Abo
  • Services:
Anzeige
Das aktuelle Sicherheitsmodell für Fingerabdruck-Scanner macht es Dieben leicht, Fingerabdrücke zu stehlen.
Das aktuelle Sicherheitsmodell für Fingerabdruck-Scanner macht es Dieben leicht, Fingerabdrücke zu stehlen. (Bild: Fireeye)

Schwachstellen: Fingerabdruckklau leicht gemacht

Das aktuelle Sicherheitsmodell für Fingerabdruck-Scanner macht es Dieben leicht, Fingerabdrücke zu stehlen.
Das aktuelle Sicherheitsmodell für Fingerabdruck-Scanner macht es Dieben leicht, Fingerabdrücke zu stehlen. (Bild: Fireeye)

Fingerabdruck-Scanner unter Android sind teils mit gravierenden Sicherheitsmängeln umgesetzt worden. Mit wenig Aufwand können Fingerabdrücke sogar gestohlen werden.

Anzeige

Passwörter lassen sich ändern, Fingerabdrücke aber nicht, warnen Experten. Umso erstaunlicher ist, wie einige Hersteller die Sicherheit der Fingerabdruck-Scanner unter Android vernachlässigen: Forscher haben gleich mehrere Sicherheitsmängel entdeckt. Der gravierendste dürfte das Speichern von eingelesenen Fingerabdrücken mit universalen Zugriffsrechten betreffen.

Jenseits vom Fingerabdruckklau von Fotos haben sich die IT-Sicherheitsforscher Yulong Zhang, Zhaofeng Chen, Hui Xue und Tao Wei vom Unternehmen Fireeye mit der Implementierung von Scannern auf mobilen Geräten beschäftigt. Auf dem 31C3 spotteten Frank Rieger und Ron vom Chaos Computer Club noch, Biometrie per Fingerabdruck sei nichts weiter als eine bessere Kindersicherung. Und selbst die lässt sich leicht aushebeln.

Ein Fingerabdruck bleibt ein Leben lang

Die Experten bei Fireeye warnen jedoch, Fingerabdruckleser würden bis 2019 weit verbreitet sein. Bereits jetzt werden sie nicht nur zum Anmelden am Smartphone genutzt, sondern auch für finanzielle Transaktionen. Sollte es möglich sein, massenhaft Fingerabdrücke von mobilen Geräten auszulesen, wäre das eine Katastrophe. Denn erstens lassen sich Fingerabdrücke nicht ändern und zweitens lassen sie sich eindeutig mit einer Person assoziieren. Biometrische Ausweise und andere Identifikationsmethoden wären gefährdet, wenn nicht gar obsolet.

Auf der vergangenen Hackerkonferenz Black Hat 2015 haben die Experten vier Angriffsszenarien auf Fingerabdruckleser unter Android beschrieben. Fast alle setzen zwar voraus, dass Malware auf einem Gerät installiert wurde. Mindestens einer könnte aber von völlig harmlosen Apps ausgenutzt werden. Auf dem HTC One Max beispielsweise wurden eingescannte Fingerabdrücke mit universalen Lese- und Schreibrechten gespeichert. Laut den Experten von Fireeye wurde der Hersteller informiert und hat inzwischen diese gravierende Lücke geschlossen.

Mehrere Angriffsvektoren

Unter dem Namen Confused Authorization Attack beschreiben die Experten einen Angriff, bei dem eine App sich als Autorisierungsanwendung ausgibt und so den Benutzer dazu bringt, seinen Fingerabdruck einzugeben. Sicherheitssysteme unterschieden nicht korrekt zwischen Authentifizierung und Autorisierung, resümierten die Forscher. Jeder Autorisierung, etwa um eine Überweisung zu tätigen, müsse immer eine Authentifizierung vorausgehen. Bislang gehen Hersteller davon aus, dass das simple Anmelden bei einem Smartphone den Nutzer authentifiziere und Apps nur noch eine Autorisierung verlangen müssten.

Eine solche zusätzliche Absicherung müsse bereits auf Betriebssystemebene passieren, so die Forscher, etwa durch die Umsetzung von ARMs Sicherheitskonzept Trustzone. In dieser abgeschotteten Zone fände dann die direkte Interaktion mit dem Scanner statt. Dort würden auch die Fingerabdrücke gespeichert. Erst wenn der Nutzer sich erneut authentifiziert, dürfte eine App eine Autorisierung vornehmen. Diese Trustzones trennten sogar auf Kernel-Ebene. Apple setze eine ähnliche Technik bereits erfolgreich ein.

Unzureichend abgeschottet

Aber selbst wenn Trustzone implementiert wurde, ist der Zugriff auf den Sensor laut den Forschern in vielen Fällen nur unzureichend geschützt. Auf den Scanner können Apps auch mit weniger Rechten zugreifen. Bislang laufen Scanner maximal mit Systemrechten, schlimmstenfalls sogar nur mit Root-Rechten. Malware, die sich mit solchen Rechten einnistet, kann nicht nur bereits eingescannte Fingerabdrücke auslesen, sondern auch den Benutzer dazu bringen, seinen Fingerabdruck preiszugeben.

