Push-Nachrichten von MacTechNews.de

Würden Sie gerne aktuelle Nachrichten aus der Apple-Welt direkt über Push-Nachrichten erhalten?

Touch ID lässt sich umgehen - mit Abdruckmasse und Knete

Im Vergleich zur Smartphone-Konkurrenz zählt der Fingerabdruck-Sensor des iPhone zu den Leistungsfähigsten am Markt. Das Unternehmen Vkansee hat aber nun demonstriert, dass sich auch Touch ID mit relativ einfachen Mitteln hereinlegen lässt. Erforderlich ist eine Abdruckmasse, wie sie in der Zahnmedizin zum Einsatz kommt. In diese Masse muss der Finger mehrere Minuten lang gedrückt werden. Dadurch erhält der Negativabdruck die nötigen Details des Fingers, um anschließend die Knete ausreichend genau verformen zu können.

Für den zweiten Schritt reicht herkömmliche Play-Doh-Knete aus. Diese wird auf die ausgehärtete Abdruckmasse gedrückt und überzeugt nach ein paar Versuchen den Touch-ID-Sensor davon, dass es sich scheinbar um den Finger des Nutzers handelt. Schuld ist die relativ geringe Auflösung des Sensors, die im Vergleich zur konkurrierenden Lösung von Vkansee nicht genügend Details erfassen kann, um eine Fingerkopie zu erkennen. Während Touch ID auf eine Auflösung von 500 ppi kommt, soll der Sensor von Vkansee stolze 2000 ppi erreichen.

Schon relativ schnell nach Einführung von Touch ID vor drei Jahren war es Sicherheitsexperten gelungen, mit größerem Aufwand einen indirekten Fingerabdruck so in Form zu bringen, dass der iPhone-Sensor diesen für den korrekten Finger hält. Allerdings waren damals noch sehr viele Versuche notwendig und die Materialkosten recht hoch, um Touch ID zu überwinden.

Apple hat im Verlauf der letzten Jahre verschiedene Zusatzsicherungen in iOS integriert, um derartige Hack-Versuche zu erschweren. So ist anstelle von Touch ID die PIN oder das Kennwort erforderlich, wenn das Gerät neu gestartet oder seit längerer Zeit nicht verwendet wurde. Außerdem können Nutzer die Anzahl der Versuch beschränken, bevor sich das Gerät dann selbstständig löscht. Touch ID selbst hat Apple in der Zeit ebenfalls verbessert, allerdings nur bei der Zuverlässigkeit und Geschwindigkeit während der Fingererkennung. Die Auflösung des Sensors blieb dagegen unverändert.

Weiterführende Links:

Beddit ist Geschichte, Apple entfernt Apps

Kurz: 5G-Netze noch mit sehr wenigen Nutzern ++...

Test Apple Mac mini M4

Gescheitert: iPhones von Robotern statt Arbeite...

iPhone 16: Lieferzeiten teils deutlich gestiege...

iPhone 16 Pro in Einzelteilen – Details zum Auf...

TechTicker

Gegenüberstellung: AirPods 4 vs. AirPods Pro 2

Kommentare

Dirk!03.03.16 08:36

OK, dann werde ich in Zukunft also aufpassen müssen, dass mir in der U-Bahn der iPhone-Dieb nicht auch noch unbemerkt meine Finger minutenlang in zahnmedizinische Abdruckmasse drückt. Die Welt wird auch immer komplizierter!

Grolox03.03.16 08:41

Selbst dann , wenn alles klappt halte ich es in freier
Natur für unmöglich an einen sauberen 100% Knete-
abdruck zu kommen . Dann habe ich erst mal ein negativ
und dann noch das Problem welchen Finger ich zum
entsperren benutzt habe zu finden.
Totaler Blödsinn !

Dirk!.. wart mal ab bis der Iris-Scan kommt den ich nur
aktivieren kann wenn vorher mein Finger das iPhone entsperrt hat.
Schlechte Zeiten für das FBI😜

Hühnchen03.03.16 08:42

Denke auch: wer die Möglichkeit hat, meinen Finger minutenlang in die Masse zu drücken, kann doch i d Regel auch gleich kurz mein iPhone entsperren.
Eine weite Sicherheitslücke lässt sich mit einer Gartenschere ausnutzen. Damit lassen sich leicht Fingerkuppen abtrennen, mit denen man das das Gerät entsperren kann.

MKL03.03.16 08:44

Hühnchen

Zur Sicherheit solltest Du aber alle Finger abtrennen, denn Du weißt ja nicht, welcher Finger für Touch ID benutzt wurde.

