Apple zet fix voor Face ID-spoofing in iOS 15

Apple heeft een fix voor een kwetsbaarheid in gezichtsscanner Face ID in iOS 15 gezet. Met de kwetsbaarheid konden kwaadwillenden met een 3d-model van iemands hoofd in een telefoon of tablet komen. Het is onduidelijk hoe Apple dat heeft opgelost.

Apple heeft het bestaan van de fix geopenbaard in het overzicht van opgeloste kwetsbaarheden in iOS 15. De fabrikant vermeldt CVE-2021-30863, maar daarover is niet meer informatie bekend. De kwetsbaarheid was aangedragen door Wish Wu van Ant-financial Light-Year Security Lab, een beveiligingsonderzoeker die al eerder een lek in Face ID had aangedragen.

Door de kwetsbaarheid was het mogelijk om Face ID te misleiden met een 3d-model van het hoofd van een gebruiker, waarna het mogelijk was om in de telefoon of tablet te komen. Apple heeft dat naar eigen zeggen ondervangen door anti-spoofingmaatregelen in Face ID op te voeren.

Apple bracht iOS 15 maandag uit, samen met nieuwe versies van iPadOS en watchOS. De fix voor Face ID heeft betrekking op de iPhone X uit 2017, iPhone XS en XR uit 2018, iPhone 11-modellen uit 2019 en iPhone 12-telefoons uit 2020. Ook gaat het om de iPad Pro-modellen sinds 2018.

Face ID

Reacties (89)

[Sebast1aan]

Dat je kind je telefoon kan openen (mijn dochter kan mijn vrouws telefoon openen met haar gezicht), gaan ze dat ook fixen? Mijn dochter lijkt niet eens zoveel op mijn vrouw, ze heeft mijn (Javaanse) neus, en mijn vrouw heeft een heel andere neus.

Algemeen probleem trouwens, google voor voorbeelden.

[Reactie gewijzigd door Sebast1aan op 27 juli 2024 02:13]

[Anoniem: 549909]

Dat probleem had ik bij mijn dochters ook. Dit kwam doordat mijn jongste dochter de telefoon van mijn oudste dochter oppakte, Face ID haar niet herkende en mijn oudste dochter vervolgens de pincode intikte. Na een paar keer doet gedaan te hebben had de telefoon het gezicht van de jongste dochter 'geleerd' en kon zij dus ook de telefoon openen met Face ID. Face ID opnieuw instellen en mijn jongste dochter kon niet meer op de iPhone van de oudste en uiteraard geen pincode meer invoeren na Face ID herkenning jongste dochter.

[xbeam]

Het is waarschijnlijker dat ze een keer haar gezicht heeft toegevoegd, je kan bij Face ID in de settings meerdere gezichten toevoegen om te ontgrendelen.

[Danny the dog]

Ik zag dat je dit gisteren ook al ergens gemeld had. Het zet mij toch aan het denken... Ik zou me zoveel 'geruster' voelen bij TouchID.. simpelweg omdat een vingerafdruk wèl uniek is.
Baal dan ook enorm dat de nieuwe iPhone line-up niet hiermee uitgerust is en die van komend jaar waarschijnlijk ook niet. Het doet mij overwegen terug te gaan naar Android...

[bytemaster460]

Bij TouchID wordt niet de daadwerkelijke vingerafdruk vergeleken maar een hash daarvan. Die hash is bij lange na niet uniek. Verschillende vingerafdrukken leiden tot dezelfde hash. Het systeem gaat er van uit dat de kans dat iemand met dezelfde hash jouw telefoon probeert te openen nagenoeg nul is. In feite is die kans ongeveer 1 op 50.000-100.000 (en er zijn slechtere implementaties).
FaceID heeft een veel kleinere kans op een vals positieve match.

[Wolfos]

Maar bij TouchID zijn dat willekeurige mensen, en bij FaceID is dat dus je familie. In werkelijkheid is er dus meer kans dat er misbruik van gemaakt gaat worden.

