Sicherheit von Fingerabdrucksensoren: Es sind erhebliche Zweifel angebracht!

The Verge berichtet von einem Fall, in dem Forscher das Smartphone eines Mordopfers entsperrt haben. Und zwar mit einem nachgemachten Fingerabdruck. Der Clou: Die Forscher probierten verschiedene Wege aus, den Fingerabdruck des Opfers zu klonen und das Phone zu entsperren. Unter anderem auch mit Equipment, das einen Wert von rund 800.000 US-Dollar hatte. Tatsächlich hat aber eine Methode funktioniert, die im Prinzip mit einem handelsüblichen Drucker und ein bisschen Handarbeit umzusetzen ist.

Smartphone macht es Angreifern zu einfach

Eines der größten Probleme war: Die Forscher hatten natürlich direkten und unbegrenzten Zugang zu dem fraglichen Smartphone, einem Samsung Galaxy S6. Das große Sicherheitsproblem: Selbst nach vielen gescheiterten Versuchen war der Fingerabdruckscanner nicht deaktiviert, sondern ließ weitere Erkennungsversuche zu. So hatten die Forscher genügend Zeit, ihren gefälschten Fingerabdruck zu optimieren, bis das Smartphone diesen anstandslos akzeptierte.

Auf einem Samsung Galaxy S7 und einem Nexus 5X konnten wir das gleiche Verhalten beobachten: Selbst nach vielen fehlgeschlagenen Versuchen konnten die Smartphones immer noch mit dem richtigen Finger entsperrt werden. Zwar gab es einige kurze Sperren von 30 Sekunden, danach war aber wieder alles normal. Es ist erstaunlich, dass die Hersteller hier keine höheren Hürden einziehen: Immerhin gibt es zum Fingerabdruck ja stets einen Backup-Code, der alternativ einsetzbar ist.

BlackBerry stellt Sicherheit der Sensoren infrage

Angesichts der vielfältigen Möglichkeiten, aktuellen Scannern einen gefälschten Abdruck unterzujubeln, erscheint es ganz vernünftig, dass beispielsweise BlackBerry sagt, dass man derzeit nicht von der Sicherheit der verfügbaren Sensoren überzeugt sei. Daher sei im BlackBerry DTEK50 auch kein Fingerabdrucksensor integriert.

Würde aber beispielsweise ein Smartphone nach drei Versuchen konsequent einen fünfstelligen Code oder ein Passwort verlangen, wäre das Problem schon deutlich reduziert: Wer immer versucht, das Smartphone zu entsperren, hätte dann nur drei Versuche. Vollständige Sicherheit gewährt freilich auch dies nicht, aber die Hürde wäre erheblich höher.

Neue Technologien wie zum Beispiel der Iris-Scanner des Galaxy Note 7 versprechen eine höhere Sicherheit. Dafür kommt jedoch ein aktiver Infrarot-Scan zum Einsatz. Und die Iris ist biometrisch betrachtet komplexer als ein Fingerabdruck. Aktuell haben Iris-Scanner aber Probleme, wenn Brillen- oder Kontaktlinsenträger diesen verwenden möchten.

Aber wie sollten User derzeit mit einem Fingerabdrucksensor umgehen? Verwenden? Nicht verwenden? Ich sehe es so: Im Alltag ist die Funktion so praktisch, dass ich den Zeitgewinn trotz der offenkundigen Sicherheitsprobleme weiter verwende. Wenn auf meinem Smartphone wirklich vertrauliche Daten lagern würden, dann würde ich dem Fingerabdruck nicht mehr trauen.

Wie regelt Ihr die Sicherheit auf Eurem Smartphone? Erfreut Ihr Euch am Komfort eines Fingerabdrucksensors oder setzt Ihr auf einen sicheren Sperrmechanismus wie ein Passwort? Schreibt es in die Kommentare!

Quelle: The Verge