iPhone + Fingerabdruckscanner + NSA = ?

Auch hier noch mal der Hinweis: Android verfügt seit einiger Zeit über eine Gesichtserkennung. Da wurde kein Buhai drum gemacht. Aber es braucht wohl immer wieder ne neue Sau die man durchs Dorf treiben kann…

ich gebe dir Recht, ich will nicht mit Fingerprint authentisieren. Ich hoffe dieses Feature kann disabled werden.

Aber freue dich nicht zu früh, das kommt bald auch in der Android-Welt. Erfahrungsgemäss kommt alles von Apple früher oder später zu Android. Ich sage jetzt nicht kopieren 🙂

Interessant finde ich, dass (zumindestens hier in Deutschland) die Polizei ja das Recht hat, Fingerabdrücke zu nehmen, dafür sei ja “keine Mithilfe” des sagen wir mal “Opfers” nötig. Ein Passwort herauszugeben könnten sie nicht erzwingen…

Da bist du nicht der erste, der diesen Zusammenhang entdeckt hat. 😀

http://www.lawblog.de/index.php/archives/2013/09/11/danke-apple/

Vermutlich war das der Grund weshalb Snowden bei der NSA angeheuerte, weil er so allen jungen Frauen unter den Rock schauen konnte. Immerhin hat er eine Stripperin geheiratet. 😉 Vielleicht kam er so später auf den Geschmack, dass sich alles verhüllte selbst offenzulegen hat. Ein transparentes Objekt kann durchschaut werden. Mal abwarten was er noch an Dokumenten leakt.

Ich sehe bei dem Fingerabdruckscanner eher große klassische Sicherheitsprobleme.

Der Scanner soll z.B. zur Authentifizierung von Bezahlvorgängen eingesetzt werden. Wenn nun die Behauptung stimmt, daß “der Fingerabdruck das Gerät nie verläßt”, welche Art von Bestätigung kann dann noch beim Server ankommen? Mehr als ein Flag “Abdruck wurde positiv mit lokaler Kopie verglichen” kann es nicht sein.

Das ist so sinnvoll und sicher wie eine clientseitige Passwortprüfung…

Das Geaicht jedes Bürgers der einen Perso / Führerschein / Reisepass besitzt ist doch eh aktenkundig. Von daher ist die Bilderkennung von Android nicht vergleichbar, die kann man auch so konfigurieren das das Ziffernblatt der Armbanduhr als Authentifizierung dient.

@Lara: Disabled sind höchtens die linguistic Skills einiger Mitmenschen. Die nennt man Nerds und denen kann man jedes Feature im Smartphone anbieten – vor allem an der Genious Bar. Aber zugegeben, ich werde alt…

Wer in den letzten 10 Jahren in den USA war, dessen Fingerabdruck haben sie sowieso schon.

@Andreas: Aber dann können sie ihm ja gerade deshalb auch Telefonate zuordnen…

Diese Fingerabdruckscanner sind nicht aufzuhalten, dazu sind die Unternehmen und ihre Lobbys sowie diverse Staaten viel zu heiss auf die Daten.

Ich bin dafür, dass diese Technik massenhaft im Privatsektor eingesetzt wird, denn je mehr sie verbreitet wird, desto schneller
wird sie wertlos.

Finderabdrucksscanner können kurzfristig eine Scheinsichersichheit suggerieren, mittelfristig treiben sie die Kriminalistätsrate in die
Höhe.

Egal, wo oder wie die Abdruck-Daten gespeichert werden, sie werden eher früher als später in die Öffentlichkeit gelangen – durch Hacks,
Wikileaks oder lebensmüde Landesverräter. Das ist nur eine Frage der Zeit, nicht der verwendetetn Technik.

Der CCC hat vor Jahren gezeigt, wie lächerlich einfach es ist, sich einen “falschen Finger” zu basteln und fingerabdruckstechnisch als Innenminister Schäuble durchzugehen. Dieses Know-How alleine ist schon gefährlich.
Kein Alibi für die Tatzeit, ein Fingerabdruck an der falschen Stelle und soziale Entwicklungsländer schicken selbst im 21.Jahrhundert noch
Menschen in die Todeszelle.

Sobald eine gehackte, öffentlich gemachte Fingerabdruckdatenbank dazu kommt, knallt es. Damit kann sich _jeder_ fingeradruckstechnisch als jemand anderes ausgeben. Die Zuordnung Fingerabdruck Person wäre damit faktisch aufgehoben und das in der Kriminalistik begehrte Beweismittel namens Fingerdruck wird somit auf ein Indiz reduziert. Ob das Sinn macht, interessiert die Herren Industriekapitäne weniger.

Apple behauptet, das iPhone würde die Daten nur lokal speichern. Was davon zu halten ist, werden wir eventüll nach dem nächsten Jailbreak sehen.

