Gefährliche Sicherheitslücken 13.08.2015, 06:33 Uhr

Hacker können Fingerabdrücke von Android-Smartphones klauen

Ein Passwort kann man ändern, wenn es geklaut wurde, einen Fingerabdruck nicht. Umso alarmierender die Nachricht: Vier US-amerikanische Sicherheitsexperten haben es geschafft, Fingerabdrücke von Android-Smartphone-Usern zu klauen.

Demonstration des Bezahlsystems Apple Pay: Immer mehr Hersteller beziehen den Fingerabdruck in ihre Dienste ein. Entsprechend gut sollten sie ihn sichern, fordern Sicherheitsexperten.

Demonstration des Bezahlsystems Apple Pay: Immer mehr Hersteller beziehen den Fingerabdruck in ihre Dienste ein. Entsprechend gut sollten sie ihn sichern, fordern Sicherheitsexperten.

Foto: Monica Davey/dpa

Vier Forscher des kalifornischen IT-Sicherheitsunternehmens Fireeye nahmen sich die Sicherheitsarchitektur von Smartphones mit Fingerabdruckscanner vor. In einem Bericht, den sie auf der IT-Sicherheitskonferenz Black Hat in Las Vegas Anfang August veröffentlichten, berichten sie von gravierenden Sicherheitslücken auf Geräten mit dem mobilen Betriebssystem Android.

Unter anderem fanden sie heraus, dass der Fingerabdruck des Anwenders auf einem HTC One Max als Bilddatei in einem Verzeichnis mit universalen Leserechten gespeichert wurde. Für einen Hacker sei es ein Leichtes, die Datei abzugreifen. HTC habe diese Schwachstelle aber bereits per Patch behoben, schreiben die Autoren.

Top Stellenangebote

Zur Jobbörse
Hochschule Esslingen-Firmenlogo
Professor:in für das Lehrgebiet "Konstruktion" Hochschule Esslingen
Göppingen, Esslingen Zum Job 
Safran Data Systems GmbH-Firmenlogo
Testingenieur / Certified Tester (m/w/d) Safran Data Systems GmbH
Bergisch Gladbach Zum Job 
Fraunhofer-Gesellschaft e.V.-Firmenlogo
Sachgebietsleiter*in Technisches Gebäudemanagement - Betrieb, Wartung & Weiterentwicklung Fraunhofer-Gesellschaft e.V.
München Zum Job 
Stadtwerke München GmbH-Firmenlogo
Commissioning Manager Control, Field and Automation Engineering (m/w/d) Stadtwerke München GmbH
München Zum Job 
Hochschule Esslingen-Firmenlogo
Professor:in für das Lehrgebiet "Elektrotechnik und Elektrische Energieversorgung" Hochschule Esslingen
Göppingen, Esslingen Zum Job 
Rhein-Sieg Netz GmbH-Firmenlogo
Ingenieur (m/w/d) Netzbetrieb Rhein-Sieg Netz GmbH
Siegburg Zum Job 
Röhm GmbH-Firmenlogo
Ingenieur (m/w/d) Elektrotechnik / Automatisierungstechnik / EMSR Röhm GmbH
Wesseling Zum Job 
Wasserstraßen- und Schifffahrtsverwaltung des Bundes-Firmenlogo
Bauingenieurinnen / Bauingenieure (m/w/d) Fachrichtung konstruktiver Ingenieurbau Wasserstraßen- und Schifffahrtsverwaltung des Bundes
Brunsbüttel, Rendsburg Zum Job 
BMI Deutschland GmbH-Firmenlogo
Sicherheitsfachkraft / Fachkraft für Arbeitssicherheit (m/w/d) BMI Deutschland GmbH
Dülmen Zum Job 
SWM Services GmbH-Firmenlogo
Inbetriebsetzungsleiter*in für Verfahrenstechnik (m/w/d) SWM Services GmbH
München Zum Job 
Fachhochschule Dortmund-Firmenlogo
Vertretungsprofessur "Produktions- und Qualitätsmanagement"; Fachbereich Maschinenbau Fachhochschule Dortmund
Dortmund Zum Job 
BMI Deutschland GmbH-Firmenlogo
Sicherheitsfachkraft / Fachkraft für Arbeitssicherheit (m/w/d) BMI Deutschland GmbH
Dülmen, Heyrothsberge Zum Job 
Herrenknecht AG-Firmenlogo
Technischer Redakteur (m/w/d) Herrenknecht AG
Schwanau Zum Job 
Wasserstraßen- und Schifffahrtsverwaltung des Bundes-Firmenlogo
Bauingenieurin /Bauingenieur (m/w/d) Wasserstraßen- und Schifffahrtsverwaltung des Bundes
Brunsbüttel Zum Job 
ONTRAS-Firmenlogo
Spezialist Strategische Technologie (m/w/d) ONTRAS
Leipzig Zum Job 
Die Autobahn GmbH des Bundes-Firmenlogo
Techniker als Fachexperte für Vertragsmanagement, Ausschreibung, Vergabe & Abrechnung (w/m/d) Die Autobahn GmbH des Bundes
Krailling bei München Zum Job 
Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO-Firmenlogo
Wissenschaftliche*r Referent*in der Institutsleiterin Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO
Stuttgart Zum Job 
FH Münster-Firmenlogo
Professur für "Strömungstechnik" im Fachbereich Maschinenbau FH Münster
Münster Zum Job 
Technische Hochschule Rosenheim-Firmenlogo
Professorin / Professor (m/w/d) für Applied Embedded Computing Technische Hochschule Rosenheim
Rosenheim Zum Job 
FUNKE Wärmeaustauscher Apparatebau GmbH-Firmenlogo
Verfahrensingenieur (m/w/d) im technischen Vertrieb Rohrbündelwärmeaustauscher FUNKE Wärmeaustauscher Apparatebau GmbH
Gronau (Leine) Zum Job 

