Sicherheitsrisiko Fingerabdruck und Iris-Scanner

Mittlerweile hat sich der Fingerabdruck als Mittel zur Entsperrung von Smartphones etabliert. Geräte ohne entsprechenden Scanner gelten als altmodisch oder technologisch unterlegen. Experten in Punkto Information Security aber läuft es eiskalt den Rücken runter, wenn sie an den Fortschritt der biometrischen Daten als Authentifizierungsfaktor denken. Und «Biometrische Daten als Authentifizierungsfaktor» ist ein blöder Begriff, weil den versteht eh keiner. Also, Erklärung.

• Biometrische Daten: Alles, was in deinem Körper ist und irgendwie einzigartige Daten liefern kann. Also Fingerabdrücke, Iris, Gehirnströme, Zehenabdrücke, DNA, deine Stimme etc.
• Authentifizierungsfaktor: Etwas, das du benutzt, um auf einen geschützten Raum oder geschützten Dienst zugreifen zu können. Zum Beispiel Schlüssel, PIN, Badge, Passwort etc.

In diesem Artikel rede ich über die biometrischen Daten von Fingerabdrücken und ein bisschen über Iris, weil alle Argumente für und gegen die Fingerabdrücke können mit wenig Umdenken auch auf die Iris angewendet werden.

Die grosse Unsicherheit der Fingerabdrücke

In Film und Fernsehen ist es ein Leichtes, einen Fingerabdruck zu imitieren. Irgendwas mit Staub und Tesafilm. Manchmal sogar mit Wachs oder Gesichtspuder. Im echten Leben kann das aber nicht so einfach sein, oder?

Richtig, denn du brauchst etwas Zeit und einen Baumarkt (oder das Angebot von Galaxus). Hacker Jan Krissler alias Starbug vom Chaos Computer Club ist Experte auf dem Gebiet des Fingerprint Fakings. In einem Video demonstriert er, wie er mit einfachsten Mitteln den biometrischen Sensor des iPhones aushebelt.

Das Problem liegt aber nicht nur darin, dass der Fingerabdruck relativ einfach auszuhebeln ist, sondern in einer Threat Analysis. Eine solche Bedrohungsanalyse ist etwas, das viele Firmen und Privatnutzer erfahrungsgemäss etwas stiefmütterlich behandeln. Oft werden dann Sachen wie «russische Hacker» und «chinesisches Staatshacking» erwähnt, das aber unreflektiert und ohne gross weiterzudenken. Im Alltag ist das eher etwas wie «Aber ich habe ja nichts zu verbergen» oder «Wer will schon an meine Fotos ran?» auch wieder ohne einen Hauch kritischen Hintergedanken und ohne den Gedanken daran, was denn kaputt ist, wenn es denn passieren würde.

Im Wesentlichen ist eine Threat Analysis die gut erforschte Antwort auf die Fragen «Was passiert, wenn eine Sicherheitsvorkehrung scheitert?» Also, was, wenn dein Fingerabdruck gefälscht wird? Dicht gefolgt von Fragen wie «Was wenn alle meine Bilder in meiner iCloud oder meinem Google Drive öffentlich sind?» Willst du mir ehrlich sagen, dass das nicht peinlich wäre? Meine Kollegin hat vor kurzem Nacktbilder von sich selbst auf Google Drive erwähnt. Sie sind zwar für ihren Freund gedacht aber Google hat die netterweise via Photos App in ihre Drive kopiert.

Per Fingerabdruck auf dem Handy kann jeder auf ihre Nacktselfies zugreifen. Will sie das? «Definitiv nicht», sagt sie. Voilà, threat analysis. «Naja, die Bilder in Unterwäsche würden mich jetzt nicht so stören, wenn sie öffentlich wären. Weil sie sind schön inszeniert und alles. Aber die Bilder, die ich für mein Diätprojekt gemacht habe… die wären peinlich», fügt sie an.

Das Nackedei-Problem meiner Kollegin kann aber einfach gelöst werden.

Gut, jetzt wo wir mit Holzleim einen Fingerabdruck fälschen können und uns Gedanken darüber gemacht haben, wo wer wie auf was zugreifen soll, kann oder darf, gehen wir einen Schritt weiter.

Du hast eine begrenzte Anzahl Finger

Ein Passwort ist ein dynamisches Objekt. Will heissen, dass du das beliebig oft verändern kannst. Ob du jetzt 123456 als Passwort hast, yA3XKdpa oder CorrectBatteryStapleHorse ist egal. Wichtig ist, dass du dein Passwort beliebig oft ändern kannst. Du kannst deine Passwortstrategie ändern, die Länge, die Zahlen und Satzzeichen. Das alles kannst du innerhalb weniger Sekunden tun.

Deine Fingerabdrücke hingegen nicht. Du hast genau zehn Fingerabdrücke und die werden dir dein Leben lang erhalten bleiben. Sie ändern sich unter normalen Umständen nicht. Daher: Wenn dir dein Fingerabdruck einmal gestohlen wird, dann ist der für immer unsicher. Wenn ein Angreifer sich also die Mühe macht, dir all deine Fingerabdrücke zu klauen, dann ist die Authentifizierungsmethode für dich gestorben.

Wenn du aber mit dem Abdrucksensor weitermachen willst, dann sind esoterischere Lösungen gefragt. Da wären zehn Zehen, die du noch scannen könntest. Zwei Augen für den Iris-Scanner. Auf einer etwas weniger ernsthaften Seite: Männer haben eine Runde extra. Frauen, ihr habt da leider das Nachsehen.

Aus diesem Witz ist dann Recherche geworden und Reddit User haben allerlei andere Körperteile getestet.

