Android-Smartphones: Preiswerte Attacke umgeht Fingerabdrucksensoren
Die Bruteprint genannte Attacke kann Fingerabdrucksperren von Android-Smartphones teilweise in weniger als einer Stunde knacken.
Forscher der Universität Zhejiang in China haben eine Methode gefunden, bei Android-Smartphones mit minimalen Mitteln und akzeptablem Zeitaufwand die Fingerabdrucksperre zu umgehen. Die Bruteprint genannte Attacke nutzt den Umstand aus, dass bei den Smartphones keine exakte Übereinstimmung der gespeicherten Fingerabdrücke notwendig ist.
Wie Ars Technica berichtet, reicht es stattdessen aus, dass eine Schwelle an Gemeinsamkeiten erreicht ist. Bruteprint schaltet sich in den Überprüfungsprozess ein und verwendet eine Datenbank an Fingerabdrücken, um einen zu finden, der den gespeicherten Abdrücken ausreichend entspricht. Solche Datenbanken sind durch Leaks verfügbar.
Bruteprint besteht aus einem kleinen Board, das einen STM32F412-Microcontroller und einen Speicher mit einer Fingerabdruckdatenbank enthält. Das Board wird mit dem Smartphone verbunden, wofür es geöffnet werden muss. Dieser Umstand sowie der mitunter notwendige Zeitaufwand dürften unbemerkte Attacken ausschließen.
Wissenschaftler untersuchten zehn verschiedene Modelle
Die Forscher testeten ihr Vorgehen mit zehn Smartphone-Modellen, unter anderem einem Galaxy S10+, einem Xiaomi Mi 11 Ultra, einem Oneplus 7 Pro und einem iPhone 7 und SE. Bei den iPhones funktionierte die Attacke nicht, da die Fingerabdruckdaten verschlüsselt gespeichert werden.
Bruteprint schaltet die bei Android-Smartphones vorhandene Beschränkung aus, die festlegt, wie oft eine Entsperrung mit dem Fingerabdruck erfolglos stattfinden kann. Normalerweise verlangen Android-Geräte nach wenigen erfolglosen Versuchen die Eingabe einer PIN. Durch die Umgehung dieses Mechanismus konnten die Forscher stundenlang versuchen, die Geräte zu entsperren.
Die Zeit, die für eine erfolgreiche Attacke notwendig war, variierte von Gerät zu Gerät. In den Tests der Forscher lag der Zeitaufwand zwischen ungefähr 40 Minuten und 14 Stunden. Der verhältnismäßig niedrige Kostenaufwand von ca. 15 US-Dollar für die elektronischen Komponenten könnte eine solche Attacke für Diebe interessant machen, aber auch für Behörden, die Android-Smartphones beschlagnahmten.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
Und darum dreht sich der gesamte Inhalt des Artikels, Fingerabdrucksensor mit Elektronik...
Da ist aber nicht unbedingt wahrscheinlich, dass es einen Gerichtsbeschluss zu...
Fingerabdrücke können in vielen Ländern, darunter Deutschland, erzwungen werden: https...
Mit "geöffnet" wird in diesem Fall wohl die Hardware gemeint sein und nicht entsperrt...
Kommentieren