Biometrische Zugangkontrolle, Teil 1

Aus MittelstandsWiki
Wechseln zu: Navigation, Suche

Sind Sie sicher, dass Sie es sind?

Rawpixel

Von Uli Ries

Kein biometrisches Verfahren wird in absehbarer Zeit die Eingabe von Passwörtern überflüssig machen. Zumindest dann nicht, wenn Sicherheit eine Rolle spielt. Daran ändert auch Apples iPhone 5S nichts, das erstmals einen Fingerabdruckleser in ein millionenfach verkauftes Enkundengerät integriert. Denn trotz Fingerabdruckscanner geht – zumindest im Moment – ohne Passcode beim iPhone nichts.

Anzeige

Der eingelesene Fingerabdruck hebt über die Touch ID genannte Funktion zwar die Bildschirmsperre auf. Will ein iPhone-Nutzer sein Smartphone aber per einfachem Finger-über-den-Leser-Wischen entsperren, muss er zuvor einen Passcode wählen. Apple erhöht so, gewissermaßen durch die Hintertür, das Schutzniveau seiner Geräte. Denn bislang verwenden nur wenige Anwender einen Entsperrcode – und setzten damit ihre auf dem Gerät gespeicherten, zum großen Teil privaten und vertraulichen Daten der Gefahr aus, dass quasi jedermann sie einsehen könnte.

CeBIT14 05-iphone.jpg Das Apple iPhone 5S lässt sich durch Finger­abdrücke entsperren und hat damit Finger­abdruck­leser noch einmal in den Mittel­punkt des Interesses gerückt. (Bild: Apple)

Dasselbe in 2400 dpi

Der Fingerabdruck ist im Fall des iPhones also nur eine Komfort­funktion, deren Einsatz die Aktivierung des eigentlich grund­legenden Schutz­mechanismus voraussetzt. Den Pass­code verlangt das Smart­phone nur selten, z.B. nach einem Neustart, beim Einkauf im iTunes Store oder nach fünf fehlgeschlagenen Fingerabdruck-Versuchen. Nutzer können also einen längeren Code verwenden, ohne an Anwenderfreundlichkeit zu verlieren – in den meisten Fällen genügt ja das Entsperren per Finger, was sich auch im Laufen bewältigen lässt.

Dass der Finger­abdruck­leser keinen Hoch­sicherheits­trakt aus dem iPhone macht, bewies prompt der deutsche CCC-Hacker Starbug: Er hebelte den Schutz bereits wenige Tage nach dem Verkaufs­start aus. Apple setzt zwar auf einen Scanner mit höherer Auflösung als bei den meisten älteren Endgeräten, doch ließ sich der Reader mit dem gleichen Verfahren übertölpeln, das schon vor etlichen Jahren bei Note­books funktioniert hatte. Letztendlich überrascht das nicht, denn Apple hat Mitte 2012 das Unternehmen AuthenTec gekauft. Eines der AuthenTec-Produkte: Fingerabdruckscanner, die u.a. bereits von Lenovo, HP und Samsung verwendet wurden. Das sind genau die Produkte, die Starbug in der Vergangenheit bereits mit schöner Regelmäßigkeit austricksen konnte.

CeBIT14 05-biometrie lenovo.jpg Business-Notebooks wie das ThinkPad X1 von Lenovo haben seit Jahren Finger­abdruck­leser. Bislang konnte sich die Technik dennoch nicht durchsetzen. (Bild: Lenovo)

Geknackt ist trotzdem gut

Auch die anderen Verfahren, die im IT-Umfeld gängig sind, wie Gesichts- oder Stimmerkennung, sorgen nicht für grenzenlose Sicherheit. Die von Google mit der Version 4.0 seines Smartphone-Betriebssystems Android eingeführte Gesichtserkennung z.B. lässt sich bereits durch ein ausgedrucktes Foto des legitimen Nutzers aushebeln – die „Sicherheitsfunktion“ rangiert also eher auf dem Niveau eines Partygags.

Nicht besser ist es um die Zuverlässigkeit der Gesichtserkennung bei Notebooks bestellt. Inzwischen beherrschen auch Internet-fähige Smart-TVs diese Art der Nutzererkennung. Es gibt zwar bislang keine öffentlich bekannten Hacks dieser Technik. Dennoch dürfte sie mit an Sicherheit grenzender Wahrscheinlichkeit genauso zu umgehen sein, wie sie es bei Smartphones und Notebooks ist. Die recht simplen Attacken, vor denen die Gesichtserkennung kapituliert, sind von Starbugs Fingerabdruck-Hack so weit entfernt wie ein Bastelwettbewerb der örtlichen Grundschule vom ersten 3D-Drucker.

Serie: Biometrische Zugangskontrolle
Teil 1 nimmt das iPhone 5S zum Anlass, nachzusehen, was Access Controll per Fingerabdruck eigentlich leisten könnte. Teil 2 sieht nach, welche Lösungen für die Zwei- oder Mehrfaktor-Authentifizierung sich bereits bewährt haben.

Ein Faktor genügt nicht

Unter dem Strich bedeutet die Verwundbarkeit der biometrischen Techniken aber nicht unbedingt ein niedrigeres Schutzniveau – im Gegenteil, wie das Beispiel des iPhone 5S zeigt. Denn durch den Passcode-Zwang bedeutet der Schutz in diesem Fall immerhin der Schritt von gar keinem Passwort zu einem guten Passwort, wenn auch nicht von einem guten zu einem hochsicheren Passwort. Aber ganz egal, welches biometrische Verfahren bei einer Anmeldung zum Einsatz kommt: Keinesfalls darf es der einzige Mechanismus zum Entsperren eines Geräts oder zum Login bei einem (Internet-)Dienst sein. Erst ein Mix schafft Sicherheit.

Kommunikation-und-netze-2015-02.jpg
Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserer Magazin­reihe. Einen Über­blick mit freien Down­load-Links zu sämt­lichen Einzel­heften bekommen Sie online im Presse­zentrum des MittelstandsWiki.

Ernsthaft problematisch ist die Anfälligkeit des Fingerabdruck-Scanners also nicht. Denn viel wichtiger als seine Verwundbarkeit gegen einen Hack, den ohnehin nicht jedermann beherrscht, ist, dass der iPhone-Besitzer zuvor einen möglichst langen Passcode vergibt. Nur dann werden die Daten auf dem Smartphone verschlüsselt – Fingerabdruck hin oder her. Und das Entsperren per Finger macht dem Anwender das Aktivieren des Passcodes nun einmal deutlich schmackhafter. Daher geht Michael Barrett, Sicherheitschef bei PayPal, davon aus, dass in den nächsten sechs Monaten Fingerabdruckleser auch in Android-Smartphones zu finden sein werden.

Apple bricht mit der variablen Kombination aus Fingerabdruck (immer nötig zum Entsperren) und Passcode (nur manchmal nötig, aber immer möglich) aus der bislang üblichen Konvention aus. Denn bislang finden sich in der Praxis entweder Ein- oder Zwei-Faktor-Authentifizierungen – also prinzipiell nur Passwort bzw. Fingerabdruck oder grundsätzlich immer eine Kombination aus Passwort und einem zweiten Faktor. Solche Zwei-Faktor-Authentifizierungen erhöhen den Schutz deutlich, sind aber weitaus weniger anwenderfreundlich – insbesondere dann, wenn komplexe Kennwörter auf dem kleinen Touchscreen eines Smartphones einzutippen sind.

Welche praktischen Hilfsmittel es für die Mehrfaktor-Authentifizierung gibt und wie Microsoft der Fingerprint-Technik auf die Sprünge helfen will, schildert Teil 2 dieser Serie.

Nützliche Links