[bytemaster460]

Bij FaceID zijn het ook willekeurige mensen die tot dezelfde hash kunnen leiden (met een veel kleinere kans dan via TouchID). Zoals elders ook al aangegeven lijkt het probleem met de familieleden eerder voort te komen uit het zelflerende aspect van FaceID. Als familieleden de toegangscode van je telefoon kennen worden de kenmerken van hun gezichten ook toegevoegd aan FaceID, waardoor ze op een gegeven moment de telefoon kunnen unlocken met hun eigen gezicht.

[pumpidumpi]

Dat is met een gehashed wachtwoord evengoed zo. Met alles wat een hash is, anders is het geen hash (zoals wij de term hash gebruiken althans).
Het hele idee is nu eenmaal dat een hash niet herleidbaar is naar de bron. Dus als iedere bron (vingerafdruk, face, wachtwoord, whatever) een unieke hash heeft dan is het idee van een hash weg.

[bytemaster460]

Ja, maar wat heeft dat hier mee te maken?
Het gaat erom dat meerdere vingerafdrukken tot dezelfde hash kunnen leiden en dat daarom de vingerafdrukscanner niet even betrouwbaar is als de vingerafdruk zelf. Hierboven werd beweerd van wel.
Ik vraag me trouwens af of twee verschillende wachtwoorden tot dezelfde hash kunnen leiden wanneer een goed algoritme gebruikt wordt.

[pumpidumpi]

Ik wilde het in perspectief zetten. De bewering zelf had ik niks op aan te merken...
Als een hash-algoritme er voor zocht dat je nooit een collision kan hebben, dan heb je effectief een encryptie-algoritme. Het idee is juist dat iedere hash een oneindig aantal wachtwoorden representeert (bij ongelimiteerde lengte). Daardoor kun je vanuit een hash nooit - met zekerheid - het juiste wachtwoord terug vinden.

[thetakman]

Zal het je sterker vertellen, ik kon mijn moeders iPhone unlocked met TouchID.
Met Face-ID lukt het niet, maar vinger"afdruk"scanners van telefoons gaat prima!

[Keypunchie]

De iPhone SE 2020 heeft TouchID. En dat is een vrij goeie prijs/prestatie verhouding.

Het is alleen duidelijk dat Apple de route FaceID heeft genomen. Mijn 'threat profile' voor de biometrie is vooral om te beschermen tegen iemand die mijn telefoon jat, dus dan is het wel voldoende.

Als ik me zorgen maakte dat iemand een 3d-model van mijn hoofd zou bouwen, dan zou ik 2FA nodig hebben voor mijn telefoon om me veilig te voelen.

[Danny the dog]

Ik wil geen SE 2020. Dan zet ik nog liever een nieuwe batterij in mijn 8, want qua 'wat je ziet' is het toestel identiek. Ik wil juist een beetje mee met de toekomst: groter scherm in compacte behuizing. Dus iPhone 13 mini.

En ook je punt dat ik me zorgen maak of iemand een maquette van mijn hoofd gaat maken is niet relevant. Mijn comment staat onder de post dat FaceID blijkbaar ook iemands dochter goedkeurt om te unlocken. Het systeem is gewoon niet waterdicht.

Anywho... discussies voor de discussie.. ik bedank me ervoor.

[Keypunchie]

Het systeem is gewoon niet waterdicht.

Geen enkel systeem. Meer-cijferige pincode ook niet.

Dus 'threat modeling' is wel degelijk relevant.

Waar wil je je tegen wapenen? Wat betekent dat voor de toereikendheid van FaceID/TouchID of whatever implementatie een gewenste Android-telefoon heeft?

Kijk, je kunt ook gewoon voorkeur hebben voor vingerafdrukscanner. De reden waarom ik een SE voor mijn schoonmoeder heb gekocht is omdat ze dat TouchID kent en snapt.

[angulardragon03]

De kans dat een willekeurig iemand je apparaat kan unlocken met TouchID is zo’n 1 in 50,000 [1].

