HTC: Fingerabdrücke als Bilddatei unverschlüsselt gespeichert

"Zuerst hatten wir kein Verkaufsglück und dann kam noch Pech hinzu" - So könnte man einen alten Fußballerspruch auf den Smartphone-Hersteller HTC umlegen. Denn beim wirtschaftlich schwer angeschlagenen Konzern wurde nun eine Sicherheitslücke im Zusammenhang mit Biometrie bekannt, HTC-exklusiv ist sie allerdings nicht.

Sicher?

Biometrische Identifizierungsmethoden gelten als besonders sicher, da sie auf einzigartigen körperlichen Merkmalen basieren, allen voran dem Fingerabdruck. Entsprechend werden auch bei Smartphones entsprechende Sensoren zur Absicherung des Geräts und der darauf befindlichen Daten immer populärer.

Sicherheitsforscher von FireEye haben nun auf Basis des HTC One Max eine schwerwiegende Lücke entdeckt, diese ist aber wohlgemerkt nicht HTC-exklusiv. Denn dabei wird eine Bilddatei des Nutzer-Fingerabdrucks unverschlüsselt und "world readable" auf dem Gerätespeicher abgelegt. Beim erwähnten HTC-Gerät wird - jedes Mal, wenn der Sensor zum Einsatz kommt - /data/dbgraw.bmp angelegt, diese hat die "0666"-Berechtigung, dadurch können diese sensiblen Daten ohne viel Aufwand entwendet werden.


Die Erkenntnisse haben die Sicherheitsforscher vor kurzem auf der BlackHat-Konferenz in Las Vegas präsentiert, diese kann man auch in einem PDF nachlesen (via The Guardian). Das Problem dabei ist, dass es zwar Android-seitig entsprechende Sicherheitsbereiche gibt, Hersteller auf die sogenannte TrustZone aber nicht zwangsläufig zugreifen. Dabei handelt es sich um speziell abgesicherte Bereiche im Prozessor bzw. dazugehörigen Chips.

Die Verfasser zeichnen ein nicht gerade vertrauenswürdiges Bild von Fingerabdruck-Technologie, denn sie meinen, dass auch die zuvor erwähnten "sicheren Zonen" keinen 100-prozentigen Schutz bieten und "bekannte Schwachstellen" hätten.

Samsung Galaxy S5 und andere

Die FireEye-Experten haben die Schwachstelle anhand des HTC One Max analysiert, in einer Fußnote schreiben sie aber, dass diese auch im Samsung Galaxy S5 sowie weiteren nicht näher genannten Geräten zu finden gewesen sei - inzwischen seien diese Schwachstellen aber von allen benachrichtigten Herstellern geschlossen worden.

Siehe auch: HTC kämpft mit Stellenabbau und Modellreduktion ums Überleben