Wenn Geheimdienste an einen Fingerabdruck drankommen wollen, dann gibt es seit 2009 Reisepässe, für die man welche abgeben muss. Und zwar direkt beim Staat, denn nur der gibt Reisepässe aus. Jetzt hat natürlich nicht jeder einen Reisepass, aber zumindest schon mal jeder, der außerhalb der EU über Staatsgrenzen hinweg herumreißt. Also schon mal die meisten international interessanten Personen. Diejenigen, die zum Grenzübertritt keinen Reisepass brauchen, da sie in irgendwelchen asiatischen Bergregionen in Grenzgebieten schlecht überwachbare Grenzen passieren, werden auch kein iPhones nutzen. Wenn doch, sind die Dümmer als die Polizei erlaubt und man hätte sie schon heute längst lokalisiert, auch ganz ohne Fingerabdruck. Wenn es denn dort überhaupt Empfang für Handys gibt.

PS: Der Fingerabdruck wird wohl gar nicht gespeichert, sondern ein Hashwert. Natürlich kann beim Scannen, wenn Schadsoftware eingeschleust wurde, bestimmt der Abdruck als solche gespeichert und weitergeleitet werden, aber aus dem gespeicherten Hashwert wird man nicht den Fingerabdruck berechnen können.

@techniknörgler: In vielen Ländern gibt es noch keine Fingerabdrücke im Reisepass. Ich hab auch keine Fingerabdrücke im Reisepass. Und viele Leute waren auch noch nicht in den USA.

Außerdem geht es ja gar nicht nur darum, von einem Nutzer den Fingerabdruck zu bekommen, sondern vielleicht umgekehrt anhand des Fingerabdrucks zu erkennen, wer das Handy hält.

> Der Fingerabdruck wird wohl gar nicht gespeichert, sondern ein Hashwert.

Erstens weiß man nicht, ob die Software dann noch das tut, was drauf steht. Zweitens reicht ein Hash ja, um Leute auseinanderzuhalten, sonst können sie es ja nicht zum Einloggen verwenden.

“Sobald eine gehackte, öffentlich gemachte Fingerabdruckdatenbank dazu kommt, knallt es. Damit kann sich _jeder_ fingeradruckstechnisch als jemand anderes ausgeben. Die Zuordnung Fingerabdruck Person wäre damit faktisch aufgehoben und das in der Kriminalistik begehrte Beweismittel namens Fingerdruck wird somit auf ein Indiz reduziert.”

Unwahrscheinlich. Meistens werden nämlich nicht die Fingerabdrücke gespeichert. Es werden aus den Fingerabdrücken zuerst Werte berechnet, die dann mit abgespeicherten Werten verglichen werden können, um jemanden zu identifizieren. Das ganze Bild ihres Fingerabdruckes speichert dagegen in erster Linie einer: Der Staat, auf ihrem Reisepass, zumindest auf allen nach 2009 beantragten Reisepässen. Ganz offiziell und explizit so im Gesetz vorgesehen.

Man muss sich vor Augen halten: Die Sicherheit steht und fällt mit der Qualität des Scanners, aber nicht oder kaum mit der Geheimhaltung der aus den biometrischen Merkmalen errechneten Datensätze. Die Datensätze sind nämlich gar nicht das, was als “Schlüssel” verwendet wird, sondern das biometrische Merkmale, das man mit sich herum trägt. Die Datensätze dienen dann nur zum Vergleich. Wer also die Daten, die aus ihrem Fingerabdruck errechnet wurden, für sich selber kopiert, der kann dann überprüfen, ob ihr Fingerabdruck zum Datensatz passt und sie so mit den dabei gespeicherten Daten zu ihrer Person in Verbindung bringen.

Um sich aber als Sie auszugeben muss er den Scanner überlisten, der die Fälschung für den Originalabdruck halten muss. Da hängt von der Qualität des Scanners ab. Einige Scanner lassen sich leicht austricksen, andere eher schwerer (zum Beispiel in dem ein Wärmesensor integriert ist, der auf Körpertemperatur prüft).

Und wenn einem die Sicherheit eines Fingerabdruckscanners nicht ausreicht, dann muss man halt zu einem Handvenenscanner übergehen. Der ist dann allerdings noch etwas teurer, kann dafür sogar berühungslos funktionieren, was der Hygiene dient.

Im übrigen sind biometrische Verfahren nicht zum Identifizieren über die Distanz gedacht. Über das Internet kann man ja nicht ihren Originaldaumen versenden, sondern nur einen Datensatz ihres Daumens, der beliebig kopiert werden könnte. Hier würde die Kritik angebracht sein, denn zum Identifizieren würde ja ein stehlbarer Datensatz genutzt.

Mit Biometrie identifiziert man sich lokal. Vor Ort wird durch einen Scanner überprüft, ob das Original vorliegt, das mit dem hinterlegten Datensatz übereinstimmt. Natürlich steht und fällt das mit der Vertrauenswürdigkeit der Scanners. Das ist aber kein prinzipielles Problem mehr. Absolute Sicherheit gibt es freilich nicht. Da aber nichts zu 100% korrekt läuft, ist das kein Argument. Sonst könnte man gleich alle Technik abschaffen. Sicherheit kann immer nur relativ gemeint sein. Wäre nur absolute Sicherheit gemeint, dann müsste man das Wort Sicherheit gleich abschaffen. Was brächte das für die Kommunikation?