Met FaceID is dit sterk afgenomen, naar zo’n 1 in 1,000,000 [2]. Natuurlijk komen deze cijfers vanuit
Apple, maar dat is echt zo’n 20 keer “veiliger” als je FaceID gebruikt.

Kans dat je een random 4-cijfer wachtwoord kan gokken is trouwens 1 in 10,000.

[1] https://support.apple.com/en-us/HT204587
[2] https://support.apple.com/en-us/HT208108

[Sebast1aan]

Ik heb het al een paar comments geschreven, mijn dochter kan mijn vrouws phone unlocken met FaceId. Dit is een algemeen probleem (google "my kids can open my phone"). Hieronder heb ik nog wat argumenten ge-copy'd en paste van een reddit comment dat ik ooit schreef (geen zin om te vertalen):

"Cyber Security is my job. It really is not. At best it is the same. Face or finger doesn’t matter that much, it is just another biometric. However faceId is more convenient. And like with most things in security, more convenient (often) = less security controls = less risk mitigation = less “secure”. TouchId allows for additional security controls. For instance use a non-standard finger. This combined with “erase my phone after 10 failed attempts” allows me to erase my phone while still in my pocket. It is also harder for someone (like customs in some countries) to force me to unlock my phone. In the meantime I can erase it while I’m “trying” with a wrong finger. On top of that for a bunch of apps we have here in Belgium like itsme, which you can use as a digital-ID for tons of services (government, financial, etc), and when buying stuff using the banking apps+QR codes, faceId would authorize with just looking at the screen. With touchId I always need to put my finger on the button. This extra step is an additional security control and thus more “secure”."

[angulardragon03]

Het is mogelijk om, zonder naar het scherm te kijken, FaceID uit te zetten in je broekzak. Gewoon de power knop en een volume knop een paar seconden vasthouden, en daarna moet je een pin gebruiken de volgende keer dat je je telefoon wilt unlocken.
Natuurlijk is het dan niet mogelijk om je telefoon te wissen met je vingerafdruk, maar dit is ook niet mogelijk op het manier die jij had beschreven (je krijgt namelijk 3 pogingen met touchID, daarna moet je je passcode opgeven. Pas na 10 passcode pogingen wordt die erase uitgevoerd).

Als laatste: je moet echt direct naar je telefoon kijken om hem te unlocken. FaceID houdt ook rekening mee met de richting van je ogen - je moet een blik werpen op je telefoon scherm, alleen maar het gezicht werkt niet (anders was het natuurlijk mogelijk om de telefoon van een slapende te unlocken).

Dat je familieleden je telefoon kan unlocken, dat is lastig. Eerlijk gezegd is het niet verassend (je kinderen lijken toch op jullie?), maar het is wel nog steeds een pijnpunt waar TouchID beter presteert.

[Blizz]

Als laatste: je moet echt direct naar je telefoon kijken om hem te unlocken. FaceID houdt ook rekening mee met de richting van je ogen - je moet een blik werpen op je telefoon scherm, alleen maar het gezicht werkt niet (anders was het natuurlijk mogelijk om de telefoon van een slapende te unlocken).

Dat is gewoon een feature die uit kan. Maar goed ook, je zou maar een lui oog hebben en je iPhone niet inkomen.

[CorbataGames]

Met een zonnebril met polariserende glazen werkt het ook bijna niet. In de zomer heb ik de "aandacht vereist" optie uit staan.

[bytemaster460]

Vreemd, daar heb ik nog nooit last van gehad en al mijn zonebrillen hebben polariserende glazen. "Aandacht vereist" blijft dan gewoon aan.
Een zonnebril met spiegelende glazen ZONDER polariserende glazen had dan wel weer problemen.

[Reactie gewijzigd door bytemaster460 op 27 juli 2024 02:13]

[CorbataGames]

Ah misschien ligt het aan het spiegelen en niet aan de polarisatie (mijne heeft beide)

[honey]

TouchID of FaceID vind ik beiden net zo handig en snel. FaceID is iets minder veilig als iemand met goede intenties je wilt dwingen tot unlocked van je toestel. Net zo veilig als iemand met kwade intenties je wilt dwingen.

