Corneal Key Logger: extrair PINs de smartphones de selfies

O que é o ataque Corneal Key Logger

Corneal Key Logger é um nome dado a um método que recupera informações exibidas em uma tela a partir do reflexo captado na córnea (a parte frontal do olho) numa foto. Em 2015, o pesquisador Jan Krissler (conhecido como Starbug) e sua equipa demonstraram que, com imagens de altíssima resolução, é possível identificar a sequência de toques no teclado numérico de um smartphone — isto é, o PIN.

Definição rápida: córnea — a superfície curva e reflexiva na frente do olho que pode espelhar objetos próximos.

O que foi demonstrado por Starbug

• Extração de reflexos de telas de smartphones registrados no branco do olho (esclera) e na córnea.
• Uso de processamento de imagens em alta resolução para mapear posições dos toques na interface numérica.
• Impressão de íris obtida por fotografia e reprodução em lentes ou impressões para enganar sistemas biométricos.

Starbug afirmou que técnicas simples de fotografia e moldagem podem falsificar impressões digitais e burlar sensores com detecção de vivacidade. Ele também demonstrou um bypass para detecção de piscar e o uso de máscara em papier‑mâché para derrotar reconhecimento facial 3D. Segundo sua apresentação, esta família de ataques mostra que “tudo é falsificável” nos sistemas biométricos atuais.

Como o método funciona (visão técnica resumida)

1. Captura: obter uma foto do rosto com resolução muito alta. Distância, lente e iluminação importam.
2. Isolamento: localizar a região ocular e segmentar a córnea e a esclera.
3. Realce do reflexo: aplicar filtros e técnicas de super‑resolução para aumentar detalhes do reflexo.
4. Projeto geométrico: converter o reflexo curvo em uma projeção plana que corresponde à interface do smartphone.
5. Reconstrução: identificar padrões de brilho e posição que correspondem ao layout numérico e inferir a sequência de toques.

Termos breves: detecção de vivacidade — mecanismos que tentam confirmar se o dedo/rosto/olho pertence a um ser humano vivo (por exemplo, piscadas, calor, textura).

Limitações e quando o ataque falha

• Resolução insuficiente: fotos de baixa resolução normalmente não fornecem detalhes suficientes.
• Ângulo e distância: reflexos pequenos ou ângulos desfavoráveis reduzem a informação recuperável.
• Obstrução: óculos anti‑reflexo, maquiagem, pálpebras, iluminação ambiente forte ou movimentos borram o reflexo.
• Interface dinâmica: teclados aleatórios ou PIN por padrão gráfico (pattern unlock) com aleatoriedade reduzem eficácia.
• Proteções de software: mascaramento do teclado no nível do sistema e limitação de tentativas diminuem o impacto.

Riscos práticos

• Privacidade: selfies públicas e fotos de imprensa podem conter dados exploráveis.
• Segurança: ataques físicos simples (impressões, fotos) podem auxiliar em fraudes contra dispositivos biométricos.
• Reputação: figuras públicas estão em maior risco por exposição frequente a câmeras.

Mitigações e endurecimento de segurança

Recomendações técnicas e práticas para reduzir o risco:

• Evitar publicar ou armazenar fotos de alta resolução em locais públicos.
• Adotar teclados numéricos com layout dinâmico ou aleatorizado em apps sensíveis.
• Usar autenticação multifator (MFA) que combine algo que você sabe (senha) com algo que você tem (token).
• Para fabricantes: integrar detecção ativa de vivacidade com múltiplos sinais (infravermelho, microvibrações, análise térmica).
• Privacy by design: limitar exposição de imagens dentro de aplicações que processam fotografia.

Nota importante: nenhuma mitigação é perfeita; combine várias camadas de defesa.

Checklist por função

Desenvolvedores de apps:

• Evitar mostrar PINs ou informações sensíveis em capturas de tela.
• Implementar teclados aleatórios para operações críticas.
• Logging seguro e políticas de retenção de imagens.

Engenheiros de segurança:

• Testar sensores biométricos contra ataques por imagem e impressões reproduzíveis.
• Avaliar a eficácia da detecção de vivacidade com testes de penetração.
• Definir políticas de bloqueio e notificações para tentativas anômalas.

Profissionais de privacidade / compliance:

• Classificar selfies e fotos de rosto como dados pessoais sensíveis.
• Atualizar bases legais e avisos de consentimento para uso e distribuição de imagens.
• Reavaliar riscos de publicação de fotos de eventos e imprensa.

Usuários finais:

• Evitar selfies em eventos sensíveis.
• Não postar fotos de alta resolução com o rosto visível em redes públicas.
• Habilitar MFA sempre que possível.

Testes e critérios de aceitação

Casos de teste para validar mitigações:

• Tentar reconstruir PIN a partir de uma foto de resolução conhecida; aceitar se falha em ≥95% dos casos.
• Validar teclados aleatórios: assegure que nem layouts nem posições repetitivas permitam inferência.
• Avaliar detecção de vivacidade: confirmar resistência a fotos de alta resolução, máscaras e impressões.

Critérios de aceitação: sistemas biométricos devem resistir a reprodução de amostras físicas simples e revelação por fotografia em condições controladas de laboratório.

Matriz de risco e mitigação (qualitativa)

• Alto impacto / Alta probabilidade: exposição pública de figuras públicas — mitigação: evitar fotos, uso de MFA.
• Médio impacto / Média probabilidade: usuários comuns com fotos em redes sociais — mitigação: educação e configurações de privacidade.
• Baixo impacto / Baixa probabilidade: fotos borradas ou de baixa resolução — mitigação: baixa prioridade.

Privacidade e conformidade (GDPR e similares)

Fotos que contenham rostos são geralmente dados pessoais. Tratar imagens de rosto exige base legal (consentimento, interesse legítimo limitado) e medidas técnicas adequadas. Recomendações:

• Minimize armazenamento de imagens.
• Forneça controles de acesso e logging.
• Atualize avisos de privacidade para cobrir riscos de extração de informação via reflexos.

Alternativas e decisões de projeto

• Em vez de confiar apenas em biometria, implemente MFA com tokens temporários.
• Para desbloqueio local, considerar PINs de alta entropia e limites por tentativa.
• Para autenticação remota, prefira protocolos que não exponham interfaces sensíveis em capturas de tela.

Glossário de uma linha

• PIN: código numérico pessoal usado para autenticação.
• Córnea: superfície frontal do olho que pode refletir imagens próximas.
• Detecção de vivacidade: técnicas que verificam se a amostra biométrica vem de um humano vivo.

Resumo final

A técnica demonstrada por Starbug evidencia que reflexos em olhos capturados por fotos de alta resolução podem revelar informações sensíveis, como PINs. Apesar de exigir condições específicas, o método expõe fraquezas reais na combinação de biometria, fotografia e exposição pública. A defesa mais eficaz combina mudanças de produto (teclados dinâmicos, MFA), melhorias de sensores e práticas de privacidade por design.

Principais ações imediatas: avaliar exposição de imagens em sistemas, implementar MFA, e testar sensores biométricos contra ataques por imagem.