Das Galaxy S5 kostet Samsung in der Fertigung etwas mehr als 250 Dollar (Bild: CNET).
Die Berliner Sicherheitsfirma SRLabs hat einen Weg gefunden, den Fingerabdruckscanner von Samsungs Galaxy S5 zu überlisten. In einem Video demonstriert sie, dass sich das neue Android-Flaggschiff der Koreaner auch mit einem gefälschten Fingerabdruck entsperren lässt. Mit einem ähnlichen Trick hatten sie im vergangenen Jahr schon Apples biometrische Sicherheitsfunktion Touch ID ausgehebelt.
Den Forschern zufolge kann ein falscher Fingerabdruck innerhalb weniger Minuten erstellt werden. In ihrem Video verwenden sie denselben gefälschten Abdruck, der auch schon im vergangenen Oktober bei der Demonstration einer Sicherheitslücke in iOS 7 zum Einsatz gekommen war. Er basiert laut SRLabs auf einem Foto eines Fingerabdrucks vom Display eines Smartphones.
Darüber hinaus kritisieren die Sicherheitsexperten Samsungs Implementierung des Fingerabdruckscanners. Sie sei deutlich unsicherer als bei Apple. Das Touch-ID-System des iPhone-Herstellers verlangt die Eingabe eines Passworts, bevor der Fingerabdrucksensor zum Entsperren genutzt werden kann. Das Kennwort wird zudem nach jedem Neustart des iPhone abgefragt. Samsung hingegen verzichtet auf diesen zusätzlichen Schutz. Selbst nach einem Neustart des Galaxy S5 könne das Gerät mit dem gefälschten Abdruck entsperrt werden, so die Forscher in ihrem Video. Danach sei es sogar möglich, auf Apps wie PayPal zuzugreifen und beispielsweise Zahlungen auszulösen, falls die App des Bezahldiensts für die Authentifizierung per Fingerabdruck konfiguriert sei.
„Der Hacker in diesem Video ist in der Lage, mit PayPals neuer App jede gewünschte Aktion auszuführen, inklusive Einkäufe und Überweisungen vom PayPal-Konto des Opfers“, heißt es im Kommentar zu dem Video. „Er nutzt dem Umstand aus, dass er mehrere Versuche hat, um seinen falschen Fingerabdruck über den Sensor zu führen, um Geld vom Konto des Opfers auf sein Konto zu überweisen.“
Ein Fingerabdruckscanner sei zwar verbraucherfreundlich, es sei aber die Aufgabe des Herstellers, ihn so einzusetzen, dass sich daraus kein Risiko für den Nutzer ergebe, so das Fazit von SRLabs. Zudem verweisen die Forscher auf ein weiteres Video, in dem gezeigt wird, wie ein mit einem iPhone 4S aufgenommenes Foto eines Fingerabdrucks benutzt werden kann, um ein Lenovo-Laptop, ein Fujitsu-Smartphone und ein iPhone 5S zu entsperren.
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
