Abo
  • Services:
Anzeige
Einige Frontkameras sind gut genug, um über die Augenreflexionen Passwörter zu erkennen.
Einige Frontkameras sind gut genug, um über die Augenreflexionen Passwörter zu erkennen. (Bild: Sony)

Sicherheitssysteme gehackt: Passwörter ausspähen mit der Selfie-Kamera

Fingerabdrucksensoren und Iris-Erkennungen lassen sich austricksen: CCC-Hacker Starbug hat dafür einfache Werkzeuge gezeigt und einen Ausblick gegeben, welche bisher unerforschte Biometrietechnik er als Nächstes aushebeln will.

Anzeige

Zahlreiche biometrische Verfahren lassen sich offenbar leicht durch technische Methoden überwinden. Der Hacker Jan Krissler alias Starbug hat auf dem 31. Chaos Communication Congress am Samstag in Hamburg mehrere Verfahren vorgestellt, mit denen Fingerabdrucksensoren sowie Gesichts- oder Iriserkennung ausgetrickst werden können. "Der Iris-Scan ist kaputt", sagte Krissler und demonstrierte dies anhand von Aufnahmen mit Bundeskanzlerin Angela Merkel (CDU). Über die neue Methode, mit Hilfe von Fotos Fingerabdrücke zu erstellen, war bereits zuvor berichtet worden.

In seinem Vortrag zeigte Krissler zunächst, wie sich mittels Smartphone-Kameras beispielsweise Passwörter oder Pins ermitteln lassen, die zum Entsperren von Smartphones notwendig sind. Dabei werden Fotos ausgewertet, die sogar mit der Frontkamera, die gerne für Selbstporträts genutzt wird, aufgenommen wurden. Einige dieser Frontkameras sind mittlerweile genauso gut wie die Hauptkamera des Telefons. Durch die Reflexionen auf der Hornhaut oder einer Brille lassen sich die Fingerpositionen bei der Eingabe von einfachen Zugangsdaten ermitteln, die auf die vereinfachten Tastaturen setzen. Dazu gehören rein numerische Eingaben. Dafür sei die Auflösung moderner Frontkameras mittlerweile ausreichend, da nur wenige Pixel pro Zahl ausreichten, um die Daten herauszufinden. Es brauche zwar einige wenige Versuche, da das Verfahren nicht perfekt sei, aber in der Regel erlauben Smartphones die Mehrfacheingabe von Passwörtern.

Zuvor muss es Hackern natürlich gelungen sein, Zugriff auf die Kamerafunktion des Handys zu erhalten. Das sei aber nicht schwierig, da Anwender mittlerweile daran gewöhnt seien, dass zahlreiche Apps ohne erkennbaren Grund Zugriff auf die Kamera verlangen, so dass Anwender diese dennoch installieren. Angreifer können das mangelnde Sicherheitsbewusstsein der Nutzer ausnutzen. Krissler verwies zudem auf eine Studie der University of North Carolina, die bereits auf der CCS 2013 in Berlin einen solchen Keylogger vorgestellt hatte. Dabei waren die Reflexionen auf Brillen und Toastern ausgewertet worden, um Passwörter abzulesen.

Iris-Erkennung mit Wahlplakaten erstellen

Aufnahmen mit einer normalen Kamera sind laut Krissler auch ausreichend, um Verfahren zur Iriserkennung zu überlisten. Hierzu reicht eine Iris-Aufnahme von 75 Pixeln aus, die mit Spiegelreflexkameras noch mit dem Abstand von mehreren Metern erzielt werden kann. Krissler zeigte dazu ein Foto von Merkel, das auf einer Pressekonferenz mit einem Teleobjektiv aufgenommen worden war. Selbst Wahlplakate lieferten eine ausreichend hohe Auflösung, um für diese Zwecke genutzt zu werden, berichtet er. Um die Irisscanner auszutricksen, müssten die Fotos allerdings mit einer Druckerauflösung von 1.200 dpi ausgedruckt werden. Bei 600 dpi gebe es Schwierigkeiten bei der Erkennung.

Krissler räumte ein, dass es bei dunkelfarbiger Iris nicht so einfach sei, aus größerer Entfernung die Iris gut zu erfassen. Allerdings ließen sich in diesem Fall mit Hilfe von Infrarotkameras gute Ergebnisse erzielen. Die Lesegeräte böten allerdings keine Sicherheit. Er kenne kein Iris-System, dass sich nicht austricksen lasse. Das gelte auch für Geräte zur Grenzsicherung.

Erschreckend einfach lasse sich auch eine Gesichtserkennung ausschalten, die auf "Lebenderkennung" setzt. So reichte es in der Demonstration aus, ein Foto des Gesichts vor die Kamera zu halten und dann einen dünnen Bleistift von oben nach unten über das Bild zu führen. Damit wurde der Blinzeleffekt simuliert, der offenbar für eine Lebenderkennung ausreicht.