Schließlich sei es auch möglich, dass Angreifer einen Fingerabdruck als Hintertür unbemerkt auf einem Gerät platzierten, beschrieben die Forscher. Allerdings sei ein solcher Angriff äußerst schwierig umzusetzen, da er eine Modifikation der Systemapplikation "Einstellungen" voraussetze. Dazu müssten Angreifer den Schlüssel des Herstellers besitzen oder das ROM so modifizieren, dass das Betriebssystem mit ihrem eigenen Schlüssel signiert werde. Mit Root-Rechten lasse sich aber die Verifizierung der Schlüssel komplett ausschalten.

Nicht nur ein Android-Problem

Nicht nur Android-Geräte, sondern auch viele andere wie Laptops seien für einige der oben beschriebenen Angriffsvektoren anfällig. Auch dort würden die Treiber für Fingerabdruckleser selten in abgeschotteten Umgebungen laufen, sondern meist als Kernel-Treiber. Und auch dort könnten Angreifer, die sich entsprechende Rechte verschafft haben, sie missbrauchen und schlimmstenfalls eines der wichtigsten Identitätsmerkmale eines Anwenders stehlen.


eye home zur Startseite
FreiGeistler 11. Aug 2015

Garantie dafür hast du keine, ein Passwort kannst du in solchen fällen wechseln. Darauf...

Dwalinn 11. Aug 2015

Ich sehe den Fingerabdruck eher als ein einfachen Pin für weniger wichtige Sachen, z.B...

Eheran 10. Aug 2015

Die eigene Kompetenz nicht einschätzen zu können ist leider normal: https://www.youtube...

PeteMeat 10. Aug 2015

Hallo, ich hab dazu ein paar Fragen, vielleicht kennt sich hier jemand aus und kann mir...

al-bundy 10. Aug 2015

Merke: Auch wenn der Gutmichel zum Wutmichel mutiert, bleibt er ein Staatsmichel.



Anzeige

Stellenmarkt
  1. Advice IT Consulting GmbH, Leopoldshöhe
  2. BENTELER-Group, Paderborn
  3. CIBER AG, Heidelberg
  4. W. Gessmann GmbH, Leingarten


Anzeige
Blu-ray-Angebote
  1. 19,99€ (Vorbesteller-Preisgarantie)
  2. (u. a. The Knick, Person of Interest, Shameless, The Wire)
  3. (u. a. Der Schuh des Manitu, Agenten sterben einsam, Space Jam, Dark City)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitskonzeption für das App-getriebene Geschäft
  2. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Neues iPhone

    US-Late-Night-Komiker witzeln über Apple

  2. Festnetz

    Weiterhin kein Internet ohne Telefonie bei der Telekom

  3. Zertifikate

    Mozilla will Startcom und Wosign das Vertrauen entziehen

  4. Kreditkartenmissbrauch

    Trumps Hotelkette mit Malware infiziert

  5. Open Location Platform

    Here lässt Autos miteinander sprechen

  6. Facebook

    100.000 Hassinhalte in einem Monat gelöscht

  7. TV-Kabelnetz

    Unitymedia arbeitet intensiv an verbesserten Ping-Zeiten

  8. DDoS

    Das Internet of Things gefährdet das freie Netz

  9. Hilfe von Google

    Brian Krebs' Blog ist nach DDoS-Angriff wieder erreichbar

  10. Filmdatenbank

    Schauspieler lassen ihr Alter aus dem Internet entfernen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Oliver Stones Film Snowden: Schneewittchen und die nationale Sicherheit
Oliver Stones Film Snowden
Schneewittchen und die nationale Sicherheit
  1. US-Experten im Bundestag Gegen Überwachung helfen keine Gesetze
  2. Neues BND-Gesetz Eco warnt vor unkontrolliertem Zugriff auf deutschen Traffic
  3. Datenschützerin Voßhoff Geheimbericht wirft BND schwere Gesetzesverstöße vor

Fitbit Charge 2 im Test: Fitness mit Herzschlag und Klopfgehäuse
Fitbit Charge 2 im Test
Fitness mit Herzschlag und Klopfgehäuse
  1. Fitbit Ausatmen mit dem Charge 2
  2. Polar M600 Sechs LEDs für eine Pulsmessung
  3. Xiaomi Mi Band 2 im Hands on Fitness-Preisbrecher mit Hack-App

Starship Technologies: Es wird immer nach Diebstahl und Vandalismus gefragt
Starship Technologies
Es wird immer nach Diebstahl und Vandalismus gefragt
  1. Recore Mein Buddy, der Roboter
  2. Weltraumforschung DFKI-Roboter soll auf dem Jupitermond Europa abtauchen
  3. Softrobotik Oktopus-Roboter wird mit Gas angetrieben

  1. Re: Bin Kunde

    Max-M | 03:08

  2. Re: Harte Worte

    Max-M | 02:50

  3. Re: Ist Startcom = Wosign

    0xLeon | 02:32

  4. Re: Das xkcd dazu...

    OxKing | 02:10

  5. Re: Hallo Regulierungsbehörde?

    DASPRiD | 01:45


  1. 19:12

  2. 18:52

  3. 18:34

  4. 18:17

  5. 17:51

  6. 17:25

  7. 16:25

  8. 16:08


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel