Über den CCC, Apple und Touch ID

Ein paar einführende Erklärungen

CCC – Chaos Computer Club

Der Chaos Computer Club ist eine […] Gemeinschaft von Lebewesen […]. Diese Gemeinschaft setzt sich grenzüberschreitend für Informationsfreiheit und ein Menschenrecht auf ungehinderte Kommunikation ein. […]
~Quelle: http://www.ccc.de/faq

Touch ID

The home button on the iPhone 5S incorporates a fingerprint recognition system known as Touch ID.
~Quelle: http://en.wikipedia.org/wiki/IPhone_5s#Hardware

Die Nachricht

Seit einigen Stunden kursiert im Internet diese Neuigkeit:

Hackern des Biometrie-Teams des Chaos Computer Clubs (CCC) ist es gelungen, die biometrischen Sicherheitsfunktionen des Apple TouchID mit einfachsten Mitteln zu umgehen.
~Quelle: http://www.ccc.de/de/updates/2013/ccc-breaks-apple-touchid

Was mich nervt…

Mich nervt der Hype im Social-Media über diesen ‚hack‘ (siehe Twitter). Es klingt so als wäre es nicht abzusehen gewesen, dass die etwas machen, was schon seit 2002 funktioniert.

Aber Apple hat auch nie behauptet, dass es nicht zu umgehen sei.

Ein Apple-Sprecher hatte erst vor zehn Tagen beteuert, die Fingerabdrücke, die der Scanner erfasst, seien sicher. Dabei ging es allerdings um die Frage, ob Apple oder etwa die NSA die gespeicherten Abdrücke in eine Datenbank überführen und für andere Zwecke missbrauchen könnten. Das sei nicht möglich, betonte Apple, da der Abdruck nur in Form eines verschlüsselten Datensatzes irgendwo im iPhone-Chip abgelegt werde. Von der Möglichkeit, den Scanner mit einem Foto, einem Drucker und etwas Latex zu überlisten, war damals keine Rede.
Quelle: http://www.spiegel.de/netzwelt/netzpolitik/fingerabdruck-scanner-ccc-hackt-apples-touch-id-a-923797.html

Einen guten Kommentar dazu kommt von „HooMair“. Damit ihr nicht viel klicken muss habe ich ihn mal kopiert:

Der CCC (bei dem ich btw selbst Mitglied bin, weil ich diesen Verein für extrem wichtig und dessen Öffentlichkeitsarbeit in den meisten Fällen für absolut richtig halte) hat nun also bewiesen, was eh klar war: Apple hat die typischen Schwächen von Fingerabdruckscannern auch nicht beheben können. Müssen sie aber auch gar nicht, wenn man mal überlegt, welches „Sicherungsmittel“ ouchID vor allem ersetzen soll:
den popeligen 4stelligen Zahlencode, den 99% der iPhone-User verwenden (die restlichen 1% nutzen komplexe Passwörter und werden auch TouchID vermutlich nicht einsetzen) und welcher durch das noch viel simplere Hausmittel „kurz-beim-Eintippen-auf-die-Finger-schauen“ zu knacken ist! Dieses „Sicherheits“niveau ist kaum zu unterbieten, insofern ist selbst das Niveau, welches TouchID bietet, schon um Faktoren höher, und das ändert sich durch diesen Hack kein Stück. Insofern: danke für die Bestätigung, aber man sollte die Bedeutung dieser Erkenntnis jetzt nicht überschätzen, nur weil es „was von Apple“ betrifft.

Viel interessanter wäre doch ein anderes Szenario gewesen: Stimmt die Behauptung von Apple denn wirklich, dass die Fingerabdruckdaten nur in Hardware auf dem A7 liegen und diesen nie verlassen können? Und wenn man da doch irgendwie rankäme: kann man daraus wirklich nicht den ursprünglichen Fingerabdruck (oder zumindest etwas, was ausreicht, um diesen oder einen anderen biometrischen Sensor zu überzeugen) rekonstruieren? Denn solche Möglichkeiten – das Auslesen vielleicht sogar per Remote-Zugriff ohne physischen Besitz des fraglichen iPhones – würden gleich ganz neue Angriffsvektoren eröffnen! Unter anderem die in den letzten Wochen sehr oft geäußerten Hypothesen, die NSA könne durch TouchID eine ganz neue Quelle für mit realen Personen verknüpfte Fingerabdruckdaten erhalten haben, fußen doch auf genau diesem Angriffszenario und hängen in der Frage, wie realistisch sie wohl tatsächlich sind, entscheidend von dessen Umsetzbarkeit ab.

Hier würden mich fundierte Einschätzungen wirklich interessieren, weil ich eben überhaupt keinen Anhaltspunkt habe, um das Risiko für diesen Angriffsvektor abzuschätzen – anders als bei der Überlistung der Biometrie-Sensorik, wo es schon unzählige Betrachtungen und erfolgreiche Angriffe auf ähnliche Geräte gab, aus denen ich mir sehr gut herleiten kann, für wie sicher ich Apples Lösung halten soll.
Quelle: http://www.heise.de/security/news/foren/S-Gratuliere-leider-ist-das-halt-nur-der-langweilige-Angriffsvektor/forum-265881/msg-24144597/read/

Also warum drehen alle so am Rad, nur weil der CCC etwas gemacht hat, wovon klar war das es funktioniert?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.