Deze vond ik aardig. :
“ This combined with “erase my phone after 10 failed attempts” allows me to erase my phone while still in my pocket.”

Ik had het ook actief totdat bij een vriendin een kennis voor de lol haar iPhone liet wissen. Toch maar uit gezet, omdat de data mij meer dierbaar is.

[winwiz]

Automatisch backup in iCloud? What's the problem.

[DeFeCt]

De keren dat ik een code moest invoeren omdat TouchID niet werkte waren op 1 hand te tellen, de keren dat ik een code moet invoeren omdat FaceID niet werkt zijn, na 3 jaar gebruik, inmiddels ontelbaar... ik heb dan toch liever een iets groter risico.

[mickjuh]

Ik heb precies het tegenovergestelde. Bij mij werkt de TouchID juist niet goed. Als het warm is (zon, of na inspanning) of koud dan pakt hij bij mij de TouchID erg slecht. FaceID werkt bij mij eigenlijk altijd, zelfs in het donker.

[bytemaster460]

Dat herken ik totaal niet. Dan zou ik FaceID nog eens helemaal opnieuw instellen.
De enige keren dat FaceID niet werkte was met mondkapje.

[Danny the dog]

Natuurlijk komen deze cijfers vanuit Apple, maar dat is echt zo’n 20 keer “veiliger” als je FaceID gebruikt.

Misschien wil ik als gebruiker juist die controle houden te bepalen wanneer ik iets unlock door mijn vinger op een sensor te drukken, in plaats van dat dat automagisch gebeurt via de altijd kijkende kijker.

Kans dat je een random 4-cijfer wachtwoord kan gokken is trouwens 1 in 10,000.

Wachtwoord is inmiddels 6 cijfers.. Dus dan gaan we na lang nadenken naar een kans van 1 op 1.000.000.

[angulardragon03]

Misschien wil ik als gebruiker juist die controle houden te bepalen wanneer ik iets unlock door mijn vinger op een sensor te drukken, in plaats van dat dat automagisch gebeurt via de altijd kijkende kijker.

Dat kan natuurlijk ook. Bij TouchID moet je de home knop drukken om die unlock process te voltooien, en met FaceID dien je ook omhoog te vegen om je telefoon te unlocken. Het is zeker niet het geval dat je telefoon opengaat met slechts één blik.

FaceID is natuurlijk niet altijd handig, zeker niet tijdens deze pandemie, maar in het algemeen vind ik het sneller en meer betrouwbaar dan TouchID op m’n iPad.

[supersnathan94]

In principe is dat vegen voor ontgrendelen alleen als het eerdere keren fout is gegaan. Als het scherm aanstaat en je naar het toestel kijkt zal hij al unlocken zodat je je berichten kunt lezen (meldingen zijn “anoniem” en bevatten geen inhoudelijk data als je dat niet doet).

Pas bij vegen ga je naar het homescreen dat klopt, maar je toestel is dan al wel unlocked.

[aval0ne]

Je kan altijd instellen welke notificaties te lezen zijn bij unlock.

[supersnathan94]

ja, maar het gaat er natuurlijk om dat je toestel al eerder unlocked is dan pas bij vegen. dat is alleen als het eerder niet gelukt is.

[angulardragon03]

Dit klopt idd. Je moet wel met je ogen bewust naar de telefoon kijken om die te unlocken, maar die is dan wel unlocked. Als het eerdere keren fout is gegaan moet je je wachtwoord opgeven.

[pumpidumpi]

Er vanuit gaande dat die 1.000.000 verschillende getallen ook 1.000.000 verschillende hashes heeft. Wat niet zo is...

[Reactie gewijzigd door pumpidumpi op 27 juli 2024 02:13]

[Glashelder]

En dan ga je een alfanumeriek password..

[Anoniem: 9278]

Dan zet je Face ID uit 👍🏻

[Dorstlesser]

Is een vingerafdruk spoofen ook niet relatief makkelijk? Met een plakbandje een oude vingerafdruk ergens opnemen bv.?

