La reconnaissance faciale du Galaxy S8 mise à mal par une simple photo

Une simple photo affichée sur un smartphone tromperait la reconnaissance faciale du nouveau terminal haut de gamme de Samsung.

Si vous avez suivi le lancement du nouveau smartphone haut de gamme de Samsung, le Galaxy S8, vous avez peut-être noté que le terminal du coréen est « ultra sécurisé » et utilise plusieurs systèmes d'authentification dont un système de code classique, un lecteur d'empreintes digitales et la reconnaissance faciale.C'est ce dernier dispositif qui vient d'être mis à mal quelques semaines avant la commercialisation officielle du téléphone : sur une vidéo de iDeviceHelp publiée par Gizmodo (ci-dessus), un utilisateur déverrouille un modèle de démonstration avec une photo de lui affichée sur son propre téléphone. Un étranger pourrait ainsi déverrouiller votre smartphone en vous ayant discrètement shooté au préalable avec un bridge ou tout autre appareil photo avec une longue focale !

Une faiblesse connue

Ce n'est pas la première fois que la reconnaissance faciale est mise en cause. Outre le fait qu'un jumeau ou quelqu'un ayant l'essentiel de vos traits puisse se faire passer pour vous auprès de la machine, aucun constructeur ne s'est jamais appuyé uniquement sur cette stratégie de protection pour les authentifications et manipulations de données sensibles.

La preuve étant que Samsung, interrogé par ArsTechnica à propos de cette faiblesse, se la joue rassurant en précisant que « […] la reconnaissance faciale, quoi que pratique, ne peut pour le moment pas être utilisée avec le Galaxy S8 pour authentifier l'accès (aux services, ndr) de Samsung Pay ou du Dossier Sécurisé (Secure Folder) ».

Une source industrielle interrogée par le Korean Herald enfonce le clou en affirmant que la reconnaissance faciale est conçue « […] pour un usage fun. Elle ne doit pas être envisagée comme une mesure de sécurité fiable ».

D'autres smartphones comme le nouveau LG G6 intègrent déjà la reconnaissance faciale dans leur panoplie de techniques d'authentification, mais c'est Samsung qui a le plus mis en avant ce système. Et c'est logiquement vers Samsung que se tourne les premiers coups de semonce.Il n'y a pas que dans les smartphones que le visage permet de déverrouiller la machine : Microsoft propose ainsi son système Hello sous Windows 10, un mécanisme fonctionne avec des caméras répondant aux spécifications du système RealSense d'Intel. La différence par rapport au système de Samsung ? Les caméras RealSense sont avant tout des "scanner 3D", c'est à dire des capteurs d'images secondés par des capteurs de profondeurs (généralement proches de l'infrarouge). Quand la caméra de Samsung voit en 2D et se laisse berner par une image, les caméras compatibles avec Windows Hello analysent aussi le relief de votre visage. Une méthode bien plus sécurisé qu'un scan si distant de l'iris.