Android: Fingerabdrücke sind in großem Stil und von Außen auslesbar

Auf Hacker-Kongressen scheinen die Sicherheits-Probleme von Googles Android-Plattform langsam zum Standardprogramm zu werden. Auf der anstehenden Black Hat wird es so beispielsweise einen Vortrag darüber geben, wie Angreifer von außen die Fingerabdruck-Systeme ausspionieren können. Android-Smartphones mit Fingerprint-Sensoren werden unter anderem von Samsung, Huawei und HTC angeboten. Immer mehr App-Entwickler greifen dankbar auf diese Möglichkeit der Authentifizierung zurück und ersetzen selbst dort Passwort-Abfragen, wo es um sensible Informationen geht. Das kann nicht nur zum Problem werden, wenn einem Nutzer gezielt das Smartphone und der Fingerabdruck gestohlen werden, wie es schon mehrfach demonstriert wurde.

Die beiden Sicherheitsforscher Tao Wei und Yulong Zhang können inzwischen auch demonstrieren, wie sich die Daten des Fingerabdrucks mit Angriffen aus der Entfernung gleich von sehr vielen Android-Geräten entwenden lassen, berichtete das US-Magazin ZDNet. Sie fanden gleich mehrere Wege, auf denen dies möglich ist - einige sind aber abhängig davon, mit welchen Rechten das entsprechende System auf dem Gerät betrieben wird, was sich je nach Hersteller unterscheidet.

Unsicherheit ein Leben lang

Die beiden Sicherheits-Forscher sehen darin ein viel größeres Problem als beispielsweise bei einer unsicheren Passwort-Abfrage. Hier kann die Sicherheitslücke immerhin geschlossen und das Passwort geändert werden, um die Sache zu beheben. Der Fingerabdruck bleibt dem Nutzer hingegen ein Leben lang erhalten, so dass entsprechende Daten auch in Zukunft noch zum Problem werden können.

In den kommenden Tagen werden die beiden weitergehende Informationen zu dem Problem veröffentlichen und es wird wohl auch bald Patches von Google geben, die für mehr Sicherheit sorgen. Beim iPhone, das inzwischen für die weitaus meisten Fingerprint-Authentifizierungen verantwortlich ist, fand man bisher keinen vergleichbaren Angriffsvektor. Hier kommt der Sache zu Gute, dass die Informationen des Sensors auf schnellstem Wege verschlüsselt werden und dann mit diesen Daten weitergearbeitet wird. Der Angreifer würde so also nicht nur den Fingerabdruck selbst benötigen, sondern auch die jeweiligen Krypto-Key, um sie missbrauchen zu können.