[Danny the dog]

Neemt jouw opmerking mijn zorgen over mijn opmerking weg?

[Dorstlesser]

Haha, waarschijnlijk niet Overigens heeft de iPhone SE wel een vingerafdrukscanner.

Het ding met beveiliging blijft dat je niks perfect kan beveiligen; je kan het hoogstens zo tijdrovend maken om in te breken dat de boeven liever wat anders gaan doen. FaceID lijkt me in dit opzicht vrij veilig.

[ultimasnake]

Ik weet het niet zeker maar volgens mij leert Face-id naarmate je een toestel unlocked. Zo kon ik eerst met zonnebril mijn telefoon niet unlocken maar ging het na een paar keer prima.

Is dit misschien een ‘flaw’ dat zodra je dochter met pin de telefoon unlocked, de iphone denkt; hey das ‘80%’ zeker mijn gebruiker, maar d’r neus lijkt iets anders maar ze unlocked de telefoon wel…

En daar steeds vaker vanuit gaat dat het een afwijking is obv make up of andere zaken?

[bytemaster460]

De werkelijk flaw zit dan eigenlijk bij jezelf: je hebt de code afgegeven. Zonder die code was FaceID nooit het gezicht van een ander gaan aanleren.

[WhatsappHack]

Komt nog bij: als je de code hebt afgegeven boeit het ook niet meer als FaceID uiteindelijk het gezicht wel of niet leert, in je telefoon kunnen ze sowieso Dan hoef je je daar niet druk meer om te maken, hehe. Wil je dat ze er niet meer inkunnen: code veranderen en FaceID resetten.

[arjankoole]

reset de faceID eens, en laat het toestel dan het gezicht van je vrouw opnieuw leren.

Er zit een narigheid in, dat als het gezicht genoeg op elkaar lijkt (en dat gaat op niet voor het oog visuele aspecten) en je dochter probeert de telefoon te unlocken met gezicht, en dat lukt (uiteraard) niet, en ze geeft de telefoon aan je vrouw voor unlocken met code, haar gezicht dan meegeleerd wordt.

Mijn dochter lijkt (visueel) heel erg op me, maar mooi dat die telefoon niet van slot springt met haar snuitje. (ook met javaanse neus trouwens )

[bytemaster460]

Ik zie vooral steeds dezelfde moeder en zoon. Het lijkt geen wijdverbreid probleem te zijn. Daarnaast geeft Apple aan dat wanneer een kind van een iPhone-eigenaar de telefoon van vader of moeder vaker unlockt met de code Face-ID gaat bijleren waardoor het gezicht van het kind ook geldig wordt. Dat is gedaan zodat veranderende gezichten (van bijv. pubers) of andere makeup er niet voor zorgen dat Face-ID niet meer werkt.

[ZpAz]

Ik weet niet of je kind de code had of heeft, maar als ze dan niet herkend wordt, en ze vult elke keer de code in, volgens mij leert de telefoon dan dat gezicht ook over tijd.

[Skiddie]

Waarom denk je dat je na zoveel keren faceID plots weer je pincode moet ingeven? De beelden die je in het begin genomen hebt om FaceID te trainen worden continu bijgewerkt. Zo merk je ook dat aanzichten die vroeger niet zo goed werkten na verloop van tijd wel goed werken. Zo heb ik mijn FaceID zover gekregen in te kunnen loggen met m'n hand voor m'n gezicht zonder deze er echt op te trainen.

[YopY]

Face- en TouchID zijn handigheidjes, het is geen vervanging voor een complexe pincode; als je telefoon veilig moet, moet je deze features niet aanzetten.

Face- en TouchID zijn identificatie, niet autorisatie. Vergelijkbaar met een gebruikersnaam, geen wachtwoord.

[aikebah]

Gebruikersnaam en wachtwoord zijn allebei delen van de identificatie (a.k.a. authenticatie), niet autorisatie

[PhilipsFan]

You're using it wrong

Maar inderdaad, zoals anderen al hebben uitgelegd. Elke keer dat je de pincode invoert na een mislukte Face-ID poging, leert het systeem bij. Het beschouwt dat gezicht namelijk als het gezicht van de eigenaar, omdat immers de code werd ingetoetst. Na een aantal pogingen door dezelfde persoon is er inderdaad kans dat het systeem dan die ander gaat herkennen als de eigenaar.

