Vermeintliche Sicherheit: CCC hackt Apple TouchID – Fingerabdrucksperre

- - in Datenschutz - 37 Ergänzungen

Das ging schnell: Der Chaos Computer Club hat mit einfachen Mitteln die Fingerabdrucksperre TouchID im neuen iPhone gehackt. Was verwundert: Das war einfacher als gedacht, zumindest suggerierte Apple, dass das sicher sei. Hier ist die PM: Chaos Computer Club hackt Apple TouchID.

„Tatsächlich hat der Sensor von Apple nur eine höhere Auflösung im Vergleich zu bisherigen Sensoren. Wir mußten nur die Ganularität unseres Kunstfingers ein wenig erhöhen“, erklärt der Hacker mit dem Pseudonym starbug, welcher durch Experimente die Methode für die Überlistung des Sensors optimiert hat. „Seit Jahren warnen wir immer wieder vor der Verwendung von Fingerabdrücken zur Zugriffssicherung. Fingerabdrücke hinterlassen wir überall, und es ist ein Kinderspiel, gefälschte Finger daraus zu erstellen.“

Herzlichen Glückwunsch an Starbug! Hier ist ein Video:

Deine Spende an uns ist eine Spende für Grundrechte.

Uns fehlen noch 292.708 €

Um auch 2025 unsere Arbeit in gewohnter Qualität fortsetzen zu können, brauchen wir jetzt deine Unterstützung. Nur durch deine Spende können wir die Überwacher überwachen und Datenhändlern weiter auf die Finger schauen.

Über die Autor:in

Markus Beckedahl hat schon 2003 in der Ur-Form von netzpolitik.org gebloggt und hat zwischen 2004 bis 2022 die Plattform als Chefredakteur entwickelt. Seit 2024 ist er nicht mehr Teil der Redaktion und schreibt einen Newsletter auf digitalpolitik.de. Kontakt: Mail: markus (ett) netzpolitik.org, Presseanfragen: +49-177-7503541 Er ist auch auf Mastodon, Facebook, Twitter und Instagram zu finden.

Veröffentlicht 22.09.2013 um 20:23
Kategorie
Schlagworte
Weitere Artikel

37 Ergänzungen

    1. Oh man, hab ich da rumdiskutiert… unglaublich, was die sich von Apple einreden lassen. Wie das technisch möglich sein soll mit einem „einfachen“ Scanner, der auch noch günstig herstellbar sein muss, war mir schleierhaft.

  2. Wow – er hat seinen Finger in Wachs gedrückt … und weiter?
    Welcher Handyfinder / -Dieb hat meinen Finger in Wachs gedrückt vorliegen? Keiner … und da fährt er wieder der Wayne Train :-D

    1. Und kein Handyfinder/-Dieb hat ein Foto von mir und dennoch ist die Gesichtserkennung von Android unsicher und wird von Google selbst auch als solches eingestuft.

      1. Einfach die verlinkte Pressemitteilung durchlesen. Da steht einfach und ausführlich wie es funktioniert – OHNE Wachs!

    2. Wieso Wachs? Laut Pressemitteilung reicht ein Foto von deinem Fingerabdruck. Den du auf jeder Glasfläche hinterlässt. Oder sogar auf dem Telefon selbst.

      1. Ob das Wachs oder Holzleim ist, ist ja mehr oder weniger irrelevant.
        Das wichtige: er drückt seinen Finger nicht in Wachs oder Holzleim, sondern erstellt die Attrappe über einen abfotografierten Fingerabdruck. Und den holt man von einem Glas oder sonstwas runter. Sogar direkt vom Telefon. Sieht man ja im Video, dass da ein paar prachtvolle Exemplare direkt auf dem Display sind.

    5. Angenommen ein wichtiger Mensch will da was sichern, oder einer auf den jemand es abgesehen hat, dann holt er sich den Abdruck von nem Glas oder was auch immer und klaut dann das Handy.. fertig ist der Lack…
      Bei Ad-Hoc-Dieben oder bei Verlust mag das nicht so einfach sein, aber vielleicht findet sich auch auf dem iPhone der ein oder andere brauchbare Abdruck

  3. Warum hat eigentlich nicht eine zweite Person den geklauten Fingerabdruck genutzt, sondern er selber? Das wäre eigentlich mindestens notwendig gewesen.