Schweizer03.03.16 08:48

Hühnchen

Denke auch: wer die Möglichkeit hat, meinen Finger minutenlang in die Masse zu drücken

Minuten lang? Wohl als Kind nie mit Knete gespielt.
Dauert genau 1 Sekunde.

vMief03.03.16 08:48

Es geht auch einfacher:
- Fingerabdruck, zum Beispiel auf einem Glas
- Mit farbigem Pulver sichtbar machen
- Abfotografieren
- Mit einem Tintenstrahldrucker auf Folie drucken (dadurch hat man ein negativ der Rillen)
- Mit Holzleim ausgießen, trocknen lassen
- Fertiger Fingerabdruck

Dante Anita03.03.16 08:51

Schweizer

Hühnchen

Denke auch: wer die Möglichkeit hat, meinen Finger minutenlang in die Masse zu drücken

Minuten lang? Wohl als Kind nie mit Knete gespielt.
Dauert genau 1 Sekunde.

Ich würde sagen: wer die Möglichkeit hat, minutenlang über deinen Finger zu "verfügen", der drückt ihn gleich direkt aufs iPhone, statt sich diesen Aufwand anzutun 😉

sahnehering03.03.16 08:51

CCC hat das schon längst viel einfacher gemacht:
http://www.ccc.de/de/updates/2013/ccc-breaks-apple-touchid

Ich denke darauf bezieht sich auch vMief

Kein Backup, kein Mitleid

Grolox03.03.16 08:53

Schweizer... lese doch mal den Text ...erster Absatz.🤔

Ich sage es nochmal , ich halte es für unmöglich mit einem
Fingerabdruck den ich irgendwo abgreife ein iPhone zu entsperren.
Unter Laborbedingungen mit 100% abdrücken und einiger Technik
ok , aber auch schwierig.

vMief03.03.16 08:54

sahnehering

CCC hat das schon längst viel einfacher gemacht:
http://www.ccc.de/de/updates/2013/ccc-breaks-apple-touchid

Ich denke darauf bezieht sich auch vMief

Ich beziehe mich auf eine Fernsehsendungen, wo die das mal Demonstriert haben, aber das Prinzip ist ja das selbe

Stereotype03.03.16 08:54

Schweizer

Hühnchen

Denke auch: wer die Möglichkeit hat, meinen Finger minutenlang in die Masse zu drücken

Minuten lang? Wohl als Kind nie mit Knete gespielt.
Dauert genau 1 Sekunde.

Versuche doch mal den Text von Anfang an bis zum Schluss zu lesen.

Alex.S03.03.16 08:55

Ist doch ein bekanntes Theme schon vor der Touch ID im iPhone. Mit Kleber gehet es genau so.
Wäre als jemand grade drauf gekommen ist das man ein Schlüsse nachfertigen kann...

Experts you go!

Not so good in German but I do know English and Spanish fluently. Warum ich es mit dem Deutsch überhaupt versuche? Weil ich in Deutschland arbeite! Lechón >:-]

gritsch03.03.16 09:01

Schweizer

Hühnchen

Denke auch: wer die Möglichkeit hat, meinen Finger minutenlang in die Masse zu drücken

Minuten lang? Wohl als Kind nie mit Knete gespielt.
Dauert genau 1 Sekunde.

nein eben nicht. lies nochmal den artikel!

valcoholic03.03.16 09:02

Alex.S

Ist doch ein bekanntes Theme schon vor der Touch ID im iPhone. Mit Kleber gehet es genau so.
Wäre als jemand grade drauf gekommen ist das man ein Schlüsse nachfertigen kann...

Experts you go!

+1

Grundsätzlich schon OK aufzuzeigen, dass das System eben nicht unknackbar ist. Mich wundert es bisschen, dass es allerdings mit MItteln, die bereits vor 50 Jahren in James Bond Filmen demonstriert wurden, einfach mal so geht. Ich frage mich, ob Touch ID nicht zusätzlich mit irgendeiner Form von Spannung registrieren könnte, ob das Objekt ein lebendiger Daumen, oder eben nur ein Stück Knetmasse ist.

Was ich allerdings lustig finde ist, dass man früher superabstrakte 128bit encrypted-sonstwas-Verschlüsselungsmechanismen mit irgendwelchen supernerdigen Hackerorgien geknackt hat (oder auch nicht) und es sich heute mehr in Richtung physische Objekte bewegt. Ich bin mir recht Sicher, dass man Windows Hello genauso mit einer Gipsskulptur des Kopfes, die mit einem Foto überzogen ist, austricksen könnte oder Voicerecognition mit irgendwelchen Aufnahmen.

mkummer03.03.16 09:03

Des sind wieder so Nachrichten… - wenn mich jemand zwingt, meinen Finger auf so eine Masse zu drücken, denn freiwillig werde ich kaum machen, dann kann mich der Betreffende auch gleich dazu zwingen, meinen Finger direkt auf das iPhone selber zu legen. Am einfachsten umgeht man die Touch-ID folglich mit einem Messer oder einer Pistole.

