Bkav adlı güvenlik firmasının iPhone X Face ID sistemini özel yapım maskelerle aşmayı başardığı öne sürüldü

Vietnam merkezli güvenlik kuruluşu Bkav, Kasım 2017'de iPhone X'in Face ID biyometrik doğrulama sistemini 3D yazıcıyla üretilmiş kompozit maskeler kullanarak yanılttığını iddia etti. Şirket; yaklaşık 150 ABD doları maliyetle hazırlanan, plastik çerçeve, silikon burun ve kâğıt üzerine basılmış 2D göz ile dudak görsellerinden oluşan bir maskeyle sistemin kilidini açtığını gösteren bir video yayımladı. Daha sonra "yapay ikiz" olarak adlandırılan; taş tozu ve kızılötesi baskılı göz görselleri kullanılan yaklaşık 200 dolar maliyetli daha gelişmiş bir yöntemle de benzer bir sonucun elde edildiği bildirildi.

Bkav araştırmacıları, Face ID’nin yapay zekâ tabanlı modellemesinin yüzün yalnızca belirli kısımlarını kontrol ettiğini ve bu durumun sistemi manipülasyona açık hâle getirdiğini savundu. Ancak Wired dergisinin profesyonel makyaj sanatçılarıyla ve binlerce dolarlık bütçelerle yaptığı benzer denemelerin başarısızlıkla sonuçlandığı not edildi. Wired'ın testlerinde silikon, jelatin ve vinil gibi çeşitli materyaller kullanılmasına rağmen sistemin kandırılamadığı; bu durumun Bkav'ın yönteminin başarısını kullanılan spesifik materyal kombinasyonuna veya henüz tam açıklanmayan çalışma prensiplerine dayandırabileceği değerlendirildi.

Olayın pratik risk düzeyi konusunda çeşitli belirsizlikler bulunmaktadır. Bkav, bu yöntemin sıradan kullanıcılar için doğrudan bir tehdit oluşturmadığını; ancak devlet liderleri veya üst düzey yöneticiler gibi hedefli saldırılara maruz kalabilecek kişiler için risk teşkil ettiğini belirtti. Sistemin aşılması için hedef kişinin yüzünün detaylı bir dijital taramasının veya gizli kameralarla çekilmiş çok sayıda fotoğrafının gerektiği vurgulandı. Ayrıca, deney sırasında Apple'ın "Dikkat Gereksinimi" (Attention Aware) özelliğinin aktif olup olmadığı veya maskenin kaçıncı denemede başarılı olduğu bağımsız kaynaklarca doğrulanmamış olup, yöntem diğer güvenlik uzmanları tarafından şüpheyle karşılanmıştır. Cloudflare araştırmacısı Marc Rogers, iddiaların doğrulanması durumunda Face ID'nin Touch ID'den daha az güvenli olduğu anlamına gelebileceğini ifade etmiştir.