Analyse
Der neuartige, ins Display integrierte Ultraschall-Finger-Scanner lässt sich mithilfe eines 3D-Druckers überlisten. Doch gehen die Meinungen über die Tragweite des Hacks weit auseinander.
11.04.2019, 08:2311.04.2019, 14:43
Folgen
Hat Samsung bei seinem Flaggschiff, dem Galaxy S10, die Sicherheit sträflich vernachlässigt?
Ein Reddit-User konnte offenbar die biometrische Sicherheitsfunktion, die das neue Android-Topmodell schützt, mit relativ einfachen Mitteln hacken.
Alles, was man laut der kürzlich im Internet veröffentlichten Demonstration braucht:
- Einen Fingerabdruck vom registrierten Besitzer des Samsung-Smartphones. Zum Beispiel von einem Trinkglas.
- Eine Handy-Kamera, ein Bildbearbeitungsprogramm und eine 3D-Modellierungssoftware.
- Einen (billigen) 3D-Drucker.
Welche Geräte sind betroffen?
Betroffen sind das Galaxy S10 und das S10 Plus, das sind die ersten und derzeit einzigen Smartphones, die den Ultraschall-Fingerabdrucksensor von Qualcomm im Display haben.
In Zukunft könnten auch Smartphones anderer Hersteller betroffen sein, die den gleichen Sensor verbauen. Der US-Hersteller bezeichnet die biometrische Authentifizierungstechnik «3D Sonic» und verspricht «leistungsstarken Schutz, auch unter extremen Bedingungen». Sie funktioniere präziser und sicherer als bisherige optische Finger-Scanner.
Das Promo-Video von Qualcomm
Wo ist das Problem?
Sein «Experiment» werfe ethische Fragen und Bedenken auf, hält der Galaxy-S10-Hacker mit dem Pseudonym «darkshark» fest und warnt Smartphone-User:
«Nichts hindert mich daran, deine Fingerabdrücke zu stehlen, ohne dass du es jemals weisst, dann Handschuhe zu drucken mit deinen Fingerabdrücken, und ein Verbrechen zu begehen.»
Mit dem Angriff wolle er darauf aufmerksam machen, dass auch moderne Fingerabdrucksensoren keine sichere Methode seien, um ein Gerät zu sperren, bzw. abzusichern.
Wenn er das Smartphone von jemandem stehle, seien die Fingerabdrücke des Opfers auf der Glasoberfläche zu finden, gibt der unbekannte Hacker zudem zu bedenken. Einem Dieb fielen also Schlüssel und Schloss in die Hände.
Die meisten Bank-Apps erforderten nur eine Fingerabdruck-Authentifizierung, so dass er das Geld in weniger als 15 Minuten von einem fremden Konti abziehen könne, wenn das Handy nur durch den Fingerabdruck gesichert sei.
Der Hacker trägt für den Angriff einen Plastikhandschuh
Der Fingerabdruck des Opfers wurde per 3D-Drucker auf den gläsernen Objektträger aufgetragen.screenshot: imgur
Wie ging der Hacker vor?
Die via Reddit und dem Bilderdienst Imgur verbreitete Anleitung lässt praktisch keine Fragen offen.
- Zunächst machte er ein Foto seines Fingerabdrucks, den er auf einem gebrauchten Weinglas fand. Das tat er aus nächster Nähe mit dem Handy. Mit einer Spiegelreflexkamera (DSLR) wäre es seiner Ansicht möglich, brauchbare Fotos auch aus grösserer Distanz zu schiessen.
- Nun bearbeitete er das Foto mit Photoshop, um den Kontrast des Fingerabdrucks zu erhöhen. Konkret: die Papillarleisten (Rillen) auf der Unterseite der Fingerkuppe.
- Als nächstes übertrug er das bearbeitete Digitalfoto in die Modellierungs-Software 3ds Max, um ein auf Glas ausdruckbares 3D-Modell zu erstellen.
- Für den 3D-Druck verwendete er ein Budget-Gerät, das im Online-Handel weniger als 500 Franken kostet (AnyCubic Photon LCD). Bereits der dritte Versuch klappte, nachdem er zuvor nicht daran gedacht hatte, dass der Fingerabdruck spiegelverkehrt ausgedruckt werden muss.
- Nun ging es an den «Angriff»: Weil der Ultraschallsensor anders als optische Fingerabdruck-Sensoren «kapazitiven Input» braucht, musste er das auf einen Objekträger ausgedruckte Plastikmodell aufs Display drücken.
Der Ausdruck habe keine Viertelstunde gedauert.screenshot: imgur
Und natürlich habe er den Fingerabdruck, der auf seinen Fotos zu sehen sei, verzerrt, betont der Hacker.
