Forschern der Michigan State University ist es gelungen, ein gesperrtes Samsung Galaxy S6 eines Mordopfers ohne Passwort freizuschalten. Den Fingerabdruckscanner des Geräts tricksten sie einem digital bearbeiteten Ausdruck eines Fingerabdrucks aus, wie Nextgov berichtet. Vorherige Versuche mit einem 3D-Modell waren gescheitert.
Bei ihrem ersten Anlauf erstellten die Forscher auf Bitten der Polizei aus Fingerabdrücken, die bei einer früheren Verhaftung des Opfers erfasst wurden, 2D- und 3D-Ausdrucke. Da die Ermittler des Digital Forensics and Cybercrime Unit nicht wussten, welcher Finger des Opfers zum Entsperren des Smartphones hinterlegt wurde, wurden alle zehn Fingerabdrücke repliziert – jedoch ohne das gewünschte Ergebnis.
Das von Anil Jain, Professor an der Michigan State University, geleitete Team „erkannte schnell, dass sie die Qualität der von den Ermittlern zur Verfügung gestellten Tinten-Fingerabdrücke verbessern mussten“, heißt es in einer Stellungnahme der Universität. „Sie entschieden sich, die Fingerabdrücke digital aufzuarbeiten, um die Qualität zu verbessern, ohne dabei wichtige Details auszulassen.“ Konkret hätten sie mit einem nur für diesen Zweck erstellten Computerprogramm unterbrochene Linien und Vertiefungen des Fingerabdrucks aufgefüllt.
Mit den überarbeiteten Abdrücken erstellten die Forscher neue 2D-Ausdrucke unter Verwendung von leitfähigem Papier. Es wird benötigt, um einen lebenden Finger zu simulieren und einen elektrischen Schaltkreis zu schließen.
Marktübliche Fingerabdruckscanner leiten kleine Mengen Elektrizität durch die Fingerkuppe. So ist es mit einem abgetrennten Finger schon nach wenigen Minuten unmöglich, die Erkennung zu täuschen, und auch ein normaler 3D-Nachbau scheitert. Dieses Problem umgingen die Forscher bei ihrem 3D-Modell durch eine Beschichtung aus Metallpartikeln – und bei der 2D-Aufnahme durch die Verwendung von leitfähigem Papier.
Sie haben Optimierungsbedarf bei Ihren Logistikprozessen?
Die Lösung lautet: Dokumentenmanagement. Erfahren Sie im kostenlosen E-Book, wie ein Dokumentenmanagement-System (DMS) Ihnen helfen kann, Ihre Logistikprozesse zu verbessern – von der Artikelnummer bis zur Zustellung. Lesen Sie außerdem, wie Sie ein DMS auch im laufenden Betrieb zeit- und kostensparend implementieren können.
Die Methode funktionierte nur, weil das Mordopfer eine Sicherheitsfunktion des Galaxy S6 nicht aktiviert hatte. Sie setzt das Smartphone auf die Werkseinstellungen zurück, wenn 15-mal vergeblich versucht wurde, es mit einem Fingerabdruck oder einem Passwort zu entsperren.
Für das 3D-Modell wurde ein Drucker im Wert von 250.000 Dollar eingesetzt und die Metallbeschichtung mithilfe eines Geräts zum Anschaffungspreis von 600.000 Dollar aufgebracht.
Das Verfahren lässt sich auch erfolgreich auf das Modell Huawei Honor 7 anwenden. Bei einem iPhone 5S und Meizu MX4 Pro ließen sich vereinzelte Erfolge hingegen nicht konsistent reproduzieren.
Jain und sein Team beschäftigen sich schon länger mit Fingerabdruckscannern. „Wir haben Fingerabdruckscanner in Telefonen, um die Sicherheit der gespeicherten Informationen zu verbessern“, wird Jain in der Pressemitteilung zitiert. „Wir benutzen unsere Telefone, um Finanztransaktionen auszuführen, und es ist wichtig, dass diese Informationen vertraulich bleiben. Hoffentlich wird die von uns entdeckte Möglichkeit, dieses Telefon zu entsperren, die Entwickler motivieren, fortschrittliche Sicherheitsmaßnahmen für die Erkennung echter Fingerabdrücke zu entwickeln.“
Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Neueste Kommentare
14 Kommentare zu Forscher knacken Fingerabdruckscanner des Samsung Galaxy S6
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Also ich vermute mal, dass PeerH das iPhone mit dem Fingerabdrucksensor meinte, welches auch per Bluetooth mit anderen Betriebssystemen kompatibel ist.
