Hacker stehlen digitalisierte Fingerabdrücke aus der Ferne von Smartphones

Zwei Forscher des Sicherheitsanbieters FireEye haben verschiedene Verfahren entwickelt, um digitalisierte Fingerabdrücke von mit biometrischen Scannern ausgestatteten Android-Smartphones zu stehlen. Eine dieser Methoden, die Tao Wei und Yulong Zhang „Fingerprint Sensor Spying Attack“ nennen, erlaubt es ihnen sogar, „aus der Ferne in großem Umfang Fingerabdrücke“ einzusammeln.

Davon betroffen sind unter anderem das HTC One Max und Samsungs Galaxy S5. Der Angriff erlaubt es einem Hacker, unbemerkt ein Bild eines Fingerabdrucks von betroffenen Geräten zu stehlen, weil die Hersteller den Sensor nicht vollständig absichern.

Bei einigen Geräten seien dafür sogar System-Rechte ausreichend, so die Forscher weiter. Das bedeutet, dass das Risiko eines Angriffs bei gerooteten Android-Geräten größer ist als bei Smartphones, die nicht entsperrt wurden. Nach einem erfolgreichen Angriff erfasst der Sensor eines kompromittierten Geräts sogar weiter im Hintergrund die Fingerabdrücke aller Personen, die den Sensor benutzen.

„Bei diesem Angriff fallen die Fingerabdruckdaten der Opfer direkt in die Hände der Angreifer“, sagte Zhang. „Für den Rest des Lebens des Opfers kann der Angreifer die Fingerabdruckdaten für seine Zwecke verwenden.“ Digitalisierte Fingerabdrücke werden nicht nur zum Entsperren eines mobilen Geräts benutzt, sondern auch für die Autorisierung von mobilen Bezahlvorgängen oder gar zur Identifizierung von Personen.

Die betroffenen Anbieter haben die Forscher vorab informiert. Ihnen zufolge haben sie auch schon Patches für ihre Geräte bereitgestellt. Weitere Details zu ihrer Forschung, die auch Sicherheitslücken von Fingerabdruckscannern in High-End-Notebooks beschreibt, wollen Zhang und Wei auf der Konferenz Black Hat in Las Vegas präsentieren.

Welche Anbieter sicherer sind als andere, wollten die beiden FireEye-Mitarbeiter nicht verraten. Auf Nachfrage von ZDNet.com sagte Zhang lediglich, Apples iPhone sei „recht sicher“, da es die Fingerabdruckdaten des Scanners verschlüssele. „Selbst wenn der Angreifer den Sensor direkt auslesen kann, erhält er ohne den Kryptographieschlüssel nicht das Fingerabdruckbild.“

Die Forscher raten, nur regelmäßig aktualisierte Android-Geräte mit Fingerabdruckscannern zu benutzen. Zudem sollten Anwender nur Apps aus vertrauenswürdigen Quellen installieren – ein Rat, der generell für alle mobilen Geräte gilt.

[mit Material von Zack Whittaker, ZDNet.com]

Tipp: Kennen Sie alle wichtigen Smartphone-Modelle, die letztes Jahr vorgestellt wurden? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.