So einfach lässt sich das Galaxy S8 (angeblich) austricksen
Die Display-Sperre bei Smartphones ist eine extrem wichtige Sicherheitsfunktion, weil sie unsere höchst privaten Informationen (Fotos, Chats, App-Inhalte etc.) vor fremdem Zugriff schützt. Gleichzeitig will man als rechtmässiger Besitzer aber rasch und unkompliziert aufs Gerät zugreifen können.
Schnell, bequem und trotzdem sicher – das ist eine Herausforderung, die jeder Smartphone-Hersteller für seine Kunden zu lösen hat. Wobei es wegen der unterschiedlichen Bedürfnisse (Benutzerfreundlichkeit und Sicherheit) mehr als eine Lösung braucht. Samsung hat sich bei seinen neuen Flaggschiffen, dem Galaxy S8 und dem S8 Plus, für fünf entschieden.
- Fingerabdruck-Scanner
- Gesichtserkennung (über Frontkamera)
- Iris-Scan (über Frontkamera)
- Fingerbewegungen (d.h. man zeichnet auf dem Touch-Screen ein festgelegtes «Sperrmuster»)
- Passwort oder PIN
Als einfachste Lösung für die Generation Selfie, die auch mit Handschuhen (und Sonnenbrille?) funktionieren sollte, wird die automatische Gesichtserkennung vermarktet.
Das Problem: Die automatische Gesichtserkennung lässt sich einfach austricksen, wie ein im Web kursierendes Video zeigt: Man hält einfach ein zweites Handy mit einem Porträtfoto des registrierten Besitzers vor die Kamera, schon wird das Gerät entsperrt.
Gefilmt wurde der beunruhigend einfache «Trick» offensichtlich nach der offiziellen Präsentation im Hands-on-Bereich. Das betroffene Galaxy S8 ist ein Demo-Gerät, denn die neuen Samsung-Handys sind noch nicht erhältlich.
Am Freitag berichtete The Korea Herald, dass die Technologie zur Gesichtserkennung keine ausreichende Sicherheit biete. Als Quelle wird «ein Beobachter der Industrie» genannt.
Biometrische Verwirrung
Fakt ist, dass beträchtliche Verwirrung herrscht rund um die biometrischen Sicherheitsfunktionen und damit verbundene Features, wie etwa das bargeld- und kontaktlose Bezahlen:
- Laut einem früheren Bloomberg-Bericht von Mitte März soll die Gesichtserkennung später auch fürs mobile Bezahlen (Samsung Pay) genutzt werden.
- Doch am Donnerstag berichtete Mashable, dass die Gesichtserkennung nicht für Samsung Pay verwendet werde, dies hätten Samsung-Vertreter bestätigt. Um mit dem Galaxy S8 einen Kaufvorgang zu bestätigen, müsse man den Fingerabdruck-Scanner betätigen oder einen Iris-Scan machen.
Samsung täte gut daran, negative Publicity rund um die Gesichtserkennungs-Technik zu vermeiden. In der Kritik steht bereits die Positionierung des Fingerabdruck-Scanners. Er liegt auf der Rückseite unmittelbar neben der Hauptkamera.
"New #Samsung has finger print reader on the back. 🤔 pic.twitter.com/RFDoCD7b1g" via - _SeanDavid
— WellRounded News (@WellRoundedNews) 30. März 2017
Was wir zur Gesichtserkennung wissen müssen
Folgende Frage in Zusammenhang mit dem Galaxy S8 und S8 Plus sind nicht geklärt – und harte Fakten wird es wohl erst nach dem Verkaufsstart am 28. April geben:
- Wie sicher ist «Entsperren mit dem Gesicht»?
- Kann man das Gerät tatsächlich durch eine simple zweidimensionale Abbildung des Gesichts entsperren?
- Wie muss das Foto beschaffen sein (Grösse, Winkel, Auflösung etc.), damit der Trick funktioniert?
- Beseitigt Samsung die Sicherheitslücke mit einem Update, noch bevor das Galaxy S8 auf den Markt kommt?
Kein neues Phänomen
Automatische Gesichtserkennung für Android-Smartphones gab es auch schon früher – mit dem gleichen Problem, dass sich die Sicherheitsfunktion durch ein Foto überlisten liess.
watson hat Samsung um eine Stellungnahme gebeten. Von Samsung Schweiz kam ein schriftliches Statement:
Die Scanning-Technologie des Samsung Galaxy S8 sowie des Samsung Galaxy S8+ erkennt den Unterschied zwischen dem menschlichen und einem künstlichen Auge sowie auch dem Bild einer Iris.»
Der erste Absatz macht Sinn und lässt zumindest hoffen, dass der Trick mit dem Porträtbild bei der zum Verkaufsstart verfügbaren System-Software nicht mehr funktionieren wird.
Das Problem beim zweiten Absatz: Die Gesichtserkennung und der Iris-Scan sind zwei unterschiedliche biometrische Techniken, die beim Galaxy S8 unabhängig voneinander verfügbar sind. Der Iris-Scan gilt als sehr sicher – und darum wird man später auch Samsung Pay damit nutzen können. Die Gesichtserkennung hingegen ist schneller, bietet aber weniger Sicherheit ...
Samsung Knox sichert Daten
Zur Verteidigung des Herstellers kann man einwenden, dass Samsung andere zuverlässige Sicherheitsmechanismen anbietet. Man kann ein starkes Passwort festlegen – oder man verlässt sich auf den besagten Iris-Scanner, der beide Augen erfasst.
Wobei anzumerken ist, dass wohl die allermeisten User die bequemste Methode wählen dürften. Wer das Handy zig-mal pro Tag entsperrt, will keinen langen Code eingeben. Und der Iris-Scan kann dem Vernehmen nach mehrere Sekunden dauern...
Immerhin können Galaxy-S8-User ihre wertvollsten Daten auch in einem «sicheren Ordner» ablegen. Das ist ein speziell abgeschirmter Speicherplatz auf dem Smartphone, der durch die mobile Sicherheitslösung Samsung Knox geschützt wird.
(via Redmond Pie und 9to5Mac)
Das Galaxy S8 im Hands-on
Das bietet das Galaxy S8 von Samsung (mit Zubehör)
