Weiterhin unsichere Fingerprint software?

[po4dun11]

Hallo
Letztes Jahr gabs ja ausreichend Erregung im Netz wegen eines Sicherheitsflaws in UPEKS / Authentecs software für die Fingerprint reader, u.a. in Lenovo computern. Nach einem Patch der Firma war dann alles ruhig geworden - es wurde gesagt, alles wäre in Ordnung jetzt. Nun habe ich folgenden Artikel gelesen und die MEthode darin funktioniert tatsächlich - wären die Passwörter wirklich nur 56-bit (DES) verschlüsselt, wäre das ja ein mega skandal und die Sicherheit aller Fingerprint reader wäre weiterhin kompromitiert.

http://adamcaudill.com/2012/10/07/upek-windows-password-decryption/

 

[Fusel Wusel]

Sicherheitstechnik aus den USA darf vermutlich gar nicht per se absolut sicher sein. Sonst könnte man damit ja tatsächlich versuchen, etwas sinnvoll zu verbergen und zu schützen

 

[Phil2009]

Wenn ich mich recht entsinne, gab es vor ein paar Jahren mal ein Video vom CCC, wo der Fingerprintreader bei einem T4x in Nullkommanichts überlastet wurde. Ich denke, besonders sicher sind die Teile sowieso nicht...

 

[yatpu]

richtig! die "normalen" fpr lassen sich sehr leicht austricksen. daher sind sie auch nur ein komfort- und nicht wie so oft behauptet ein sicherheitsfeature.

 

[cuco]

Hab das aus dem Blog gerade mal ausprobiert.

C:\[...]>FingerprintEncryption.exe
FingerprintEncryption v2.0.0
This application attempts to extract your logon information
 from one or more encrypted registry keys.


Working...


Done (0 entries found).

 

[schoerg]

Wenn ich mich recht entsinne, gab es vor ein paar Jahren mal ein Video vom CCC, wo der Fingerprintreader bei einem T4x in Nullkommanichts überlastet wurde. Ich denke, besonders sicher sind die Teile sowieso nicht...

Ein Passwort hast du im Kopf, Fingerabdrücke hinterlässt du aber immer irgendwo, zumal wenn dir jemand deinen Finger abhackt braucht derjenige nichtmal dir das Passwort rausprügeln.

(Ja ist jetzt übertrieben aber grundsätzlich nicht falsch)

 

[Lokheizer]

Ein Passwort hast du im Kopf, Fingerabdrücke hinterlässt du aber immer irgendwo, zumal wenn dir jemand deinen Finger abhackt braucht derjenige nichtmal dir das Passwort rausprügeln.

Wobei aber hinzuzufügen ist, dass richtig sichere Fingerprintreader - so wie sie zum Beispiel für Zugangskontrollen in Firmen verwendet werden - die Temperatur und das Vorhandensein von Puls überprüfen bevor der Abdruck gescannt wird. Diese Reader sind aber auch deutlich größer und kosten auch mehr als jene Reader in unseren TPs.

 

[yatpu]

wenn man sich nach der anleitung des ccc den abdruck eines anderen auf seinen finger pappt, sind temperatur und puls weiterhin vorhanden. leitwert ließe sich mit sicherheit auch anpassen. bei der erkennung gefälschter abdrücke müssen die hersteller also etwas tiefer in die trickkiste greifen.

venenscanner erscheinen mir da erfolgversprechender.

 

[Lokheizer]

wenn man sich nach der anleitung des ccc den abdruck eines anderen auf seinen finger pappt, sind temperatur und puls weiterhin vorhanden. leitwert ließe sich mit sicherheit auch anpassen. bei der erkennung gefälschter abdrücke müssen die hersteller also etwas tiefer in die trickkiste greifen.

Da hast du natürlich recht, das hatte ich nicht bedacht.

Kann man einen Finger eigentlich auch künstlich herstellen? Also auch mit kleiner Pumpe für Puls und Heizung wegen der Wärme.

 

[yatpu]

mit sicherheit.
leute aus dem bereich special effects werden das gewiss hinbekommen.

 

[fishmac]

richtig! die "normalen" fpr lassen sich sehr leicht austricksen. daher sind sie auch nur ein komfort- und nicht wie so oft behauptet ein sicherheitsfeature.

Wenn Du auf 'ner Messe o.ä. bist und Leute um Dich herumstehen oder sitzen, kann ein Geübter das Passwort beim Eintippen ausspähen. Beim Fingerabdruck ist das deutlich schwerer

Ein Passwort hast du im Kopf, Fingerabdrücke hinterlässt du aber immer irgendwo, zumal wenn dir jemand deinen Finger abhackt braucht derjenige nichtmal dir das Passwort rausprügeln.

Finger abzuhacken ist natürlich deutlich humaner im Vergleich zu "rausprügeln"

 

[fishmac]

(war Doppelpost wegen Datenbankfehler )

 

[yatpu]

in dem fall lieber nur für die dauer der messe den scanner benutzen und das gerät nicht aus der hand geben.