Galaxy S8: Irisscanner ausgetrixt
Jonny Random, den 26. Mai 2017
Der Irisscanner des Galaxy S8 wurde vom CCC mit einem hochaufgelösten Foto überlistet. Samsung bestätigt den Sachverhalt, hält das Szenario allerdings für unrealistisch.
Der Irisscanner des neuen Samsung-Flaggschiffs Galaxy S8 lässt sich durch ein hochaufgelöstes Foto der Iris eines autorisierten Benutzers überlisten, wie der Chaos Computerclub herausfand. Ganz so einfach ist der Trick allerdings nicht umzusetzen, denn ein bloßes Foto von Gesicht oder Auge reicht nicht (mehr) aus.
Auf diese Weise waren frühere biometrische Verfahren immer wieder genarrt worden. Beim Galaxy S8 muss zunächst ein hochaufgelöstes Foto von der autorisierten Iris gemacht werden. Dieses haben die CCC-Hacker ausgedruckt und anschließend eine Kontaktlinse darüber positioniert. Nun hielt der Irisscanner das Konstrukt für ein autorisiertes Auge.
Die Konstellation mag für die meisten potenziellen Angreifer unpraktikabel sein, offenbart aber einige Probleme mit biometrischen Verfahren.
Samsung wiegelt ab
Früher reichte es oft ein Foto eines Gesichts vor die Kamera zu halten. Der Blinzeltest, der diesen Trick unterbinden sollte, konnte mit einem durch das Bild geschwenkten Stift ausgehebelt werden. Der Irisscanner im S8 ist anscheinend sicherer, kann einige grundlegende Aspekte biometrischer Authentifizierungen aber nicht aufheben. Iris- wie auch Fingerabdrücke können mit entsprechendem Aufwand beschafft und zur Entsperrung der damit geschützten Geräte verwendet werden. Für den neugierigen Freund oder Lebenspartner dürfte die Hürde zumeist hoch genug sein, einem ernsthaften Angriff halten diese Verfahren indes nicht Stand. Sicherheitsexperten neigen daher auch dazu ein biometrisches Merkmal eher als Benutzernamen, denn als Passwort zu sehen. Samsung hat sich zum CCC-Video inzwischen auch geäußert. Es räumte die Machbarkeit des gezeigten Szenarios ein, stuft es aber als praxisfern und unrealistisch ein. Der Irisscanner im Galaxy S8 sei rigoros getestet worden und arbeite sehr genau.