      2. @Jamie

        Man aknn sehen das da steht 1 Finger (Unter Fingerabdrücke im Menue). Und der CCC würde keine Presseerklärung machen wenn Sie das im Notfall nicht auch live Wiederholen könnten…

      3. Ja und? Auch wenn eine zweite Person Ihren Finger benutzt hätte – woher sollte man dann wissen, ob dieser Finger nicht auch schon registriert war.
        Was ich damit nur sagen will: Ob eine Person zwei verschiedene Finger verwendet, oder zwei Personen – das macht im Endeffekt keinen Unterschied.

  4. Wenn ich mein Handy nicht mit nem passcode versehe habe ich keinen Schutz. Ein 4 Pin-Code ist ebenfalls bei Verlust sehr leicht/schnell knackbar. Also ein vernünftiges alphanumerisches PW aus mind. 8 Zeichen wählen.

    Aber wie einfach ist es denn den Fingerabdruck bei „unwichtigen“ Personen zu erhaschen? Also iPhone verloren jemand findet es und hat nur die Fingerabdrücke auf dem iPhone selbst. Wenn der Sensor mit einem weniger häufig benutzen Finger (z.b. kleiner Finger der linken Hand bei Rechtshändern). Wie einfach ist es dann auf dem Gerät wo dieser Finger im Idealfall nur auf dem homebutton zu finden ist und mehrheitlich dort vermutlich Abdrücke des Daumens, ist es dann auch einfach? Ich denke mal eher nicht. Für den Felegenheitsdieb ist das wohl ne unlösbare Aufgabe und damit wohl sicherer als ne 4er Pin aber komfortabler als ein langer passcode.

    1. Genau so sehe ich das auch. Es ist ein „bequemes Sicherheitsupgrade“. für die meisten User. Muss zugeben, dass ich mein iPhone auch komplett ohne Passcode betreibe, weil es einfach nervt, den dauernd einzugeben. Eine absolute Sicherheit gibt es einfach nicht.

      1. Ich kann durchaus verstehen, dass es viele Menschen nervt ein längeres Passwort einzugeben. ABER genauso schamlos und frech wie ich bin, ist es mir egal wenn deren Daten weg oder missbraucht worden sind, falls dies auf Bequemlichkeit oder Dummheit zurückzuführen ist. Außerdem sollte in dem Fall keinerlei Schadensersatz geleistet werden. *Stinkefinger!*

        Warum? Weil ein 4-stelliger Code oder ein Fingerabdruck ja wohl das mindeste sind, was man einem 0-8-15 Nutzer zumuten kann. So sind die meisten Leute wenigsten vor den unterprivilegierten Gelegenheitsdieben geschützt. Ich selbst verwende Passwörter > 10 Zeichen und wechsle sie auch wenigstens 1-2 mal im Monat. Weil ich sonst auch faul bin, hab ich aber je nach Aufenthaltsort (Zuhause/Hotel/Urlaub/Sport…) ein anderes Zeitfenster zu dem ich die Eingabeaufforderung erhalte. Für den Alltag langen 4 Stunden; für den Urlaub und Sport sollte es besser 1 Stunde sein. Außerdem ist FindMyiPhone ne schöne Sache. Die Bewegungsprofile hat man auch bei anderen Handys ohne Nutzerzustimmung. Aber falls mir tatsächlich mal das Gerät abhanden kommt (verlegt? / geklaut?), dann kann ich zumindest sofort und idiotensicher den dümmsten Polizeibeamten
        der Welt zum Täter führen. Ganz ohne Bürokratie (Telekom/Staatsanwaltschaft/etc.).

        Gegen staatlichen oder professionellen Hackern, behaupte ich mal, hat keiner (egal mit welchem Handy) von uns eine Chance! Da hilft es eventuell nur noch ganz drauf zu verzichten und erfinderisch zu werden ;-)

        Wer heute auf irgendeine Art und Weise noch elektronisch gestützt (auch Post!) kommuniziert, sollte sich der Tragweite seines Handelns bewusst sein. Wer im Social Media aus nicht politischen-/wirtschaftlichen Gründen sein Leben zur Schau stellt, gehört für mich Zwangsaufgeklärt. Ähnlich wie’s hierzulande mit Sexualaufklärung (einigermaßen) geklappt hat.

    2. Ich finde das relativ – ein 4 stelliger Code hat maximal 10000 Möglichkeiten. Mit ein wenig Glück kann man anhand der Abdrücke auf dem Display feststellen, welche Zahlen verwendet werden. Das reduziert die Möglichkeiten enorm. Ich denke der Aufwand bleibt fast gleich: Mögliche Codes durchprobieren – Passenden Abdruck suchen und kopieren. Auf jeden Fall ist der Fingerabdruck nicht sicherer als eine Pin.

      1. Aber er ist praktischer und ich denke gegenüber dem Durchschnittsdieb ist es durchaus sicherer. Wirklich sicher ist nur ein alphanumerischer, mehrstelliger Code und den hat kaum einer.
        Auf jeden Fall wird der Fingerabdruck dafür sorgen, dass viele, die jetzt keinen Pin haben, durch den Sensor einen (nicht perfekten) Schutz bekommen. Insgesamt steigt damit im Durchschnitt die Sicherheit aller iPhones.
        Um AppStore Käufe zu bestätigen ist der Fingerabdruck sicherlich nicht zu empfehlen, aber als allgemeiner Schütz weiterhin durchaus empfehlenswert.

      2. @ Ludwig

        Dem muss ich soweit zustimmen. Es ist bequemer für den Nutzer und bietet eine gewisse „Grundsicherheit“. Jedoch wird sich diese Methode relativ schnell auch in dunklen Kreisen herumsprechen. Insofern denke ich, dass auch ein Gelegenheitsdieb und erst recht professionelle Diebe diese Methode schnell übernehmen. Von Sicherheits*gewinn* kann also keine Rede sein – Das ist ein reines Verkaufsargument.

      3. Die PIN-Eingabe muss natürlich richtig konfiguriert sein. Dann ist das Telefon nach 5 oder 10 Fehlversuchen nicht mehr verwendbar und kann nur noch online oder von einem Admin entsperrt werden.
        Das soll ja nicht so sein wie bei einem Fahrradschloss, bei dem ich wirklich so lange probieren kann, bis der Riegel offen ist.

  5. Wo kann ich beim CCC mein Kreuz machen? Heute bei der Wahl habe ich den CCC irgendwie nicht gefunden. Gibt es den CCC auch als Partei? Wann ist das Release?

  6. „First, the fingerprint of the enroled user is photographed with 2400 dpi resolution. The resulting image is then cleaned up, inverted and laser printed with 1200 dpi onto transparent sheet with a thick toner setting. Finally, pink latex milk or white woodglue is smeared into the pattern created by the toner onto the transparent sheet. After it cures, the thin latex sheet is lifted from the sheet, breathed on to make it a tiny bit moist and then placed onto the sensor to unlock the phone. This process has been used with minor refinements and variations against the vast majority of fingerprint sensors on the market.“ – Ein echtes Kinderspiel. ;)

  7. wenn das stimmt, glückwunsch! wir haben also gelernt touchID ist nicht sicherer als ein 4-stelliger zahlencode, aber bequemer. die zweite lektion lautet, bei apple sind sind sie wohl dämlicher als man ihnen zugetraut hat.

  8. Ob sich diese fragwuerdige und umstrittene Technik durchsetzen wird entscheiden am Ende die Verkaufszahlen. Du bist nicht damit einverstanden oder magst es nicht? Warum kaufst Du es dann?

  9. Das ist eine ziemliche Schlappe für Apple, weil die recht groß rumgetönt haben, wie toll der Sensor ist. Andererseits ist es unter real world Bedingungen nicht ganz so einfach, wie es der CCC glauben machen will. Normalerweise hat man nur das (zB geklaute) iPhone und man muss auf diesem erst einmal einen geeigneten Abdruck des richtigen Fingers finden usw…

  10. Hallo zusammen,
    ich denke das CCC mit dieser Vorführung ein anderes Ziel verfolgt, das man so ziemlich jedem suggerieren kann, ein Körperteil von Dir reicht aus um Dich in Sicherheit zu wiegen und wie einfach Du damit den Zugriff auf sensible Daten steuern kannst.
    „Du bist dumm und kannst Dir keinen vierstelligen Code merken oder zu faul diesen einzugeben, kein Problem, nimm einfach Deinen Finger und erledige es damit.“
    Es geht primär darum, das man mit wirklich falschen Versprechungen zum Kauf animiert wird. Dieses anzuprangern find ich nicht mehr als gerechtfertigt und sinnvoll.

  11. Es wurde ja genug darüber berichtet, dass ein Fingerabdruck in keinster Weise mehr vor Zugriff auf das Handy schützt, schon gar nicht gegen die Staatsmacht, oder dem Partner, der einem nachts einfach das Handy an den Finger drückt…

    Gegen Fingerabdrücke auf dem Display oder gegen Wisch-Spuren bei Android hilft im Übrigen eine matte Folie – zwar auch nicht 100% perfekt. aber einen sauberen Fingerabdruck darauf zu hinterlassen ist schon echt schwer.

