Galaxy S5: Fingerabdruck-Scanner gehackt - mal wieder

Skandal! Der Fingerabdruck-Scanner des Galaxy S5hat sich nun als genau so wenig unüberwindbar erwiesen, wie einst der des iPhone 5s. Die Methode ist die gleiche, die Sicherheitsimplikationen sind jedoch etwas weitreichender.

Als vor einem halben Jahr Mitglieder des Chaos Computer Club auf recht realitätsferne Art und Weise den Fingerabdruck-Scanner des iPhone 5s geknackt und es als große, unerwartete Enthüllung verkauft hatten, konnte ich mir den Sarkasmus nicht verkneifen. Wer ernsthaft dachte, dass diese Technologie unüberwindbar sei, der muss sich eben einfach den Vorwurf der Naivität gefallen lassen.

Nun hat den Scanner des Galaxy S5 das gleiche Schicksal ereilt, und wieder sind wir zutiefst unüberrascht. Apples TouchID ließ sich durch einen gebastelten Fingerabdruck überlisten, der einigen Aufwand erforderte (das hochauflösende Fotografieren und Laserdrucken eines echten Abdrucks und das darauffolgende Herumkleistern mit hautfarbener Latexmilch oder weißem Holzleim). Die gleiche unpraktische Methode überlistet auch Samsungs Scanner, mit anderen Worten, die Koreaner haben von Apple nicht lernen wollen oder können.

https://www.youtube.com/watch?v=sfhLZZWBn5Q#t=74


Was die Sache im Fall von Samsung etwas problematischer macht: Das Bezahlen via PayPal erfordert auf dem Galaxy S5 kein Passwort, sondern nur den Fingerabdruck. Apple fragt hier immerhin periodisch noch ein Passwort ab, vor allem dann, wenn die App länger nicht verwendet wurde. Mit anderen Worten: Wer erst mal den Scanner überlistet hat, hat auch PayPal überlistet. Ein Video von SRLabs zeigt, wie es funktioniert.

Wieder ist die Erinnerung fällig: Fingerabdruck-Scanner sind in erster Linie Komfort- und nicht Sicherheits-Features, auch wenn Apple, Samsung und dergleichen es selbstverständlich anders verkaufen. Und 99 Prozent aller Smartphone-Diebstähle erfolgen zum Zwecke des Zurücksetzens und/oder Weiterverkaufens. Kein Dieb hat vor, sich einen netten Dia-Abend mit unseren privaten Fotos zu machen oder peinliche Statusupdates bei Facebook zu posten. Das Problem mit PayPal ist da schon realer, und man sollte sich eventuell fragen, ob Finanztransaktionen nicht auch weiterhin zusätzlich passwortgeschützt bleiben sollten. Komfort kann am Ende eben auch gefährlich sein.

AndroidPit Via: Android Authority