Oplossing is natuurlijk simpel: gebruik niet de pincode. Als FaceID mislukt, druk 'm dan uit en probeer het nog een keer met het juiste gezicht. Nog betere oplossing is uiteraard om niet elkaars telefoon te gebruiken. Met kinderen sowieso al niet een heel goed idee, jij bent van dat ding afhankelijk voor zowat alles, maar zij laten 'm gewoon in de wc donderen. Vaak genoeg gezien in omgeving.

Bij correct gebruik is de kans op een onterechte ontgrendeling door een ander veel kleiner dan met Touch-ID.

[Reactie gewijzigd door PhilipsFan op 27 juli 2024 02:13]

[z1rconium]

Algemeen probleem trouwens, google voor voorbeelden.

Impact: A 3D model constructed to look like the enrolled user may be able to authenticate via Face ID

Description: This issue was addressed by improving Face ID anti-spoofing models.

Installeer de update en report back.

[R-utger]

Is dat bij een iPhone of een Android toestel?
Wel benieuwd naar

[treative]

Android toestellen hebben geen FaceID.

[stardebris]

Heb je het hier over iPhone Face ID of een Android toestel?

[FreshMaker]

Dat je kind je telefoon kan openen (mijn dochter kan mijn vrouws telefoon openen met haar gezicht), gaan ze dat ook fixen? Mijn dochter lijkt niet eens zoveel op mijn vrouw, ze heeft mijn (Javaanse) neus, en mijn vrouw heeft een heel andere neus.

Algemeen probleem trouwens, google voor voorbeelden.

Wel kleurtje ?
Want in meerdere onderzoeken naar gezichtsherkenning, is al gebleken dat het eigenlijk feilloos werkt - zolang je maar blank / licht getint bent.
Zodra je al donkere tinten gaat vertonen hebben de systemen er 'moeite' mee om onderscheid te maken.
Mijn nichtje ( indo ) en haar zusje lijken niet op elkaar, maar krijgen dit onder de juiste hoek en verlichting ook voor elkaar op elkaars telefoons.
Terwijl mijn broertje en vader ernstig op elkaar lijken, dit niet hebben ( want Kaukasisch )

[Sebast1aan]

Yup, indo's en Antilliaanse mixen hier.

[Reactie gewijzigd door Sebast1aan op 27 juli 2024 02:13]

[RangedNeedles]

Dus voor iOS 14 komt deze fix er niet? Of is er met iOS 15 iets veranderd aan de implementatie waardoor de fix alleen hier nodig is?

[eggsforpedro]

Zijn er devices met Face ID die niet op iOS15 kunnen draaien?

[RangedNeedles]

Geen idee, maar je hoéft toch niet (onmiddellijk) te upgraden? Niet voor niets blijft Apple gewoon ook iOS 14 ondersteunen. Je krijgt de keuze om te upgraden, wat in het verleden wel wat anders lag.

[Reactie gewijzigd door RangedNeedles op 27 juli 2024 02:13]

[Replic]

Waarom zou je niet updaten though?

Enige waarom je dat niet zou doen is voor Jailbreaking (denk ik dan), verder is het eigenlijk nergens voor nodig...

[RangedNeedles]

Omdat upgraden naar een .0 release de eerste dagen of zelfs weken niet super verstandig is, in mijn ogen. Er zitten mogelijk nog wel wat ruwere kantjes aan (ondanks de beta's) en waarschijnlijk moeten sommige app-ontwikkelaars hun apps nog updaten. Aangezien iOS 14 me nu zonder problemen dient en ik niet per se 15 nodig heb voor iets, blijf ik nog wel even hangen op iOS 14.

