Gefährliche Sicherheitslücken 13.08.2015, 06:33 Uhr

Hacker können Fingerabdrücke von Android-Smartphones klauen

Ein Passwort kann man ändern, wenn es geklaut wurde, einen Fingerabdruck nicht. Umso alarmierender die Nachricht: Vier US-amerikanische Sicherheitsexperten haben es geschafft, Fingerabdrücke von Android-Smartphone-Usern zu klauen.

Demonstration des Bezahlsystems Apple Pay: Immer mehr Hersteller beziehen den Fingerabdruck in ihre Dienste ein. Entsprechend gut sollten sie ihn sichern, fordern Sicherheitsexperten.

Demonstration des Bezahlsystems Apple Pay: Immer mehr Hersteller beziehen den Fingerabdruck in ihre Dienste ein. Entsprechend gut sollten sie ihn sichern, fordern Sicherheitsexperten.

Foto: Monica Davey/dpa

Vier Forscher des kalifornischen IT-Sicherheitsunternehmens Fireeye nahmen sich die Sicherheitsarchitektur von Smartphones mit Fingerabdruckscanner vor. In einem Bericht, den sie auf der IT-Sicherheitskonferenz Black Hat in Las Vegas Anfang August veröffentlichten, berichten sie von gravierenden Sicherheitslücken auf Geräten mit dem mobilen Betriebssystem Android.

Unter anderem fanden sie heraus, dass der Fingerabdruck des Anwenders auf einem HTC One Max als Bilddatei in einem Verzeichnis mit universalen Leserechten gespeichert wurde. Für einen Hacker sei es ein Leichtes, die Datei abzugreifen. HTC habe diese Schwachstelle aber bereits per Patch behoben, schreiben die Autoren.

Massenhaftes Ausspähen von Fingerabdrücken wäre eine Katastrophe

Die Autoren gehen davon aus, dass im Jahr 2019 rund 50 % aller ausgelieferten Smartphones mit Fingerabdrucksensor ausgerüstet sein werden. Der Fingerabdruckscanner ist schon heute nicht nur ein nettes Gimmick, mit dem man sein Smartphone flott entsperren kann. Vielmehr dient er bereits zur Autorisierung von Bezahlvorgängen per Smartphone – wie bei Apple Pay.

Das massenhafte Ausspähen von Fingerabdrücken auf Smartphones wäre eine Katastrophe, warnen die Autoren. Denn der Fingerabdruck könne nicht geändert werden, wenn er geklaut wurde, und identifiziere den Anwender ein Leben lang – zum Beispiel auch auf biometrischen Ausweisen.

Die Treiber des Fingerabdruckscanners laufen auf vielen Mobilgeräten auf der untersten Betriebssystemebene, dem Kernel, ab. So auch beim HTC One Max. Ein Hacker, der sich über durchaus bekannte Schwachstellen Zugriff auf den Kernel verschafft habe, könne auch Fingerabdruckdaten klauen, so die Autoren.

Fingerabdruckscanner des HTC One max: Bis vor kurzem hat das Smartphone den Fingerabdruck als Bilddatei in einem Verzeichnis mit universellen Leserechten gespeichert. HTC hat diese Sicherheitslücke aber bereits geschlossen.

Fingerabdruckscanner des HTC One max: Bis vor kurzem hat das Smartphone den Fingerabdruck als Bilddatei in einem Verzeichnis mit universellen Leserechten gespeichert. HTC hat diese Sicherheitslücke aber bereits geschlossen.

Quelle: HTC

Daher sollten Fingerabdrücke in einem extra gesicherten Bereich gespeichert werden, in der sogenannten Trustzone. Und dieser extra gesicherte Bereich müsse die Betriebssystemebene einschließen, fordern die Experten – so wie es das AMR-Sicherheitskonzept Trustzone auch vorsieht. Auch sämtliche Anwendungen, bei denen der Fingerabdrucksensor zu Einsatz kommt, müssten im Sicherheitsmodus ablaufen.

Malware sammelt fleißig jeden Fingerabdruck

Zwar gibt es Gerätehersteller, die dieses Sicherheitskonzept umsetzen. Doch auch auf solchen Geräten entdeckten die Fireeye-Experten Sicherheitslücken. Viele Hersteller sicherten den Sensor nicht ausreichend ab. In einem der vier Angriffsszenarien, die sie beschreiben, haben auch Anwendungen, die nicht im gesicherten Modus laufen, Zugriff auf den Sensor, wenn er im Hintergrund aktiviert sei, und sammelten fleißig jeden Fingerabdruck.

Unter der Überschrift Confused Authorization Attack beschreiben die Autoren einen Angriff, bei dem der Angreifer das Opfer dazu bringt, eine getarnte schädliche Aktion auszuführen. Dabei zeigt eine eingeschleuste Malware dem Anwender einen simplen Entsperrvorgang per Fingerabdruck an. Tatsächlich autorisiert das Opfer jedoch mit seinem Fingerabdruck eine verdeckte finanzielle Transaktion.

Autorisierung ist nicht gleich Authentifizierung

Möglich seien solche Angriffe, wenn Sicherheitssysteme nicht zwischen der Autorisierung, also der Gewährung von Zugangsrechten, und der Authentifizierung des Nutzers unterschieden. In solchen Fällen authentifiziert sich der Nutzer mit seiner Anmeldung beim Smartphone und kann dann einen Vorgang autorisieren, ohne sich dafür erneut ausweisen zu müssen.

 

Stellenangebote im Bereich Produktmanagement

SEW-EURODRIVE GmbH & Co KG-Firmenlogo
SEW-EURODRIVE GmbH & Co KG Ingenieur Elektrotechnik für die Produkt- und Prozessoptimierung (w/m/d) Bruchsal
HENSOLDT-Firmenlogo
HENSOLDT Systemingenieur Passivradar (w/m/d) Ulm
Techtronic Industries ELC GmbH-Firmenlogo
Techtronic Industries ELC GmbH Technischer Einkäufer (m/w/d) Winnenden
Gross + Froelich GmbH & Co. KG-Firmenlogo
Gross + Froelich GmbH & Co. KG Entwicklungsingenieur/Projektleiter (m/w/d) Weil der Stadt
Sulzer Chemtech-Firmenlogo
Sulzer Chemtech Senior Product and Application Manager Static Mixers and Power (m/f) Winterthur (Schweiz)
HENSOLDT-Firmenlogo
HENSOLDT Systemingenieur (m/w/d) Missile Approach Warning System Oberkochen
Schattdecor AG-Firmenlogo
Schattdecor AG Projektleiter (m/w/d) Thansau
Porsche AG-Firmenlogo
Porsche AG Planer (m/w/d) Fertigung Montagetechnik Achsenmontage Zuffenhausen
Rogers Germany GmbH-Firmenlogo
Rogers Germany GmbH Product Marketing Engineer (m/w/d) Eschenbach
SEW-EURODRIVE GmbH & Co KG-Firmenlogo
SEW-EURODRIVE GmbH & Co KG Produktingenieur Elektronische Antriebstechnik (w/m/d) Bruchsal

Alle Produktmanagement Jobs

Top 5 Produkte