Auf iPhones ist Touch ID – mit Ausnahme des aktuellen iPhone SE – mittlerweile Geschichte. Seit etlichen Jahren setzt Apple bei den Smartphones auf Face ID, die ausgefeilte hauseigene 3D-Gesichtserkennung. MacBooks hingegen stattet Apple nach wie vor mit Fingerabdrucksensoren aus, für die Desktops aus Cupertino stehen diese mithilfe einer speziellen Version des Magic Keyboard zur Verfügung. Zahlreiche Notebooks anderer Hersteller verfügen ebenfalls über solche biometrischen Scanner, welche sowohl von Windows als auch Linux unterstützt werden. Im Auftrag von Microsoft untersuchte jetzt das US-amerikanische Unternehmen Blackwing Intelligence, wie sicher diese Systeme sind – mit einigermaßen niederschmetterndem Ergebnis.


Zwei Windows-Notebooks und eine Tastatur auf dem Prüfstand
Die Experten nahmen drei Geräte auf den Prüfstand: Dell Inspirion 15 und Lenovo ThinkPad T14s sowie das Surface Pro Type Cover mit Fingerprint ID für Surface Pro 8 und X aus dem Hause Microsoft. Diese Auswahl erfolgte, weil die Notebooks und die Tastatur mit den drei am häufigsten eingesetzten Fingerabdrucksensoren ausgestattet sind. Vorgabe von Microsoft war darüber hinaus, dass sie das Authentifizierungsverfahren „Windows Hello“ unterstützen. Ihre genaue Vorgehensweise beschreiben die Sicherheitsforscher in einem Blogbeitrag auf den Webseiten von Blackwing Intelligence.

Eigentliche Stärke des Fingerabdrucksensor wird zur Schwäche
Allen drei untersuchten Geräten ist gemeinsam, dass ihre Sensoren über einen speziellen Chip verfügen, welcher die registrierten Fingerabdrücke speichert („Match on Chip“, MoC). Das Betriebssystem kennt diese also selbst nicht. „Windows Hello“ unterstützt ausschließlich diese Authentifizierungsmethode für die Benutzeranmeldung. Was eigentlich zu den Stärken dieses Systems zählen sollte, ist jedoch offenbar ein Schwachpunkt. Gelingt es Angreifern nämlich, den integrierten Scanner durch ein manipuliertes Exemplar auszutauschen oder ihm einen gefälschten Fingerabdruck unterzuschieben, versagt das Sicherheitsfeature und gewährt Unbefugten den Zugriff auf den Rechner. Verhindert werden soll ein solches Vorgehen durch das von Microsoft entwickelte Secure Device Connection Protocol (SDCP). Es stellt – zumindest theoretisch – sicher, dass Windows nur ihm bekannte vertrauenswürdige biometrische Scanner akzeptiert, zudem schützt es den Austausch der Daten zwischen Sensor und Betriebssystem.

„Windows Hello“ ließ sich bei allen Geräten austricksen
Den Sicherheitsexperten gelang es bei allen drei Geräten, diesen Mechanismus zu umgehen. Mithilfe speziell präparierter Scanner konnten sie Windows – und auch Linux – austricksen und sich mit falschen Fingerabdrücken als rechtmäßiger Benutzer anmelden. Die erforderlichen Maßnahmen unterschieden sich dabei, die einzelnen Schritte dokumentiert Blackwing Intelligence in dem ausführlichen und reich illustrierten Blogbeitrag. Besonders bedenklich: Im Falle des Lenovo ThinkPad T14s ist die Nutzung von SDCP deaktiviert, stattdessen kommt TLS zum Einsatz. Darüber hinaus sind die Informationen im Chip des Sensors nur unzureichend verschlüsselt und lassen sich ohne allzu großen Aufwand dekodieren.

Surface Pro Type Cover mit Abstand am unsichersten
Den Gipfel der Unsicherheit stellt ausgerechnet das Microsoft Surface Pro Type Cover mit Fingerprint ID dar: Es nutzt kein SDCP, kommuniziert unverschlüsselt über USB mit dem System und muss sich gegenüber Windows auch nicht authentifizieren. Im Klartext bedeutet das: Jedes beliebige USB-Gerät – die Experten nutzten unter anderem einen Raspberry PI – kann sich als Fingerabdrucksensor ausgeben und einem Benutzer Zugriff auf den Rechner verschaffen. Die Sicherheitsforscher haben sich übrigens vorgenommen, auch Apples Touch ID unter die Lupe zu nehmen – auf das Ergebnis darf man gespannt sein.