Wir sind die Guten! (Mac-TV)

Grolox03.03.16 09:05

Grundsätzlich geht es mit vielen Materialien ,
doch ihr habt immer erst mal ein Negativ
damit geht es nicht. Wenn ihr jetzt ein
Positiv herstellt kommt immer noch die Hürde
des Scanners totes Gewebe zu erkennen.
Durch Spannungsprüfung und Wiederstands-
messung ist es nicht einfach.
Bei einem anderen Handy als ein iPhone bin ich mir
nicht sicher , aber für ApplePay musste Apple einige
Sicherheitsüberprüfungen durch Banken und
Kreditkartenfirmen über sich ergehen lassen.
Mit einem zufällig abgenommenem Fingerabdruck
zB. von einem Glas geht es nicht bis es mir jemand zeigt.
Nicht mit einem dubiosen Video.

vMief03.03.16 09:12

valcoholic

Ich frage mich, ob Touch ID nicht zusätzlich mit irgendeiner Form von Spannung registrieren könnte, ob das Objekt ein lebendiger Daumen, oder eben nur ein Stück Knetmasse ist.

Man könnte sowas machen, wie der der Apple Watch, die mit irgendwelchen Sensoren prüft, ob die am Arm ist oder nicht. Also irgendwas mit Wärme, Puls, usw. Allerdings würden die Sensoren den Fingerabdrucksensor wieder dicker und teuerer machen.

LoCal03.03.16 09:24

Was ich eher als Problem an sehe ist, dass Polizei und Co auf die Idee kommen könnten, dass 3D-Finger-Abdrücke doch viel besser bei der Verbrechensaufklärung sind … das was diese Firma veröffentlicht hat fällt eher unter die Kategorie "Marketing".
Die Nachrichtenseiten dieser Welt werden nun mit "Kinderknete knackt iPhone" ihre Klickraten erhöhen.

So etwas wie Biometrie wird wahrscheinlich immer hackbar sein.

Ich hab zwar keine Lösung, doch ich bewundere dein Problem

vMief03.03.16 09:33

LoCal

So etwas wie Biometrie wird wahrscheinlich immer hackbar sein.

Wobei bei biometrischen Iris-Scanner wird es schon schwieriger

Edit: Hui, oder auch nicht

CH03.03.16 09:39

Das hat der ccc doch schon 2006 oder 2007 bei einem Händler in Braunschweig vorgeführt. Dort konnten registrierte Geschäftskunden mit Fingerabdruck bezahlen. Inkl. einem "Social engeniering" Ansatz um an die Fingerabdrücke zu kommen .

LoCal03.03.16 10:06

vMief

LoCal

So etwas wie Biometrie wird wahrscheinlich immer hackbar sein.

Wobei bei biometrischen Iris-Scanner wird es schon schwieriger

Edit: Hui, oder auch nicht

Das liegt doch in der Natur der Sache: Biometrie setzt auf bestehende, statische Muster … und sowas wird immer reproduzierbar sein.

Ich hab zwar keine Lösung, doch ich bewundere dein Problem

nane03.03.16 10:17

Eigentlich erfordert das "Finger in Knetmasse drücken" Admin-Rechte... äh ich meine eine persönliche Zustimmung. Kann man ja ablehnen oder? Wird die "Wärme" der Knetmasse nicht auch gemessen?

Kinder in einer Sandbox sollten aber wirklich sicher sein...

Das Leben ist ein langer Traum, an dessen Ende kein Wecker klingelt.

john03.03.16 10:30

Mit einem zufällig abgenommenem Fingerabdruck
zB. von einem Glas geht es nicht bis es mir jemand zeigt.
Nicht mit einem dubiosen Video.

natürlich geht das.
dir muss man das persönlich live zeigen damit du das glaubst?
ich habe noch nie persönlich und live gesehen wie ein mensch erschossen wird, dennoch glaube ich, dass man mit einer pistole einen menschen töten kann. deiner argumentation nach glaubst du das also nicht?

biete support. kostenlos, kompetent und freundlich. wähle zwei.

Radetzky03.03.16 11:11

Bei Golem: "Das Unternehmen Vkansee, das den Test durchführte, erklärt, dass die eigenen optischen Fingerabdrucksensoren genauer arbeiteten und auf diese Weise nicht getäuscht werden könnten."

Alles klar?

Hans.J03.03.16 11:50

Hühnchen

Eine weite Sicherheitslücke lässt sich mit einer Gartenschere ausnutzen. Damit lassen sich leicht Fingerkuppen abtrennen, mit denen man das das Gerät entsperren kann.