• Der kleine Zeh funktioniert super
• Der Ellbogen konnte nicht registriert werden. Zu Beginn ging das gut, dann aber hat der Sensor nicht mehr mitgemacht
• Zunge funktioniert nicht, egal wie nass sie ist
• Linker Hoden wird zwar registriert, aber beim Entsperren gab es Probleme
• Brustwarzen funktionieren beide, selbst wenn nur eine im Gerät registriert wurde

Es wird schlimmer: Ein Hacker braucht nicht mal mehr dein Telefon

Im obigen Video muss ein Angreifer dein Smartphone haben. Ob er das stiehlt oder kurz ausleiht, spielt keine Rolle. Denn Hacker Starbug hat eine neue Attacke aufgezeigt: Er kann deine Fingerabdrücke aus einem anständig hochauflösenden Foto auslesen und dann mittels oben gesehener Technik nachbilden.

Das hat er vor zwei Jahren geschafft. Jüngst hat die Japan Times enthüllt, dass das nun neu und schockierend möglich sei. Forscher am Japan’s National Institute of Informatics (NII) haben das unter Laborbedingungen hingekriegt. Bis auf eine Distanz von etwa drei Meter sei das möglich. Zum Vergleich: Starbug hat sich ein Bild der deutschen Verteidigungsministerin Ursula von der Leyen aus dem Internet gezogen und war im Baumarkt. Seine Forschung ergibt, dass er aus einer Distanz von bis zu sieben Metern für die Authentisierung brauchbare Fingerabdrücke auslesen kann.

Aber eigentlich geht es der Japan Times gar nicht um die Fotos, die zu Fingerabdrücken führen. Denn dieser Nebensatz dürfte hier wohl der wichtigste sein:

But NII says it has developed a transparent film containing titanium oxide that can be attached to fingers to hide their prints, the reports said.

Das NII schreibt im Report, dass es einen durchsichtigen Film entwickelt hat, der Titanoxid enthält. Er kann an Fingern befestigt werden und verdeckt Fingerabdrücke

Die Gefahr, von HD-Kameras aufgenommen zu werden und so den Fingerabdrücken beraubt zu werden, ist anscheinend so gross, dass bereits jetzt Gegenmassnahmen gesucht und gefunden werden.

Das Recht in der Schweiz

Nur so....zum entsperren des Smartphones mittels Fingerabdrucks kann man gezwungen werden, bei einem Passwort muss man dies jedoch nicht nennen. Nur so zum Thema Sicherheit ;)

Dieser Kommentar wurde von User bluefisch200 auf meinen Text zum Thema Speed-Tuning für Android hinterlassen. Als ich nach einer Quelle gefragt habe, hat mir bluefisch200 einen Link zum Onlinemagazin Mashable geschickt, in dem von einem amerikanischen Richter berichtet wird, der als erster die legale Klassifizierung und Differenzierung von Fingerabdrücken amtlich hat werden lassen:

• Passwörter, PIN und Muster sind Wissen und daher vom 5. Zusatzartikel zur Verfassung der Vereinigten Staaten geschützt.
• Fingerabdrücke sind Beweismittel wie DNA oder ein physischer Schlüssel, deren Herausgabe erzwungen werden kann

Bluefisch200 schliesst daraus, dass das in der Schweiz auch so ist.

«Dem ist nicht so», sagt Martin Steiger. Er ist Anwalt mit Kanzlei in Zürich, der sich auf Fälle im digitalen Raum spezifiziert hat. Der Präzedenzfall aus den USA sei spannend, betreffe aber nicht direkt den schweizerischen Rechtsraum und könne deshalb nicht einfach eins zu eins auf die Schweiz angewendet werden.

Im Gegenteil: «Niemand muss sein Handy entsperren, wenn er oder sie dazu aufgefordert wird, egal ob mit Passwort oder Fingerabdruck», sagt Steiger. Sogar ein entsprechender Durchsuchungsbefehl könne theoretisch angefochten werden, wobei ihm aber noch kein Fingerabdruck-Fall in der Schweiz bekannt sei. Er gehe aber davon aus, dass sich den Strafverfolgungsbehörden diese Frage in der Schweiz schon gestellt habe. Selbst wenn die Polizei auf ein «freiwillig» entsperrtes Handy zugreifen könne, heisse das noch nicht, dass die Beweise vor Gericht verwertet werden könnten.

Ähnlich verhält es sich mit der Abnahme von Fingerabdrücken: Die Polizei darf die Fingerabdrücke abnehmen, doch du kannst dich weigern. Dann kann die Staatsanwaltschaft das mit einem entsprechenden Entscheid als Zwangsmassnahme nachholen. Doch trotz der Abnahme der Abdrücke dürfe die Polizei sie, so Steiger, nicht verwenden, um ein Handy zu entsperren. Also scheitert Starbugs Methode spätestens da. «Aber: Der Schweizer Rechtsstaat nimmt oft die Haltung ‹Der Zweck heiligt die Mittel› ein. Daher wäre ich nicht überrascht, wenn eine zum Entsperren verwendete Fingerattrappe vor Gericht für zulässig erklärt würde», sagt Steiger.

Doch der Anwalt warnt: «Häufig fragt die Polizisten schon beim Erstkontakt mit Beschuldigten nach Passwörtern und PIN. Oder auch danach, dass ein Handy mit Fingerabdruck entsperrt wird.» Diese Fragen müssen aber nicht beantwortet werden. Im Zweifelsfall sollten Beschuldigte zumindest vorläufig die Aussage verweigern und ihr Handy nicht entsperren. Dafür brauche es keinen Grund, denn in einem Rechtsstaat gelte der Grundsatz: «Keiner ist verpflichtet, sich selbst zu belasten».

Das könnte dich auch interessieren