  12. Es ging bei Touch ID nie darum ein absolut sicheres System zu schaffen. Das hat Apple so auch nie kommuniziert. Es geht darum das bei Leuten die keinen Code oder nur einen vierstelligen haben die Sicherheit erhöht wird.
    Apple sagt selbst das 1 von 50.000 Fingern mit den eingegeben Merkmalen soweit identisch ist das das System entsperrt. (http://support.apple.com/kb/HT5949)
    Dh hier geht es nur darum für gewöhnliche Diebe oder andere unerwünschte Leute die Hürden so hoch wie möglich zu legen ohne dabei an Komfort zu verlieren und das erfüllt Touch ID definitiv. (Wenn man zusätzlich zu TouchID ein besseres Passwort als vier Zahlen nimmt, was vonseiten Apple auch empfohlen wird)

    Die relevante Frage bei dem ganzen System ist einzig die nach der Möglichkeit der Extraktion des gespeicherten Abdrucks.
    (Wobei die ARMv8 Architektur da ganz gut durchdacht aussieht)

  14. So ihr sicherheitsexperten, wie viele von euch nutzen google, fb, whatsapp und der gleichen? Wie viele von euch Email und WLAN? Und ihr diskutiert über Fingerabdruck oder 4 stelliger Code?

    Wer sicher will, kündigt am besten seinen internetprovider und mobilfunkvertrag, schmeißt das Smartphones in die Ecke. Schließt die Wohnungstür von innen zu und sollte dann sicher sein. Aber aufpassen, die meisten Unfälle passieren immer noch in den eigenen 4 Wänden. Also ordentlich die Regale etc. Sichern:)

    Ccc vielen Dank für die Info. Meine Kaufentscheidung dafür oder dagegen beeinflusst das allerdings herzlich wenig. Den Gläsern bin ich eh schon seit min. 20 Jahren….

  15. Also ich finde die Diskussion hier sehr „komisch“. Ich versuche das mal ohne viel Technik in zwei Minuten zu erklären. Begreifen musst du das aber schon selbst.

    1) Es geht nicht darum zu zeigen, dass Touch ID nicht perfekt ist. Es geht darum zu zeigen, dass es als Schlangenöl mit überzogenen Erwartungen verkauft wird.

    Hype ist Alles? Ist Hype Alles? Und ihr macht mit? Klar ist ein Smartphone – auch und gerade von Apple – faszinierend. Kein Grund den Verstand zu verlieren und alles zu glauben!

    2) Es geht darum zu zeigen, dass „Sicherheit“ nicht Technik ist. Technik kann immer überwunden werden. Glauben kannst Du an den Lieben Gott, aber doch nicht an ein Telefon oder Computer (die trotzdem faszinierend sind) und schon gar nicht an Datenbanken oder Firmen. Auch nicht Fingerabdrücke, DNA-Daten, Handydaten usw.

    Lasst Euch nichts einreden. Denn: w i r s i n d M e n s c h e n
    Realität im Computer gibt es nicht, wenn Mensch die nicht mit allen Fehlern generiert. „Computerbeweise“ – wozu Apple wohl auch den Fingerabdruckscanner-Algorithmus zählt – funktionieren wirklich anders!

    3) Wäre Apple (oder Google, Samsung usw) ehrlich, dann gäbe es längst genau ein benutzerfreundliches System, dass es erlaubt sein abhandengekommenes Smartphone wiederzufinden. Die eindeutigen IDs sind da. Die GPS-Daten sind da. Das ginge ganz sicher sehr datenschutzgerecht. Es ist unglaublich, dass nur die Werbeindustrie ohne jeglichen Datenschutz davon profitiert. Apple und Co. möchten aber lieber Geräte verkaufen.

    User sind offensichtlich höchstens als Produkt relevant.

    4) Glaubt nicht, dass mehr Technik die Situation auch nur irgendwie verändert. Schon gar nicht wird von selbst irgend etwas besser. Du hast die Verantwortung und nicht die Mathematik, nicht Konzerne, nicht Politik … es gibt gute formale Begründungen dafür oder einfach gesunden Menschenverstand.

    Findet ihr es nicht „seltsam“, dass gerade der technologielastige Hacker-CCC genau das verstanden hat und immer wieder belegt?

    Man lasst Euch doch nicht verApplen oder verGooglen, verWinzigWeichen, verPolitiken oder what ever. Darum geht es!

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.