Welches dies ist, weiß ich allerdings nicht, denn auch auf ZDNet habe ich darüber noch nichts gelesen.;)
Und das mit den fünf versuchen ist für den Ars.., natürlich perfektioniert man sein Verfahren an einem Telefon, das man selbst entsperren kann. Bei druckerkosten von 250.000 $ und beschichtungskosten von 600.000$ dürften die ca. 1000$ für ein solches Telefon nicht wirklich ins Gewicht fallen.
Nö bei meinem Kommentar wurde nur ein Link entfernt, der erklärt alles, sogar so klar das es Apple-Jünger wie PeerH es verstehen.
http://goo.gl/xBfI6B
Gähn. Und weil es so leicht ist, hat das FBI ei. Riesen Fass aufgemacht? Und seitdem der CCC das System überlistet hat, sind wieviele Fälle seit 2013 bekannt geworden? Das muss ja für das FBI leicht gewesen sein?
Eben. Heiße Luft mal wieder im Bregen des Apple-Antipoden. ;-)
Dir Napfnase ist nicht einmal aufgefallen, dass ich Samsung gar nicht angegriffen habe – die Beißreflexe funktionieren also absolut unreflektiert.
PS: und dass in Deinem Lonk die Information fehlt, wieviele Versuche sie gebraucht haben, und wie zuverlässig das funktioniert, ist Dir nicht aufgefallen! Nach fünf Versuchen hintereinander wären sie gescheitert. Sie hätten ja dem FBI helfen können?
Oh, klar: wenn der Artikel denn nicht Werbung in eigener gewesen wäre, und sie damit zu beschäftigt waren: „Das Unternehmen Vkansee, das den Test durchführte, erklärt, dass die eigenen optischen Fingerabdrucksensoren genauer arbeiteten und auf diese Weise nicht getäuscht werden könnten.“
Aber so sind sie, die Apple-Antipoden. Der eine liest selektiv nur die Sätze, die ihm passen, und ignoriert den zweiten Satz, und der andere liest ohne zu denken. ;-)
Im ursprünglichen Text (auf den ich mich ja bezog – das hier ist eine revidierte Version des Artikels) stand, dass es bei einem Huawei und einem iPhone 5S nur schwerer wäre eine konstante Erkennung hinzubekommen aber es geht auch da.
Was ja nicht verwunderlich ist, wenn man den original Finger hat.
@Red. Man hätte ja darauf hinweisen können, dass der Artikel verändert wurde.
Das ist aber doch irgendwie kein schlagkräftiges Argument, oder?
„Wenn man den „echten“ Finger zur Verfügung hat, gibt es sicherlich auch irgendeinen völlig simplen Trick um einen Scanner dazu zu bringen den toten Finger zu akzeptieren.“
Mal auf das Energieproblem angewendet: Wenn man ein Perpetuum Mobile zur Verfügung hat, gibt es sicherlich irgendeinen völlig simplen Trick um das Energieproblem zu lösen?
Mag sein, aber man hat weder ein Perpettum Mobile, noch hat das FBI in der Regel den ‚toten Finger‘.
Zumal beim iPhone 5s nach fünf Versuchen das Kennwort erfragt wird, und nach zehn Versuchen, wenn man das aktiviert hat, der Schlüssel für die Vershlüsselung unwiderbringbar gelöscht wird. Und bei iOS ist die Verschlüsselung im Default aktiv. Und eben nach eineinhalb Tagen (o.ä.) oder wird zusätzlich das Kennwort abgefragt.
Man bräuchte also a. den toten Finger (oder eine funktionierende Kopie), b. das Gerät darf nicht aus sein, c. es dürfen nicht mehr als eineinhalb Tage vergangen sein, und d. hat man bestenfalls eine 50% Chance den richtigen Finger (bei mir ist es nicht Daumen) zu erwischen – sonst greift das Passwort, und bei zehn Versuchen ist eben Schluss.
Tja. Und wer wirklich absolute Sicherheit braucht, der nutzt den Fingerabdruckscanner nicht, sondern einen komplizierten Code. Und wer es bequem haben will nutzt den Fingerabdruck. Gegen 08/15 Kriminelle ist das allemal hinreichend, und deutlich sicherer als ein vierstelliger Code, eine Wischgeste, die man am Fettfleck auf dem Display erahnen kann, oder eben als überhaupt kein Kennwort.