Sprichst Du aus Erfahrung?
Und mit was entnimmst Du in Zukunft die Augen wenn dereinst mal der Iris-Scanner kommt?
Hast Du mir noch Deinen Wohnort? Allenfalls könnte ich Dir so in Zukunft weiträumig ausweichen

Stresstest03.03.16 12:17

Sehr konstruierter Fall aus oben genannten Gründen.

Jeder der mit einem vierstelligem Code sein Gerät schützt ist deutlich leichter zu "knacken".

Die Wahrscheinlichkeit, dass ich meinen Finger in eine Knetmasse drückt bis diese ausgehärtet ist, halte ich für deutlich geringer, als das einer in der Bahn / Supermarkt / etc. hinter mir meinen PIN ausspäht.

Das gleiche ist doch mit dem Muster beim Android: Wenn man es wirklich drauf anleget, kennt man nach dem zweiten Mal das Muster von einem, der sein Gerät neben einem entsperrt.

Daneben hat der Fingerabdruck einfach den Vorteil: Man kann ein gutes Passwort wählen (Groß- Kleinbuchstaben, Zahlen, Sonderzeichen) da man es eh nur noch selten eintippen muss.
Für den Alltag reicht es den Finger aufzusetzen und ich kann das Gerät nutzen.

Mecki03.03.16 13:01

Und ein Türschloss kann man mit entsprechenden Werkzeug auch ohne Schlüssel öffnen. Profis öffnen auch jeden Wandsafe in max 2 Stunden - einfache Modelle sogar in wenigen Minuten und das ganz ohne sie zu beschädigen. Wenn der Angreifer dein iPhone dauerhaft in die Hand kriegt, dann hast du eigentlich schon verloren, weil das sollte erst gar nicht passieren. Schutzmechanismen sind so gut wie nie unknackbar, sie dienen nur dazu Zeit zu schinden (z.B. für einen Remote Lock/Wipe) und es den Angreifer so schwer wie möglich zu machen. Einbruchssichere Türen sind auch nicht wirklich einbruchssicher, aber jede Tür, die ein Einbrecher nach 15 Minuten immer noch nicht auf hat, verhindert meistens den Einbruch, weil die meisten dann aufgeben oder es lieber beim Nachbarn versuchen. Der Sensor reicht um einen Taschendieb draußen zu halten, oder einen neugierigen Finder, wenn man das Teil mal verloren oder irgendwo vergessen hat oder auch den Arbeitskollegen, wenn es mal kurz unbewacht am Schreibtisch liegt. Und das macht es besser als mit PIN, den andere Leute leicht ausspähen können, wenn sie mir z.B. beim Eingeben über die Schulter schauen. Wären EC Karten durch Fingerabdruck und nicht durch PIN abgesichert, würde es Skimming quasi nicht geben. Klar, ein schweres und richtig langes Passwort ist sicherer als PIN und Fingerabdruck zusammen, aber wer will das bitte 100x am Tag eingeben, jedes mal wenn er schnell mal sein Gerät entsperren muss? Ein bisschen Komfort muss das ganze schon haben, sonst schalten die Leute es ganz ab und das ist ja wohl das aller Schlechteste.

Legoman03.03.16 13:03

Irisscan? Das hat bei Demolition Man auch mit Hilfe eines Bleistifts und etwas Gewalt ganz gut funktioniert...

Radetzky03.03.16 13:31

Wenn so ein Bruch der Sperre wirklich so einfach wäre, dann würde man jeden Tag davon in den Nachrichten hören und hämische Kommentare alle Foren fluten.
Natürlich müssten dann auch die Banken Apple Pay stilllegen.

Jeronimo03.03.16 13:40

Absoluter Schwachsinn (mal wieder). Solange nicht ein Fall bekannt wird, wo tatsächlich im wirklichen Leben ein fremdes iPhone ohne Wissen bzw. Einwilligung des Eigentümers auf diese Weise entsperrt wird, läuft das unter "aufmerksamkeitsheischende PR-Aktion", so wie auch das Ding vom CCC vor ein paar Jahren.

Übrigens scheint hier leicht vergessen zu werden, aus welcher Ecke diese Sensationsmeldung stammt: nämlich von einem Anbieter von konkurrierenden Fingerabdruck-Sensoren. Das ist dann in etwa zu glaubwürdig wie die regelmäßigen Panikmache-Schlagzeilen, wenn irgendein Anti-Virus-Software-Hersteller wieder herumtönt, OS X sei jetzt aber wirklich mal total unsicher.

Weitere News-Kommentare anzeigen

Touch ID lässt sich umgehen - mit Abdruckmasse und Knete

Kommentare

Kommentieren

Sie müssen sich einloggen, um die News kommentieren zu können.