Der Venenscanner wird als Nächstes erforscht

Eine der noch wenigen nicht geknackten Biometrietechniken ist der Venenscanner, der schon lange zum Einsatz kommt. Fujitsu baut sie mittlerweile in Notebooks ein. Diese im Vergleich zu Fingerabdrucksensoren sehr hygienische Methode eignet sich vor allem für Bereiche, bei denen sich viele Personen authentifizieren müssen und bei denen Iris-Scanner oder Fingerabdrucksensoren nicht ausreichen. Anwender authentifizieren sich dabei mit Hilfe eines Venenabbilds in der Hand. Ein Venenscanner analysiert die Handinnenfläche, die über dem Gerät schwebt und erkennt so die eindeutige Venenstruktur mit. Dieses Abbild lässt sich im Unterschied zu einer Iris, einem Gesicht oder einem Fingerabdruck nicht einfach abfotografieren.

Doch Starbug arbeitet schon daran, die lange unbeachtete Biometrietechnik auszutricksen. Wer eine Venenscanner-Installation einsetzt, kann sich möglicherweise nicht mehr lange sicher fühlen: Starbug hat bereits erste Experimente durchgeführt und konnte zumindest gute und hochauflösene Abbilder erzeugen, wie er berichtete. Dazu verwendete er ebenfalls Infrarotkameras. Eine Überlistung dieser Biometriescanner steht aber noch aus.


eye home zur Startseite
plutoniumsulfat 29. Dez 2014

da gibt's noch so einige andere Benutzer ;)

plutoniumsulfat 29. Dez 2014

klappt nur nicht, wenn es offline ist.

der kleine boss 29. Dez 2014

??? Ich sehe jeden Tag Rektalöffnungen auf Wahlplakaten.

plutoniumsulfat 29. Dez 2014

Übers Internet entfällt eben der Vorteil vom Internet ;)



Anzeige

Stellenmarkt
  1. KKH Kaufmännische Krankenkasse, Hannover
  2. T-Systems International GmbH, Bonn, Berlin, Darmstadt
  3. MÜLHEIM PIPECOATINGS GmbH, Mülheim an der Ruhr
  4. VITA Zahnfabrik H. Rauter GmbH & Co. KG, Bad Säckingen


Anzeige
Hardware-Angebote
  1. bei Alternate
  2. bei Caseking

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Kritische Bereiche der IT-Sicherheit in Unternehmen
  2. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  3. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie


  1. Whistleblowerin

    Obama begnadigt Chelsea Manning

  2. Stadtnetz

    Straßenbeleuchtung als Wifi-Standort problematisch

  3. Netzsperren

    UK-Regierung könnte Pornozensur willkürlich beschließen

  4. Kartendienst

    Google Maps soll künftig Parksituation anzeigen

  5. PowerVR Series 8XE Plus

    Imgtechs Smartphone-GPUs erhalten ein Leistungsplus

  6. Projekt Quantum

    GPU-Prozess kann Firefox schneller und sicherer machen

  7. TV-Kabelnetz

    Tele Columbus will höhere Datenrate und mobile Conversion

  8. Fingerprinting

    Nutzer lassen sich über Browser hinweg tracken

  9. Raumfahrt

    Chinas erster Raumfrachter Tianzhou 1 ist fertig

  10. Bezahlinhalte

    Bild fordert Obergrenze für Focus Online



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
GPD Win im Test: Crysis in der Hosentasche
GPD Win im Test
Crysis in der Hosentasche
  1. Project CSX ZTEs Community-Smartphone kommt nicht gut an
  2. Google Pixel-Lautsprecher knackt bei maximaler Lautstärke
  3. Tastaturhülle Canopy hält Magic Keyboard und iPad zum Arbeiten zusammen

Tado im Test: Heizkörperthermostate mit effizientem Stalker-Modus
Tado im Test
Heizkörperthermostate mit effizientem Stalker-Modus
  1. Focalcrest Mixtile Hub soll inkompatible Produkte in Homekit einbinden
  2. Airbot LG stellt Roboter für Flughäfen vor
  3. Smarte Lautsprecher Die Stimme ist das Interface der Zukunft

Routertest: Der nicht ganz so schnelle Linksys WRT3200ACM
Routertest
Der nicht ganz so schnelle Linksys WRT3200ACM
  1. Norton Core Symantec bietet sicheren Router mit Kreditkartenpflicht
  2. Routerfreiheit bei Vodafone Der Kampf um die eigene Telefonnummer
  3. Router-Schwachstellen 100.000 Kunden in Großbritannien von Störungen betroffen

  1. Re: Snowden-Begründung kompletter Mumpitz.

    deadeye | 04:36

  2. Re: "Wir bauen mehr Glasfaser als jeder andere...

    bombinho | 04:31

  3. Re: Ist dies die Situation in der gesamtem EX...

    Golressy | 04:26

  4. Re: Dann baut man halt Schalter in die Laternen ein

    Golressy | 04:21

  5. sehr schwierig genügend Wifi-Antennenstandorte an...

    Keridalspidialose | 03:17


  1. 22:50

  2. 19:05

  3. 17:57

  4. 17:33

  5. 17:00

  6. 16:57

  7. 16:49

  8. 16:48


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel