Sind Sie sicher, dass Sie es sind?
Von Uli Ries
Kein biometrisches Verfahren wird in absehbarer Zeit die Eingabe von Passwörtern überflüssig machen. Zumindest dann nicht, wenn Sicherheit eine Rolle spielt. Daran ändert auch Apples iPhone 5S nichts, das erstmals einen Fingerabdruckleser in ein millionenfach verkauftes Enkundengerät integriert. Denn trotz Fingerabdruckscanner geht – zumindest im Moment – ohne Passcode beim iPhone nichts.
Das Apple iPhone 5S lässt sich durch Fingerabdrücke entsperren und hat damit Fingerabdruckleser noch einmal in den Mittelpunkt des Interesses gerückt. (Bild: Apple)
Der eingelesene Fingerabdruck hebt über die Touch ID genannte Funktion zwar die Bildschirmsperre auf. Will ein iPhone-Nutzer sein Smartphone aber per einfachem Finger-über-den-Leser-Wischen entsperren, muss er zuvor einen Passcode wählen. Apple erhöht so, gewissermaßen durch die Hintertür, das Schutzniveau seiner Geräte. Denn bislang verwenden nur wenige Anwender einen Entsperrcode – und setzten damit ihre auf dem Gerät gespeicherten, zum großen Teil privaten und vertraulichen Daten der Gefahr aus, dass quasi jedermann sie einsehen könnte.
Dasselbe in 2400 dpi
Der Fingerabdruck ist im Fall des iPhones also nur eine Komfortfunktion, deren Einsatz die Aktivierung des eigentlich grundlegenden Schutzmechanismus voraussetzt. Den Passcode verlangt das Smartphone nur selten, z.B. nach einem Neustart, beim Einkauf im iTunes Store oder nach fünf fehlgeschlagenen Fingerabdruck-Versuchen. Nutzer können also einen längeren Code verwenden, ohne an Anwenderfreundlichkeit zu verlieren – in den meisten Fällen genügt ja das Entsperren per Finger, was sich auch im Laufen bewältigen lässt.
Dass der Fingerabdruckleser keinen Hochsicherheitstrakt aus dem iPhone macht, bewies prompt der deutsche CCC-Hacker Starbug: Er hebelte den Schutz bereits wenige Tage nach dem Verkaufsstart aus. Apple setzt zwar auf einen Scanner mit höherer Auflösung als bei den meisten älteren Endgeräten, doch ließ sich der Reader mit dem gleichen Verfahren übertölpeln, das schon vor etlichen Jahren bei Notebooks funktioniert hatte. Letztendlich überrascht das nicht, denn Apple hat Mitte 2012 das Unternehmen AuthenTec gekauft. Eines der AuthenTec-Produkte: Fingerabdruckscanner, die u.a. bereits von Lenovo, HP und Samsung verwendet wurden. Das sind genau die Produkte, die Starbug in der Vergangenheit bereits mit schöner Regelmäßigkeit austricksen konnte.
Business-Notebooks wie das ThinkPad X1 von Lenovo haben seit Jahren Fingerabdruckleser. Bislang konnte sich die Technik dennoch nicht durchsetzen. (Bild: Lenovo)
Geknackt ist trotzdem gut
Auch die anderen Verfahren, die im IT-Umfeld gängig sind, wie Gesichts- oder Stimmerkennung, sorgen nicht für grenzenlose Sicherheit. Die von Google mit der Version 4.0 seines Smartphone-Betriebssystems Android eingeführte Gesichtserkennung z.B. lässt sich bereits durch ein ausgedrucktes Foto des legitimen Nutzers aushebeln – die „Sicherheitsfunktion“ rangiert also eher auf dem Niveau eines Partygags.
Nicht besser ist es um die Zuverlässigkeit der Gesichtserkennung bei Notebooks bestellt. Inzwischen beherrschen auch Internet-fähige Smart-TVs diese Art der Nutzererkennung. Es gibt zwar bislang keine öffentlich bekannten Hacks dieser Technik. Dennoch dürfte sie mit an Sicherheit grenzender Wahrscheinlichkeit genauso zu umgehen sein, wie sie es bei Smartphones und Notebooks ist. Die recht simplen Attacken, vor denen die Gesichtserkennung kapituliert, sind von Starbugs Fingerabdruck-Hack so weit entfernt wie ein Bastelwettbewerb der örtlichen Grundschule vom ersten 3D-Drucker.
Teil 1 nimmt das iPhone 5S zum Anlass, nachzusehen, was Access Controll per Fingerabdruck eigentlich leisten könnte. Teil 2 sieht nach, welche Lösungen für die Zwei- oder Mehrfaktor-Authentifizierung sich bereits bewährt haben.
Ein Faktor genügt nicht
Unter dem Strich bedeutet die Verwundbarkeit der biometrischen Techniken aber nicht unbedingt ein niedrigeres Schutzniveau – im Gegenteil, wie das Beispiel des iPhone 5S zeigt. Denn durch den Passcode-Zwang bedeutet der Schutz in diesem Fall immerhin der Schritt von gar keinem Passwort zu einem guten Passwort, wenn auch nicht von einem guten zu einem hochsicheren Passwort. Aber ganz egal, welches biometrische Verfahren bei einer Anmeldung zum Einsatz kommt: Keinesfalls darf es der einzige Mechanismus zum Entsperren eines Geräts oder zum Login bei einem (Internet-)Dienst sein. Erst ein Mix schafft Sicherheit.
Schwarz auf Weiß
Dieser Beitrag erschien zuerst in unserem Magazin zur CeBIT 2014. Einen Überblick mit freien Download-Links zu sämtlichen Einzelheften bekommen Sie online im Pressezentrum des MittelstandsWiki.
Ernsthaft problematisch ist die Anfälligkeit des Fingerabdruck-Scanners also nicht. Denn viel wichtiger als seine Verwundbarkeit gegen einen Hack, den ohnehin nicht jedermann beherrscht, ist, dass der iPhone-Besitzer zuvor einen möglichst langen Passcode vergibt. Nur dann werden die Daten auf dem Smartphone verschlüsselt – Fingerabdruck hin oder her. Und das Entsperren per Finger macht dem Anwender das Aktivieren des Passcodes nun einmal deutlich schmackhafter. Daher geht Michael Barrett, Sicherheitschef bei PayPal, davon aus, dass in den nächsten sechs Monaten Fingerabdruckleser auch in Android-Smartphones zu finden sein werden.
Apple bricht mit der variablen Kombination aus Fingerabdruck (immer nötig zum Entsperren) und Passcode (nur manchmal nötig, aber immer möglich) aus der bislang üblichen Konvention aus. Denn bislang finden sich in der Praxis entweder Ein- oder Zwei-Faktor-Authentifizierungen – also prinzipiell nur Passwort bzw. Fingerabdruck oder grundsätzlich immer eine Kombination aus Passwort und einem zweiten Faktor. Solche Zwei-Faktor-Authentifizierungen erhöhen den Schutz deutlich, sind aber weitaus weniger anwenderfreundlich – insbesondere dann, wenn komplexe Kennwörter auf dem kleinen Touchscreen eines Smartphones einzutippen sind.
- Welche praktischen Hilfsmittel es für die Mehrfaktor-Authentifizierung gibt und wie Microsoft der Fingerprint-Technik auf die Sprünge helfen will, schildert Teil 2 dieser Serie.
Uli Ries ist freier Journalist und Autor mit abgeschlossene journalistischer Ausbildung und langjähriger Erfahrung (u.a. bei CHIP, PC Professionell und www.notebookjournal.de). Seine Spezialgebiete sind Mobilität, IT-Sicherheit und Kommunikation – zu diesen Themen tritt er immer wieder auch als Moderator und Fachreferent auf.
Kontakt via Xing