Eben, weder gegen den Abdruckscanner des S6 noch von sonst einem. Selbst wenn man „nur“ die Abdrücke des Phones selbst hätte (Also die,die sich vom User auf dem Display oder Gehäuse befinden), ist das kein „knacken“. Knacken würde doch bedeuten, ich überliste den Scanner ohne den originalen Abdruck zu kennen. „Täuschen“ ist das richtige Wort, denn der Scanner wird getäuscht nicht geknackt.
@PeerH
Du kennst dich ja noch nicht mal mit Apple-Produkten aus. Das FBI hatte ein iPhone 5C vorliegen, das hat keinen Fingerabdrucksensor.
Also mal wieder irgendwas geschrieben, auch wenn man keine Ahnung hat.
Und ich habe Apple auch nicht angegriffen, sondern lediglich einen Link zu deinem ersten Kommentar „Man muß kein Prophet sein…“ geliefert.
Aber du hast dir gleich wieder Verschwörungstheorien gegen dein geliebtes Apple eingebildet, und es verteidigt und das mal wieder mit einer PeerH’schen Nebelkerze!
Also solltest du in den nächsten Apple-Store gehen und dir alles nochmal erklären lassen.
Ist beim iPhone auch nicht schwerer […]
Zitat von B.B.: „Mit einem iPhone hätten sie mehr Probleme gehabt. Nach 48 Stunden wird die manuelle Eingabe des Codes verlangt, ebenso nach 5 Fehlversuchen und nach einem Neustart.“
Also ist es schwerer. Es sei denn, man ist in einem Anti-Apple-Kraftfeld gefangen. ;-)
Biometrie ist unsicherer als Passwort, es geht vor allem um Bequemlichkeit. Es ist absurd und grotesk zu glauben, dass ein Passwort, was man offen mit sich herumträgt und durch Abdrücke überall hinterlässt, sicherer sein soll, als ein ausgedachtes Passwort. Allenfalls die Kombination aus beidem kann höhere Sicherheit versprechen.
[…]
Mit einem iPhone hätten sie mehr Probleme gehabt. Nach 48 Stunden wird die manuelle Eingabe des Codes verlangt, ebenso nach 5 Fehlversuchen und nach einem Neustart.
„Projektleiter Jain kommentiert aber auch, er hoffe, dass Smartphone-Hersteller solche einfachen Tricks in Zukunft durch bessere Technik unterbinden könnten.“
Das kann nur ein Forscher von sich geben, der von High-Tech Maschinen umgeben ist UND auf den „echten“ wenn auch toten Finger zurückgreifen kann.
Natürlich wird ein Fingerabdruckscanner, besonders im Smartphone, immer mit Toleranzen arbeiten. Sonst wäre die Technik nicht alltagstauglich. Was natürlich gar nicht geht ist, dass man offensichtlich unbegrenzte Versuche beim Fingerabdruckscannen hat. Da muss ein Locker rein nach x Versuchen.
Wenn man den „echten“ Finger zur Verfügung hat, gibt es sicherlich auch irgendeinen völlig simplen Trick um einen Scanner dazu zu bringen den toten Finger zu akzeptieren.
Mit entsprechender Technik ist natürlich auch davon auszugehen, dass mit einem Fingerabdruck auf ner Tasse oder auch einem Foto man etwas bauen kann, dass den Scanner überlistet.
Biometrische Merkmale sind eben auch keine 100%ige Sicherheit.
„Sie setzt das Smartphone auf die Werkseinstellungen zurück, wenn 15-mal vergeblich versucht wurde, es mit einem Fingerabdruck oder einem Passwort zu entsperren.“
Wobei 15 Versuche bei zehn Fingern etwas viel wären, aber auch zehn Versuche (iOS) wären zu viel.
Ist eben die Frage, ob der darunter liegende Algorithmus zu leicht getäuscht werden kann, oder ob der künstliche Fingerabdruck zu gut war.
Man muss kein Prophet sein um zu wissen, dsss sie das auch am iPhone probieren werden. Falls nicht bereits probiert wurde. Man darf gespannt sein.
Bei Samsung dürfte es bald eine Nachbesserung geben. Sinnvoller und sicherer als ein vierstelliger Code oder ‚Wischgesten‘ ist dss allemal. Letztere erkennt man gut anhand der Fettflecken auf dem Display.