Massenhaftes Ausspähen von Fingerabdrücken wäre eine Katastrophe

Die Autoren gehen davon aus, dass im Jahr 2019 rund 50 % aller ausgelieferten Smartphones mit Fingerabdrucksensor ausgerüstet sein werden. Der Fingerabdruckscanner ist schon heute nicht nur ein nettes Gimmick, mit dem man sein Smartphone flott entsperren kann. Vielmehr dient er bereits zur Autorisierung von Bezahlvorgängen per Smartphone – wie bei Apple Pay.

Das massenhafte Ausspähen von Fingerabdrücken auf Smartphones wäre eine Katastrophe, warnen die Autoren. Denn der Fingerabdruck könne nicht geändert werden, wenn er geklaut wurde, und identifiziere den Anwender ein Leben lang – zum Beispiel auch auf biometrischen Ausweisen.

Die Treiber des Fingerabdruckscanners laufen auf vielen Mobilgeräten auf der untersten Betriebssystemebene, dem Kernel, ab. So auch beim HTC One Max. Ein Hacker, der sich über durchaus bekannte Schwachstellen Zugriff auf den Kernel verschafft habe, könne auch Fingerabdruckdaten klauen, so die Autoren.

Fingerabdruckscanner des HTC One max: Bis vor kurzem hat das Smartphone den Fingerabdruck als Bilddatei in einem Verzeichnis mit universellen Leserechten gespeichert. HTC hat diese Sicherheitslücke aber bereits geschlossen.

Fingerabdruckscanner des HTC One max: Bis vor kurzem hat das Smartphone den Fingerabdruck als Bilddatei in einem Verzeichnis mit universellen Leserechten gespeichert. HTC hat diese Sicherheitslücke aber bereits geschlossen.

Quelle: HTC

Daher sollten Fingerabdrücke in einem extra gesicherten Bereich gespeichert werden, in der sogenannten Trustzone. Und dieser extra gesicherte Bereich müsse die Betriebssystemebene einschließen, fordern die Experten – so wie es das AMR-Sicherheitskonzept Trustzone auch vorsieht. Auch sämtliche Anwendungen, bei denen der Fingerabdrucksensor zu Einsatz kommt, müssten im Sicherheitsmodus ablaufen.

Malware sammelt fleißig jeden Fingerabdruck

Zwar gibt es Gerätehersteller, die dieses Sicherheitskonzept umsetzen. Doch auch auf solchen Geräten entdeckten die Fireeye-Experten Sicherheitslücken. Viele Hersteller sicherten den Sensor nicht ausreichend ab. In einem der vier Angriffsszenarien, die sie beschreiben, haben auch Anwendungen, die nicht im gesicherten Modus laufen, Zugriff auf den Sensor, wenn er im Hintergrund aktiviert sei, und sammelten fleißig jeden Fingerabdruck.

Unter der Überschrift Confused Authorization Attack beschreiben die Autoren einen Angriff, bei dem der Angreifer das Opfer dazu bringt, eine getarnte schädliche Aktion auszuführen. Dabei zeigt eine eingeschleuste Malware dem Anwender einen simplen Entsperrvorgang per Fingerabdruck an. Tatsächlich autorisiert das Opfer jedoch mit seinem Fingerabdruck eine verdeckte finanzielle Transaktion.

Autorisierung ist nicht gleich Authentifizierung

Möglich seien solche Angriffe, wenn Sicherheitssysteme nicht zwischen der Autorisierung, also der Gewährung von Zugangsrechten, und der Authentifizierung des Nutzers unterschieden. In solchen Fällen authentifiziert sich der Nutzer mit seiner Anmeldung beim Smartphone und kann dann einen Vorgang autorisieren, ohne sich dafür erneut ausweisen zu müssen.

 

Ein Beitrag von:

  • Susanne Neumann

    Susanne Neumann ist Webjournalistin. „Inhalt mit Anspruch“ ist das Motto der freien Journalistin und Online-Redakteurin. Sie steht für gründliche Recherche, eine verständliche Darstellung auch komplizierter Sachverhalte und Freude am Thema. Sie hat  Politik-, Theater-, und Kommunikationswissenschaften studiert.

Zu unseren Newslettern anmelden

Das Wichtigste immer im Blick: Mit unseren beiden Newslettern verpassen Sie keine News mehr aus der schönen neuen Technikwelt und erhalten Karrieretipps rund um Jobsuche & Bewerbung. Sie begeistert ein Thema mehr als das andere? Dann wählen Sie einfach Ihren kostenfreien Favoriten.