En dan, onpopulaire mening wellicht, heb je nog het hele CSAM-gedoe, ook al is het voorlopig uitgesteld. Ook daar kijk ik liever nog even de kat uit de boom. Technisch gezien kan het gewoon ingeschakeld worden op een .1 patch release die tegelijk ook een hoop nodige dingen fixt waardoor je 't die moment wel "moet" installeren. Maar ik ben akkoord, da's mogelijk ver gezocht

[aval0ne]

ok dan wacht je een paar dagen en dan update je zo snel mogelijk. Ik zie het probleem niet. Of verdenk je iemand van een 3D model van je hoofd geprint te hebben.

[FreshMaker]

Geen idee, maar je hoéft toch niet (onmiddellijk) te upgraden? Niet voor niets blijft Apple gewoon ook iOS 14 ondersteunen. Je krijgt de keuze om te upgraden, wat in het verleden wel wat anders lag.

Ja, je kreeg de keuze om naar 14.8 te gaan of 15.0
Bij de eerstvolgende patch hou je deze keuze, 14.8 ( dus geen nieuwe security update) of 15.x
Zodra je naar 14.8 zou gaan, komen er alleen nog maar updates uit voor 15.x
Uiteindelijk is het dan jouw 'keuze' om naar 15.x te gaan ....

[Styreta]

neen. iPhone 6s krijgt de iOS 15 zelfs, eerste face ID was the iPhone X, 2 jaar nieuwer dan de 6s.

[jaenster]

Waarom zouden ze? Alle telefoons met faceID krijgen een update naar 15.

[RangedNeedles]

Omdat ze deze keer iOS 14 nog een tijdje blijven ondersteunen

Nu goed, het zal waarschijnlijk komen omdat deze spoof niet super belangrijk is en ze het zo laten. Zoals @Woodsnaps al aangaf.

[Reactie gewijzigd door RangedNeedles op 27 juli 2024 02:13]

[m.z]

Ik heb een iPhone 8, geen faceID en krijg ook gewoon de optie om te updaten.

[Woodsnaps]

Misschien omdat iOS 15 current release is en deze 'security flaw' niet van zulke grootte is om het dus nog in een 'oude' release te implementeren?

[Oon]

Is deze kwetsbaarheid niet al bekend sinds de allereerste versie van Face ID? Kan me herinneren dat er meerdere filmpjes zijn waarin mensen maskers van hun eigen gezicht gebruikten met succes

[bytemaster460]

Een hoop van die filmpjes waren gewoon nep. Ik vraag me af of dat überhaupt mogelijk was.

[Oon]

Dit artikel bewijst dat toch?

[bytemaster460]

Ja, maar er is een verschil tussen beveiligingsexperts die met 3D-printers, klei etc. aan de slag gingen om een model van een hoofd te maken of dat mensen op YT filmpjes posten waarbij ze zogenaamd een simpel masker gebruikten om FaceID te misleiden. Dit artikel gaat over het eerste. Het tweede was meestal fake.

[Oon]

Ik zeg ook zeker niet dat er geen neppe filmpjes waren, maar dit is niet iets nieuwes. Zie de comment van @Ruw ER hieronder bijvoorbeeld.

[Ruw ER]

https://m.youtube.com/watch?v=ZwCNG9KFdXs

Zoiets? Hier doet de iphone het wel goed, maar ik kan mij ook herinneren dat er iemand bij de iphone X al met een 3d masker faceID om de tuin leide. Zal zo eens verder googlen.

Edit:
Al gevonden, 2017:
https://www.google.com/am...hone-x-face-id-mask-spoof

[Reactie gewijzigd door Ruw ER op 27 juli 2024 02:13]

[marcjo]

Je kan twee gezichten scannen. En als je dat masker scant en je eigen gezicht dan ben je er natuurlijk.

[Ruw ER]

Ik lees hier heel veel opmerkingen dat het allemaal fake is, maar als het fake is, waarom brengt Apple deze patch dan uit..?

[marcjo]

Omdat het wel kan, alleen niet met hele eenvoudig methoden.

