Biometrie Hacker überlisten Venenerkennung

Am Chaos Communication Congress wurde gezeigt, wie sich selbst die scheinbar bombensichere Venenerkennung überlisten lässt. 

Die Venenerkennung gilt als eines der sichersten biometrischen Verfahren zur Identifizierung von Menschen. Nun ist es zwei deutschen Hackern gelungen, diese zu überwinden. Mit Hilfe von selbstgebauten Attrappen gelang es den beiden demnach, das System im Labor zu manipulieren, das beispielsweise den Zugang zu Banken oder Kernkraftwerken, aber auch das neue Gebäude des deutschen Auslandsgeheimdienstes BND in Berlin vor unbefugten Personen schützen soll.

«Wir waren selbst erstaunt, wie einfach das geht», sagt Jan Krissler alias Starbug, Informatiker an der Technischen Universität in Berlin. Krissler wurde 2013 bekannt, als er als erster den damals brandneuen Touch ID-Fingerabdrucksensor des iPhone 5s überlistete. Zusammen mit seinem Kollegen Julian Albrecht demonstrierte Krissler nun am Chaos Communication Congresses (35c3), wie sich die Venenerkennung überwinden lässt.

So funktioniert Venenerkennung

Was genau ist die Venenerkennung? «Es handelt sich um ein relativ junges Verfahren, das vor allem im asiatischen Raum eingesetzt wird, beispielsweise als Zutrittsschutz zu Hochsicherheitsbereichen», erklärt Krissler. Doch auch einigen Bancomaten in Japan nutzen die Technik. Die Venen seien eigentlich relativ schwer auszulesen, da sie sich im Körperinneren befinden. «Unseres Wissens gab es bislang auch keine erfolgreichen Hackversuche gegen kommerzielle Systeme.»

Zur Technik: Um beispielsweise ein Gebäude zu schützen, wird die Hand am Eingang vor einen Sensor gehalten, der das «versteckte» Venenmuster der Handfläche oder eines Fingers berührungslos erfasst. Dies gelingt mit Hilfe einer nahen Infrarotstrahlung, die vom sauerstoffarmen venösen Blut absorbiert wird. Mit dem daraufhin erstellten Bild wird die Datenbank direkt abgeglichen und das System erkennt, ob die Person zugangsberechtigt ist.

So wird sie überlistet

Krissler und Albrecht haben sich selbst Sicherungssysteme der zwei grossen japanischen Anbieter Hitachi und Fujitsu bestellt und getestet. Als ersten Schritt nahmen die beiden eine Spiegelreflexkamera und bauten den Infrarotfilter aus. «Dann können die Sensoren auch diesen Bereich abbilden», sagt Krissler. Wichtig sei zudem, dass bei den Aufnahmen Blitzlicht eingesetzt werde.

Die beiden bearbeiteten das Foto noch ein wenig, vor allem um die Kontraste der Venen herauszuarbeiten. Das ausgedruckte Bild legten sie auf eine Wachshand, die dann nochmal mit einer dünnen Wachsschicht überzogen wurde. Laut Krissler gelang es damit, die Systeme beider Anbieter zu überwinden.

Die Hersteller wurden auf die Sicherheitslücken hingewiesen. Eine Fujitsu-Sprecherin bestätigte, dass der Vorgang bekannt sei. Nach Einschätzung des Unternehmens könne der Hack aber wohl nur «unter Laborbedingungen» gelingen, in der realen Welt sei das «eher unwahrscheinlich». Man arbeite «kontinuierlich» an der Weiterentwicklung und der Verbesserung der Technologie.

Was ist der sicherste Smartphone-Schutz?

Weitere 10 Bilder ansehen

Was ist der sicherste Smartphone-Schutz?

Ein sechsstelliger Code, wie er inzwischen bei vielen Smartphones Standard ist, bietet eine Million verschiedene Kombinationen, die ein potenzieller Angreifer ausprobieren müsste.

Bild: iStock

Kürzer sollten der PIN daher nicht sein - durch vierstellige Codes ist man in 10'000 Versuchen schon durch.

Bild: iStock

Alternativ lässt sich auf iPhones der PIN-Code durch eine alphanumerische Phrase ersetzen. Dazu geht man in den Einstellungen auf «Touch ID/Face ID & Code» und «Code ändern». Nach Eingabe des derzeitigen PIN-Codes kann man nun unter «Codeoptionen» ein Passwort festlegen, da natürlich entsprechend lang sein sollte.

Bild: dj

Die Sperrung per Muster kann sicher sein, aber nur wenn man ein langes und sehr komplizierte Muster erstellt. Da ist die Eingabe eines PIN-Codes oft schneller.

Bild: iStock

Die populärste Form der Smartphone-Sicherung ist derzeit wohl der Fingerabdruck. Jedes Top-Smartphone lässt sich heute auf diese Art sichern.

Bild: Getty Images

Die Fingerabdrucksensoren sind in den letzten Jahren deutlich besser geworden.

Bild: Getty Images

Fingerabdrucksensoren sind daher sicher genug für Durchschnittsnutzer.

Bild: iStock

Der Iris-Scanner des neuen Samsung Galaxy S8 wurde bereits überlistet.

Bild: Samsung

Noch unsicherer dürfte die Gesichtserkennung per regulärer Kamera sein.

Bild: Getty Images

Nur Face ID des iPhone X bietet ein ausreichendes Mass an Sicherheit.

Bild: Apple