung a reconnu son existence. Le constructeur coréen croit avoir identifié sa cause : la coque en silicone étant très souple, elle prendrait la marque des empreintes digitales de son propriétaire. Le 23 octobre, Samsung a mis à disposition de ses clients coréens un remède logiciel. En attendant que les consommateurs français puissent le télécharger, le constructeur déconseille l’usage de protections transparentes recto verso. Ce n’est pas la première fois qu’un smartphone Samsung est critiqué pour les faiblesses de sa sécurité. Pendant des années, le système de reconnaissance du visage maison pouvait être trompé en lui présentant une simple vidéo de l’utilisateur. Une astuce à la portée de tous, qui pourrait cependant avoir été corrigée récemment, puisque notre dernière tentative a été infructueuse. En 2017, une simple photo suffisait à tromper la reconnaissance faciale du Samsung S8. Des ratés chez Google et Apple De son côté, Google a équipé ses nouveaux smartphones, les Pixel 4, d’un système de reconnaissance faciale très sophistiqué inspiré de celui de l’iPhone : il combine un projecteur de points lumineux invisibles à l’œil nu et deux caméras infrarouges. Cela permet, par exemple, de pouvoir déverrouiller son smartphone en le regardant la nuit. Mais cette sécurité peut être contournée facilement : il suffit d’attendre que son propriétaire fasse la sieste pour placer le smartphone devant son visage. Contrairement à beaucoup d’autres smartphones, le Pixel 4 ne vérifie pas que les yeux de son utilisateur sont ouverts avant de se déverrouiller. Nous avons pu reproduire cette faiblesse et, selon le média américain ZDNet, Google travaille, lui aussi, à un correctif logiciel. Il existe aussi des bugs. Nous avons, par exemple, été témoins d’un problème du système de protection du côté d’Apple. Nous avons ainsi observé un enfant déverrouiller un iPad Pro 11 pouces sous iOS 13.1.2 pourtant protégé par la reconnaissance faciale Face ID de ses parents. Une manœuvre qu’une demi-douzaine de personnes a pu répéter par la suite sur le même appareil et sous notre contrôle. Selon nos constatations, l’appareil refusait de passer en mode « verrouillé » quand nous le passions en veille, ce qui semble relever d’un problème logiciel, assez rare du reste, car nous n’en avons guère trouvé trace sur les forums utilisateurs et les produits d’Apple sont plutôt réputés pour leur fiabilité en la matière. Nous avons pu le résoudre simplement, en désactivant puis en réactivant Face ID. Contacté par Le Monde, Apple a déclaré ne pas avoir entendu parler de ce problème. La prudence s’impose Ces failles, ou ces erreurs de logiciels, ont un point commun : pour en profiter, nul besoin d’être un expert en sécurité, nul besoin de mouler un doigt ou de sculpter un visage. N’importe qui peut en tirer profit lorsqu’il la détecte. La protection biométrique n’est pas parfaitement infaillible et c’est un problème qui dépasse le simple déverrouillage des appareils. Pour mieux se protéger, faut-il revenir à des méthodes plus classiques comme le code à quatre ou six chiffres ? Pas nécessairement, car cette façon de déverrouiller les smartphones est laborieuse, elle pousse donc à adopter un code facile à deviner. En outre, il est parfaitement possible d’observer ce code par-dessus notre épaule et de le mémoriser. Faut-il donc remplacer le mot de passe par un schéma qu’on dessine à l’écran, comme le propose Android ? Mieux vaut éviter : cette méthode est jugée encore moins sûre par une étude conjointe de l’université du Maryland et de l’Académie navale des Etats-Unis. En l’absence d’une meilleure solution, mieux vaut donc s’appuyer sur la reconnaissance du visage et des empreintes, en évitant toutefois de leur accorder une confiance excessive. Contrôler périodiquement leur efficacité est conseillé, en vérifiant que d’autres personnes n’arrivent pas à déverrouiller les smartphones et tablettes ainsi protégés. Et autant que possible, il faut se garder de laisser traîner ces appareils sans surveillance. Une double protection ? Peut-on combiner deux méthodes de déverrouillage pour compliquer la tâche des personnes indiscrètes ? Sur beaucoup de smartphones, il est malheureusement impossible de demander deux vérifications successives, en combinant par exemple la reconnaissance du visage à celle d’empreintes. En revanche, une fois le mobile réveillé, certaines applications – services bancaires ou logiciels d’e-mail, par exemple – peuvent profiter d’un deuxième niveau de sécurité. Mieux vaut alors employer une autre méthode que celle qui sert à déverrouiller le smartphone, par exemple en tapant un mot de passe – de préférence complexe, comme nous l’expliquons dans cette vidéo.