[Jboy1991]

Nu nog de mogelijkheid om faceID te gebruiken/activeren in landschap-modus

[Alcmaria]

kan al met de ipad pro, dus waarom dat niet bij de telefoon zou kunnen is me een raadsel

[Tweakert2020]

wellicht andere sensor, of heeft de ipad pro er twee?

[Dark Angel 58]

Waarschijnlijk heeft het te maken met het omgaan van inloggen. Iedereen logt vaak portrait in.
En bovendien is telefoon veel kleiner dan iPad. Daarom hadden ze die optie niet toegevoegd.

[Reactie gewijzigd door Dark Angel 58 op 27 juli 2024 02:13]

[.jef]

Goed voor de VVIP's in de wereld. Ik denk niet dat ik bang moet zijn dat iemand een 3D-versie van mijn hoofd gaat namaken om de onzin op mijn telefoon te kunnen zien...

[Seth156]

Niet zo negatief over je zelf denken

[.jef]

Ik ben anders wel trots op mijn collectie memes hoor

[laptopleon]

Een 3D model is praktisch 100% hetzelfde van vorm, altijd, terwijl je echte gezicht toch vaak een fractie anders is omdat je moe bent of chagrijnig, stoppelbaardje, etc.

Je echte ogen staan elke keer anders gericht ten opzichte van je telefoon, omdat je die wat lager of hoger houdt, of meer naar links/rechts.

Je kan kijkgaten maken in een masker maar dan sluiten je ogen wss niet zo perfect aan.

Verder kun je denken aan huidskleur, ook op het infrarode deel van het spectrum, al weet ik niet of iPhones dat kunnen zien.

Los van elkaar zijn het geen waterdichte controles maar gecombineerd wordt het al een stuk lastiger exact te imiteren.

[Jan Onderwater]

Het bekende probleem van biometrische beveiliging, als het gehackt is, kan je geen nieuw "password" geven. Je vingerafdruk, gezicht of iris blijft hetzelfde. Een goede beveiliging is daarom een lange pin of password, maar ook dat heeft weer andere nadelen.

[FrostyPeet]

Netjes dat Apple het oplost.

Pragmatisch bekeken: als een "indringer" zoveel geld, tijd en materiaal er in steekt om mijn gezicht in 3D na te maken om op mijn iPhone in te loggen zullen ze vast wel eenvoudigere methodes vinden om er in te komen.

Doet mij denken aan dat stripverhaal. 4096 Bits encryptie waarvoor een mega computer jaren nodig heeft om dit te kraken, versus een 5 euro hamer om je op die manier te "overtuigen" om je inlog gegevens te geven.

maar goed, mijn iPhone is zo oud, die ondersteund geen FaceID.

[xChOasx]

http://imgs.xkcd.com/comics/security.png

[mtempels]

Niet om het een of anders maar,

CVE-2021-30863

is rejected.. De reden ken ik niet...

[mutley69]

Face-ID spoofing bewijst dat dit systeem niet waterdicht is - geen van die technologiën van Apple eindigend op -ID is het waard dat het het wachtwoord mag vervangen! Het is niet de eerste keer dat ik dit schrijf en ik ga volhouden met dit te schrijven. Is de oplossing niet erger dan de kwaal?

[FreshMaker]

Face-ID spoofing bewijst dat dit systeem niet waterdicht is - geen van die technologiën van Apple eindigend op -ID is het waard dat het het wachtwoord mag vervangen! Het is niet de eerste keer dat ik dit schrijf en ik ga volhouden met dit te schrijven. Is de oplossing niet erger dan de kwaal?

Het vervangt het niet.
Het is aan jou, de gebruiker om te bepalen of je het inzet.
Je kan prima met een iPhone door het leven, zonder de *-ID's in te zetten.
Je zal dan alleen bij elke ontgrendeling je pincode moeten invoeren, en elke aankoop je apple wachtwoord.
Niets mis mee, werkt prima.

Net als Auto's die hebben de paarden ook niet vervangen, je hebt nog altijd de keuze om te paard te gaan.
Of je een (veilige) parkeerplek kan vinden, dat is een tweede