Die deutschen Konsumentenschützer von Stiftung Warentest hatten dem Galaxy S10 gute Noten erteilt. Einziger Kritikpunkt war die automatische Gesichtserkennung. Die lasse sich mit einem Foto des Besitzers viel zu leicht überlisten.
Wir halten fest:
- Die Gesichtserkennung des Galaxy S10 lässt sich relativ einfach austricksen. Eine «schnellere Erkennung» (siehe unten) geht zulasten der Sicherheit.
- Der In-Display-Fingerabdruck-Scanner lässt sich ebenfalls mit relativ einfachen Mitteln aushebeln.
screenshot: watson
Was lernen wir daraus?
Bisher nutzen in Smartphone-Displays verbaute Fingerabdruck-Scanner einen optischen Sensor, genauer gesagt eine Kamera, die durch das Display leuchtet. Das sei zum Beispiel bei Smartphones wie dem OnePlus 6T oder Huawei Mate 20 Pro der Fall, hält Computer Base fest.
Der von Samsung angepriesene Ultraschall-Fingerabdrucksensor ist laut Werbung sicherer als bisherige optische Finger-Scanner. Dass die ins Display integrierte Nachfolge-Technologie relativ einfach ausgetrickst werden kann, lässt den Lieferanten Qualcomm ziemlich alt aussehen. Auf eine Anfrage von watson hat das US-Unternehmen nicht reagiert.
Aus Konsumentensicht ist klar: Wenn sich ein Gerät von (kriminellen) Dritten relativ einfach entsperren lässt, sollte man ihm keine heiklen Daten anvertrauen – oder muss diese durch andere Vorkehrungen schützen. So gilt es den Zugriff auf Banking- und Kryptowährungs-Apps, aber auch auf private Fotos, zusätzlich durch einen PIN-Code zu schützen.
Wer auf Nummer sicher gehen will, versieht die Display-Sperre wie in alten Zeiten mit einem langen Zahlencode oder – noch besser – einem alphanumerischen Passwort.
Das unbefriedigende Fazit: Galaxy-S10-User sind gezwungen, zwischen Komfort und Datensicherheit zu wählen.
Im Falle eines Geräte-Verlusts sollten Samsung-User umgehend alle darauf gespeicherten Daten aus der Ferne löschen. Das ist mit der App «Mein Mobilgerät finden» möglich.
Was sagt Samsung?
Nach anfänglichem Schweigen antwortet der koreanische Hersteller mit einer ausführlichen Stellungnahme. Darin wird argumentiert, dass die Angriffsmethode aufwändig sei, also für die meisten User keine echte Gefahr droht:
«Die Methode, mit der der Ultraschall-Fingerabdruckscanner von Samsung entsperrt wurde, erforderte ein professionelles Softwareprogramm, spezifische 3D-Grafikwerkzeuge und 3D-Drucker, um den Fingerabdruck der Person zu simulieren. Eine solch seltene Kombination ist nur schwer herzustellen. Wenn zu irgendeinem Zeitpunkt eine potenzielle Schwachstelle festgestellt wird, werden wir unverzüglich handeln, um das Problem zu untersuchen und zu beheben.»
Zudem verweist Samsung auf umfangreiche interne Prüfungen zur neuartigen biometrischen Technik:
«Der im Display angebrachte Ultraschall-Fingerabdruckscanner des Galaxy S10 bietet eine hohe Sicherheit. Bei der Entwicklung wurden strenge Tests durchgeführt, die ein hohes Mass an Genauigkeit und Sicherheit gewährleisten. Dabei wurden auch Szenarien getestet, z.B. Versuche mit Bildern des Fingerabdrucks einer Person das Smartphone zu entsperren.»
Und jetzt du! (Poll)
Quellen:
(via futurezone.at)
Diese super-nützlichen Apps solltest du unbedingt kennen
1 / 45
Diese super-nützlichen Apps solltest du unbedingt kennen
Samsung erfindet das Kino neu
Das könnte dich auch noch interessieren:
Der Supreme Court hat die Forderung des ehemaligen US-Präsidenten nach «präsidialem Privileg» abgeschmettert. Das schmerzt gleich doppelt.
Jeder Fussballreporter, der etwas auf sich hält, verwendet heute bei jeder passenden und unpassenden Gelegenheit den Begriff «Körpersprache». Gelten für die Politik die gleichen Kriterien wie für den Sport, dann hat das Trump-Lager allen Grund, sich Sorgen zu machen. Die Körpersprache der Mitglieder des Ausschusses zur Abklärung der Ereignisse am 6. Januar gleicht seit Wochen der einer Katze, die soeben eine Maus verspeist hat. Offenbar haben sie schon viele, für Trump vernichtende Fakten, zusammen getragen.
