Interview zum Hack der iPhone-TouchID: „Erschreckend einfach“

starbug-hacked-touchidAm Sonntag Abend berichteten wir, dass es einem Hacker des Chaos Computer Clubs gelungen ist, die Fingerabdrucksperre des vor wenigen Tagen erschienen iPhone zu umgehen. Wir haben ein Interview mit Starbug zu seinem Hack geführt.

netzpolitik.org: Woher hast du den Fingerabdruck für die Attrappe? Reicht ein Abdruck einer Flasche oder des iPhones selbst?

Starbug: Für den hier gezeigten Hack habe ich den Abdruck direkt vom Display des iPhones genommen. Die Oberfläche bietet sich ja perfekt an und was gibt es besseres, als den Abdruck gleich auf dem Gerät zu haben, dass man hacken will? Natürlich bieten sich aber auch Abdrücke auf Flaschen oder Türklinken an.

netzpolitik.org: Wie einfach war es für Dich, die Fingerabdrucksperre zu umgehen?

Starbug: Erschreckend einfach. Ich hatte mit ein bis zwei Wochen intensiver Arbeit gerechnet. Aber schon nach den ersten Tests zeigte sich, dass die Frage nach dem Material für die Attrappe keine grosse Rolle spielt. Von da an war es eigentlich nur eine Frage ausreichend guter Auflösungen und Qualitäten der Einzelschritte der Attrappenherstellung.

netzpolitik.org: Braucht man dafür Spezialwissen oder kann das jeder machen?

Starbug: Überhaupt nicht. Eigentlich alle Informationen sind seit Jahren im Internet verfügbar. Der Chaos Computer Club hat schon vor fast zehn Jahren mit einer sehr ähnlichen Technik alle damals verfügbaren Fingerabdruckscanner überlistet.

netzpolitik.org: Was war das schwerste am Hack?

Starbug: Die Nano-Sim schneiden.

netzpolitik.org: Apple sagt, das ist sicher. Und nun?

Starbug: Ich gehe nicht davon aus, dass Apple da großartig Konsequenzen draus ziehen wird. Ihnen muss klar gewesen sein, dass früher oder später jemand kommt und TouchID hackt. Sie sitzen das jetzt aus und verkaufen weiter ihre Telefone. Und die Leute werden sie auch weiter kaufen und natürlich auch den Fingerabdrucksensor weiter benutzen.

netzpolitik.org: Sogar Bruce Schneier sagt, das System wäre ein Kompromiss zwischen Komfort und Sicherheit. Siehst Du das auch so?

Starbug: Ja, mit einer klaren Verschiebung Richtung Komfort. Fairerweise muss man aber auch sagen, dass der Aufwand einen Fingerabdruck nachzumachen schon höher ist, als einem Benutzer bei der Eingabe seines Entsperrcodes über die Schulter zu schauen. Besonders Problematisch wird es in dem Fall, wenn mit dem Fingerabdruck dann Apps gekauft werden und so monetärer Schaden entsteht. Und man muss sich immer vor Augen halten, dass man die Herausgabe eines Codes verweigern kann, das Auflegen des Fingers auf ein Telefon aber nicht.

netzpolitik.org: Kann man Fingerabdrucksperren auch richtig machen? Wenn ja, wie sähe das aus?

Starbug: Apple hatte ja behauptet, dass sie tieferliegende Hautschichten für die Erkennung benutzen. Ein Verfahren würde den hier demonstrierten Angriff unmöglich machen, wenn es Merkmale nutzt, die nicht auf einem Glas oder dem Display des iPhones direkt hinterlassen werden. Allerdings gibt auch bzw. besonders in der Biometrie den Spruch: Es gibt keine sicheren Systeme. Jedes System kann mit ausreichend hohem Aufwand und Zeit und Geld geknackt werden.

netzpolitik.org: Gibt es (überhaupt) biometrische Daten, die zur Authentifizierung geeignet sind?

Starbug: Geeignet sind Daten, die nicht überall hinterlassen werden oder leicht abzufotografieren sind. Das heißt aber auch nur, dass man größeren Aufwand treiben muss, um an die Rohdaten für eine Attrappe zu kommen; überwindbar sind sie trotzdem.

netzpolitik.org: Was ist – neben der Umgehbarkeit – das größte Problem mit biometrischer Identifikation im Alltag? Welche Auswirkungen hat das?

Starbug: Ich empfinde das automatische Identifizieren von Menschen allgemein als problematisch. Vor allem, wenn es z.B. wie bei der Gesichtserkennung ohne das Zutun des Einzelnen passiert. So können Bewegungsprofile erstellt oder Menschen erfasst werden, die an einer Demonstration teilnehmen. In Hamburg gibt es ein Projekt, wo schon Grundschüler ihre Fingerabdrücke hergeben müssen, um ihr Schulessen zu bekommen. Damit werden Menschen an Technik gewöhnt, die früher nur zur Identifizierung von Kriminellen verwendet wurde.

netzpolitik.org: Was machst du jetzt mit dem auf Is Touch ID hacked yet? gespendeten Geld?

Starbug: Das Geld und die Sachspenden gehen komplett an die Raumfahrtagentur, einem Berliner Hackerspace. Bisher sind allein auf dem Paypal-Account schon über 3000 Euro eingetroffen.

18 Kommentare
  1. A. Nonymous 24. Sep 2013 @ 15:49
      • A. Nonymous 24. Sep 2013 @ 16:54
    • Meister_Knobi 24. Sep 2013 @ 21:35
Wir wollen 2016 noch schlagkräftiger werden. Unterstütze unsere Arbeit durch eine Spende für mehr netzpolitik.org, damit wir weiter kritisch und unabhängig bleiben können. Spenden