MASWE-0044: 生物特征认证可被绕过

Beta 版内容

此内容处于 beta 版，仍在积极开发中，因此随时可能发生变化（例如结构、ID、内容、URL 等）。

发送反馈

占位符漏洞

此漏洞尚未创建，它是一个占位符。但您可以查看其状态或自行开始处理。如果问题尚未分配，您可以申请将其分配给您，并按照我们的指南提交包含该漏洞新内容的拉取请求 (PR)。

查看 MASWE-0044 的 GitHub 问题

初始描述或提示

它应该基于解锁平台的 KeyStore / 加密机制，并使用 CryptoObject

相关主题

• 不使用 CryptoObject
• 受访问控制标志（如 kSecAccessControlTouchIDAny 或 kSecAccessControlTouchIDCurrentSet）保护的钥匙串项

参考资料

• https://developer.android.com.cn/training/sign-in/biometric-auth#crypto
• https://labs.withsecure.com/publications/how-secure-is-your-android-keystore-authentication
• https://developer.apple.com/documentation/localauthentication/accessing_keychain_items_with_face_id_or_touch_id
• https://github.com/sensepost/objection/issues/136#issuecomment-419664574
• https://github.com/sensepost/objection/wiki/Understanding-the-iOS-Biometrics-Bypass

MASTG v1 覆盖范围

• MASTG-TEST-0018 - 测试生物特征认证 (安卓)
• MASTG-TEST-0064 - 测试生物特征认证 (iOS)

测试

MASTG-TEST-0266: 与事件绑定的生物特征认证 API 的引用 MASTG-TEST-0267: 与事件绑定的生物特征认证的运行时使用