Smartphone-Fingerabdruck-Scanner: Hacker können digitalisierte Abdrücke aus der Ferne stehlen

Bei einigen Geräten seien dafür sogar System-Rechte ausreichend. Der Angreifer erhält dann unbegrenzt Zugriff auf alle mit dem Sensor erfassten Fingerabdrücke. Davon sind unter anderem das HTC One Max und das Samsung Galaxy S5 betroffen.

Um digitalisierte Fingerabdrücke von mit biometrischen Scannern ausgestatteten Android-Smartphones zu stehlen, haben die beiden Forscher Tao Wei und Yulong Zhang des Sicherheitsanbieters FireEye unterschiedliche Verfahren entwickelt. „Fingerprint Sensor Spying Attack“, wie Wei und Zhang eine dieser Methoden nennen, erlaubt es ihnen sogar, „aus der Ferne in großem Umfang Fingerabdrücke“ zu sammeln. Davon betroffen sind unter anderem das HTC One Max und Samsungs Galaxy S5.

Fingerabdruckscanner des Samsung Galaxy S5 (Bild: CNET/CBS Interactive).

Fingerabdruckscanner des Samsung Galaxy S5 (Bild: CNET/CBS Interactive).

Weil die Hersteller den Sensor nicht vollständig absichern, erlaubt der Angriff es einem Hacker sogar, unbemerkt ein Bild eines Fingerabdrucks von betroffenen Geräten zu stehlen. Bei einigen Geräten seien dafür sogar System-Rechte ausreichend, so die Forscher weiter. Das bedeutet, dass das Risiko eines Angriffs bei gerooteten Android-Geräten größer ist als bei Smartphones, die nicht entsperrt wurden. Nach einem erfolgreichen Angriff erfasst der Sensor eines kompromittierten Geräts sogar weiter im Hintergrund die Fingerabdrücke aller Personen, die den Sensor benutzen.

„Bei diesem Angriff fallen die Fingerabdruckdaten der Opfer direkt in die Hände der Angreifer“, sagte Zhang. „Für den Rest des Lebens des Opfers kann der Angreifer die Fingerabdruckdaten für seine Zwecke verwenden.“ Digitalisierte Fingerabdrücke werden nicht nur zum Entsperren eines mobilen Geräts benutzt, sondern auch für die Autorisierung von mobilen Bezahlvorgängen oder gar zur Identifizierung von Personen.

Die Forscher haben die betroffenen Anbieter vorab informiert, die ihnen zufolge auch schon Patches für ihre Geräte bereitgestellt haben. Weitere Details zu ihrer Forschung, die auch Sicherheitslücken von Fingerabdruckscannern in High-End-Notebooks beschreibt, wollen Zhang und Wei auf der Konferenz Black Hat in Las Vegas präsentieren.

Die beiden FireEye-Mitarbeiter wollten aber nicht verraten, welche Anbieter sicherer sind als andere. Auf Nachfrage von ZDNet.com sagte Zhang nur, Apples iPhone sei „recht sicher“, da es die Fingerabdruckdaten des Scanners verschlüssele. „Selbst wenn der Angreifer den Sensor direkt auslesen kann, erhält er ohne den Kryptographieschlüssel nicht das Fingerabdruckbild.“

Die Forscher raten, nur regelmäßig aktualisierte Android-Geräte mit Fingerabdruckscannern zu benutzen. Zudem sollten Anwender nur Apps aus vertrauenswürdigen Quellen installieren – ein Rat, der generell für alle mobilen Geräte gilt.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Kennen Sie alle wichtigen Smartphone-Modelle, die letztes Jahr vorgestellt wurden? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Noch keine Kommentare zu Smartphone-Fingerabdruck-Scanner: Hacker können digitalisierte Abdrücke aus der Ferne stehlen

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *