iPhone 5s Fingerabdruckleser: so wurde er umgangen (und eine kurze Meinung dazu)

Dass ein Mitglied des Chaos Computer Clubs den Fingerabdruckleser des iPhone 5s umgangen hat, dürfte mittlerweile im hintersten Winkel des Internets angekommen sein. Entglorifiziert ist die Sicherheit, zurück bleibt die Erkenntnis, dass der Fingerabdruckleser im iPhone 5s nicht vor ambitionierten Tüftlern halt macht, sondern lediglich etwas für den faulen Nutzer ist.

Bildschirmfoto 2013-09-25 um 15.27.53

[werbung]

Denn wenn 50 Prozent aller Benutzer im Vorfeld keine Sperre nutzten, nun durch den Fingerabdruckleser aber eine eingerichtet haben, dann ist das schon einmal ein ganz großer Fortschritt. Ich verstehe beide Seiten. Den faulen Nutzer, der seinen Finger zum dutzendfachen Entsperren täglich auf das iPhone 5s legt und natürlich auch den sicherheitsbewussten Anwender, der davon ausgeht, dass seine Fingerabdrücke von Gläsern extrahiert werden, um diese in einen künstlichen Finger umzuwandeln.

IMG_7965

Alternativ kann man auch gerne die Geschichte aus der Kiste holen, dass so ein mittels Fingerabdruck gesichertes Smartphone unter Gewalt sicherlich schneller mit dem Finger entsperrt werden kann, als wenn derjenige mit James Bond-Ambitionen sein Passwort „vergessen hat“.

Lange Rede, kurzer Sinn: entscheide, ob du ein fauler Anwender bist – oder ob du es sicherer magst. Dann ändere aber auch bitte den vierstelligen Pin in eine längere Kombination. Dennoch sollte Apple folgenden Slogan auf der Homepage überdenken: „Halte einfach deinen Finger auf die Hometaste und schon wird dein iPhone entsperrt. Das ist praktisch und extrem sicher“. Extrem sicher ist es nämlich nicht. Eine Info noch: nach fünfmaligen Auflegen eines falschen Fingers muss der Code eingegeben werden. Eben getestet. Aber ich schweife ab.

Es gibt nun ein Video, welches den genauen Vorgang widerspiegelt. Wie ist starbug vorgegangen, um das iPhone 5s zu entriegeln? Die technischen Hintergründe schlüsselten wir bereits auf, das Video gibt einen schönen Einblick in die rund 30-stündige Arbeit, die der Experte auf diesem Gebiet leisten musste.

Gefällt dir der Artikel? Dann teile ihn mit deinen Freunden.

Hallo, ich bin Carsten! Baujahr 1977, Dortmunder im Norden, BVB-Getaufter und Gründer dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, Instagram und YouTube. PayPal-Kaffeespende. Mail: carsten@caschys.blog

41 Kommentare

  1. Hätte er 30 Stunden lang gearbeitet und dabei 20€ die Stunde verdient, hätte er das Ding gleich kaufen können 😉

  2. Nix neues. Jeder Fingerprint-Scanner ist so überlistbar. Nie Mythbusters gesehen?
    Alle, die nicht auf Temperatur und/oder Puls scannen sind extrem leicht überlistbar.
    „Hacken“ is auch was anderes. Dort wurde ja nicht die Technik umgangen, sondern der Finger verdoppelt.
    Wie Autoschlüssel klauen… Geknackt wurde das Auto nicht, sondern der Schlüssel geklaut.

  3. ich find es peinlich das der CCC sowas als Haken ausgibt.

  4. Eigentlich zu Bedenken geben sollte, dass die biometrischen Daten dann bei Apple liegen. Von dort ist es nicht mehr weit bis zur NSA…

  5. Hundepfote drauf und fertig. Woher hab ich das nur? 😀

  6. der Begriff „hacking“ ist so von der Allgemeinheit verhunzt worden. Das hier ist „Hardware Hacking“ also das Erstellen von Mitteln zum klassischen Hacking…. und außerdem bezeichnet das klassische altmodische Hacking heutzutage eigentlich schon immer zu 99% social engineering, weil man davon ausgeht, dass die technischen Sicherheitsmechanismen sowieso so gut funktionieren, dass man als Drittperson nicht dran vorbei kommt.
    Der Rest nach dem Social Engineering ist einfach ein Login mit fremden, „gestohlenen“ Daten…

  7. …und wer bitte schön macht sich so eine Arbeit um Zugriff zu einem Handy zu bekommen??? 30 Stunden Arbeit??? Finde es ehrlich gesagt peinlich vom ccc…

    Mal abgesehen davon, was ist schon 100% sicher? Die Pin-Code Abfrage sicherlich auch nicht…

  8. klaus dieter says:

    @snoff…ich danke dir! endlich mal jemand, der nicht nur euphorisiert sagt „wow, was für eine tolle neuerung“, sondern auch mal kritisch über dinge nachdenkt…was kommt als nächstes? das man seine körperflüssigkeiten zum erstmaligen aktivieren irgendwo reinkippen muss? oder doch lieber eine blutprobe, damit die genetik desjenigen entschlüsselt werden kann? manchmal hat man das gefühl, dass wir alle in einem riesen großen gefängnis sitzen, aus dem man nicht heraus kommt…das schlimme ist nur, dass die meisten es gar nicht merken…das sie nicht merken wie geld ihr leben bestimmt, mehr arbeit durch stellenstreichung ihnen die freizeit raubt. nein, sie glorifizieren diese neue welt…rechnen wir mal nach..40 stunden woche=8 stunden am tag, zzgl. 1 stunde pause, machen dann neun stunden. dazu kommt der weg zur arbeit, welcher bei den meisten zwischen 30 und 60 minuten dauert…gehen wir meinetwegen gern von 30 minuten aus, dann wären hin und rückfahrt insgesamt eine stunde, also bisher insgesamt 10 stunden am tag nur für die arbeit. der gesunde schlaf sollte zwischen 6 bis 8 stunden liegen, hier nehmen wir den mittelwert von 7 und eine stunde rechnen wir morgens um sich fertig zu machen und vor der arbeit zu frühstücken. das sind dann allein für die arbeit, von fertig machen, über den weg bis zur arbeitszeit schon 11-12 stunden, zzgl. 8 stunden schlaf wären es 20 stunden..man hat also ca. 4-5 stunden freizeit, wobei man dies manchmal auch einfach freigang nennen könnte…

    aber damit nicht genug, weil wir ja nicht schon genug von dem system ausgenutzt werden, sollten wir evtl. auch mehr steuern abgeben und zwar nach jeder legislaturperiode, mit mehr streichungen was leistungen durch die krankenkasse rechnen und dürfen z.t. nicht das tun und lassen was uns beliebt, obwohl wir damit niemandem anderen schaden würden…

    schöne neue welt in der wir leben…

  9. hans feter priedrich says:

    ich frage mich, wie snoff auch, warum man in dem artikel hier kein wort darüber verliert, dass die fingerabdrücke sicherlich durch das backdoor von ios zu den geheimdiensten wandern werden… wtf?

  10. Biometrische Daten liegen bei Apple? Da fehlen dann anscheinend ein paar Fakten 😉

  11. So, tun sie das sicherlich?

  12. Da ihr Euch alle über die NSA beschwert eine kurze Frage.. Schonmal in den Staaaten gewesen? Ja? Dann haben sie die Fingerabdrücke eh schon.. Mich interessiert es herzlich wenig ob meine Fingerabdrücke dort bekannt sind…

  13. Was ich allerdings bedenklich finde ist, das man mit seinem Fingerabdruck im iTunes Store oder ggf. in Zukunft generell, einkaufen kann.

  14. Ich glaube, dass auf iPhones vor dem 5S nur wenige Nutzer überhaupt eine Sperre nutzen. Wenn einige davon sich mit dem Fingerabdruckscanner anfreunden, wird die Welt ein kleines Stückchen sicher. Ein hackbarer Schutz ist besser als kein Schutz.

  15. @Kay: deaktivierbar.

  16. Wenn ihr Angst habt, dass die NSA Eure Fingerabdrücke bekommt (mal abgesehen von der Frage, ob Apple in dem Punkt lügt), solltet ihr vermeiden zu verreisen. Denn viele Nicht-EU Staaten verlangen bei der Einreise von Euch Fingerabdrücke (teilweise) von allen 10 Finger und wie deren Datenschutzrecht dann ist, die Fingerabdrücke gesichert sind und die Kontakte direkt zur NSA sind, kann man sich denken. Spätestens, wenn ihr in die USA einreist hat die NSA eure Fingerabdrücke… und von wegen der Finger lässt sich leichter benutzen, wenn man gefesselt wird, als wenn einem das Passwort erpresst wird: Wer ist bitte so dämlich und lässt sich für 700 EUR foltern? Dann erpressen sie halt das Passwort, werden glücklich und die Versicherung kauft mir ein neues iPhone…

  17. Sebastian Schumacher says:

    @Maik & caschy: klar ihr habt recht, Apple sagt sie liegen nur auf dem Handy. ist halt nur die frage ob das stimmt, bzw. ob es sich mal durch n update ändert. Ist halt ne vertrauenssache und ich finde ist ein (bzw. bis zu 10) fingerabdruck n hoher preis für wenig sicherheit und viel faulheit. aber nur imho.
    @Kay: ob sich 30 Stunden aufwand lohnen um ein handy zu knacken hängt vom besitzer ab. man hat dann halt zugriff auf kreditkarten infos, private informationen, ggf. geschäftliche informationen, worst case div. cloud stores mit xy-dateien (evtl sogar business anbindung), mail, evtl vpn netz und und und. nur weil du und ich nix interessantes drauf haben heisst das nicht, dass es nicht doch beim ein oder anderen was interessantes zu holen gäbe.

  18. @Jan: Und wenn der Wert des Inhaltes meines Handys, was auch immer es ist, mehr wert als 700€ ist?

  19. Mich schockt das nun nicht wirklich was der CCC da herausgefunden hat. Der Wahnsinn – Fingerabdrücke kann man reproduzieren ?

    Das man in einem Mainstream Produkt nun nicht die höchste Sicherheitsstufe des amerikanischen Präsidenten erwarten kann sollte jedem einleuchten. Ohne Ahnung von Biometrischen Produkten zu haben gehe ich mal davon aus das ein Sensor der zum Fingerabdruck noch Puls, Temperatur und was weiß ich vergleicht sehr wahrscheinlich wesentlich teurer ist als die Art des im iPhone verbauten. Möglicherweise ist auch die Größe, Bauart, Stromverbrauch etc. ungeeignet um in einem leichten, dünnen, schmalen, kompakten Smartphone platz zu finden.

    Abgesehen davon frage ich mich ob der gemeine Handtaschendieb diesen Aufwand betreibt, möglicherweise hat er auch gar keine Möglichkeit einen Fingerabdruck zu nehmen (ggf. durch Verwischen der Tasche / Case in dem das iPhone ist) so das sicher nicht 100% gegeben ist das man grundsätzlich den Sensor auf die Art und Weise übertricksen kann. Sicher – hat man es auf jemand bestimmten abgesehen ließe sich die beschaffung eines Fingerabdrucks und Diebstahl des iPhones planen… aber nunja.

    Zudem kann ich vielleicht auch einen Finger zum entsperren benutzen der auf dem Telefon keinen Abdruck hinterlässt (kleiner Finger ist selten an den Oberflächen)

    Mir scheint es hier eher ein abschweifen in 007 und Mission Impossible als das aufdecken einer hochgradig gefährlichen Sicherheitslücke. Klar sollte man nicht allem blind vertrauen, ggf. besser doppelt oder dreifach sichern (Code Sperre, langer Code, anderer Finger o.ä.) aber mehr als eine Sensibilisierung ruft das bei mir nicht hervor.

  20. klaus dieter says:

    @jan…es gab schon mehere die unschuldig auf guantanamo etc.pp gelandet sind…vielleicht weil sie mit den falschen freunden in kontakt waren…vielleicht weil sie in irgendein raster passten, weil sie systemkritisch sind/waren statt mit der welle des „ist mir alles egal“-river schwammen..macht wird ausgenutzt..nicht nur in amerika..ich denke, dass die angst dabei eher darum geht, dass z.b. polizei oder andere behörden passwörter erpressen…es gibt menschen die sich von apple nicht vorschreiben lassen möchten welche programme sie installieren dürfen und deshalb jailbreaken, was in einigen ländern unter strafe steht..da wäre es dann natürlich einfach den finger auf den sensor zu pressen, da man das gerät erstmal entsperren muss um zu sehen was drauf läuft…ich kann euch nur den roman von cory doctorow „little brother“ empfehlen..gerade für technies ist dieses buch sehr spannend geschrieben…ende des monats kommt davon die fortsetzung „homeland“ raus, welches sicher ebenso lesenswert sein wird…man muss sich nur orwells 1984 anschauen oder durchlesen um zu erkenne, dass die richtung die dort eingeschlagen wird, leider zum teil heute bereits realität ist…ich bin lieber übervorsichtig und überängstlich, statt später sagen zu müssen „ich hätte es ahnen oder gar wissen können wie es kommt“..

    vor der nazi-zeit hätte sicher auch keiner damit gerechnet, dass solche greueltaten jemals in einer solchen dimension geschehen könnten…danach dachte man, dass sowas wie rassismus nie wieder passieren kann..das man nie wieder leute aufgrund ihrer rasse oder ihres glaubens ausgrenzen, töten oder anderes mit ihnen tun könnte..heute ist es bittere realität, wenn man sich die presse vor augen hält…ein muslim ist in der deutschen presselandschaft kein muslim, sondern ein islamist…es wird suggeriert, dass nur von muslimen gefahren ausginge…

    bringt ein deutscher familienvater seine ganze familie oder seine tochter, frau, seinen sohn um, dann ist es laut der deutschen presse eine familientragödie. macht dies ein mensch, der auch nur arabisch oder türkisch aussieht, so ist es ein ehrenmord..

    wir sehen also das morde verschieden bewertet werden. leider erkennt dies kaum jemand!

  21. Mythbusters haben direkt auf Projektorfolie gedruckt, dadrüber Leihm gegosssen und sich so den umweg über das Platinen belichten gespart 😉 falls jemand hier mal seine Kollgen ärgern möchte 😀

  22. klaus dieter says:

    bzgl. diebstahl durch handtaschendiebe oder ähnlichem…die sind wohl eher an dem iphone, als an deinen daten interessiert..von daher würden diese wahrscheinlich einfach das iphone über itunes als neues iphone konfigurieren (selbst wenn dies gesperrt würde und nur mit dem fingerabdruck ginge, gäbe es sicher bald hacks die das umgehen) und schon kann er es nutzen oder eben halt verkaufen…wo bleibt mir da das mehr an sicherheit..die meisten normalen diebe interessieren sich für das schnelle geld durch den weiterverkauf, nicht für die daten des bestohlenen..interessant ist der fingerabdruck wirklich nur für behörden..und wer glaubt, dass z.b. der bnd sauberer wäre als die nsa, dem ist auch nicht mehr zu helfen…

  23. ich krieg kopfschmerzen, wenn ich die kommentare lese.. lauter profis hier oioi 😀

    alles, was der mensch gemacht hat, war zu zeigen, dass und wie man den sensor überlisten kann und das wurde dann durch die presse aufgeblasen.

    es werden sicher keine 30 stunden benötigt um das zu reproduzieren, jetzt da bekannt ist, wie es geht. ob es sich lohnt, den aufwand zu betreiben ist auch völlig irrelevant, denn ziel wars nur zu zeigen, d a s s es geht (proof of concept).

    die sensordaten landen nicht bei apple, sondern werden im gerät intern, verschlüsselt, gespeichert. ob das gut ist sei mal dahin gestellt.

  24. @Sebastian Schumacher … I know, aber 30 Stunden sollten reichen um festzustellen das mein Smartphone gestohlen wurde und um ggf. eine Fernlöschung durchzuführen. Unabhängig davon sollte sich jeder, egal wie man das Smartphone einsetzt Gedanken darüber machen welche Daten unbedingt auf ihm gespeichert werden müssen und welche auf einem z.B. Zettel besser aufgehoben sind.

    @caschy … Ich weiß das die Funktion deaktivierbar ist, finde es aber dennoch bedenklich soetwas überhaupt einzuführen. Es soll Nutzer geben, die das bezahlen per Fingerabdruck erstmal super genial finden und sich keine Gedanken über die Folgen machen.

  25. Übrigens:
    die kompletten Preisegelder von http://istouchidhackedyet.com/ sind an die Raumfahrtagentur in Berlin gegangen. Finde ich gut 🙂

  26. GrosserUnhold says:

    Dann wird das nächste iPhone wohl einen Gentest bekommen müssen 🙂

  27. Bevor gleich irgendwer anfängt von Alien’s und Entführung zu sprechen klinke ich mich besser aus 😉 Das wird mir alles zu unheimlich 😛

  28. Hier sind mal wieder die größten Leuchten unterwegs. Habt ihr euch überhaupt die Pressemeldung vom CCC durchgelesen? Es geht gar nicht darum den „Hack“ zu glorifizieren, sondern dem Fanboyhaufen zu zeigen, dass Apple nur mit Wasser kocht und man mit viele Jahre alten und bekannten Methoden vermeintlich sichere Systeme ohne Probleme umgehen kann.

    Außerdem versucht man die Leute auf Nutzung biometrischer Merkmale zu sensibilisieren, wenn der Fingerabdruck/Iris etc… erstmal im System ist bekommt man ihn nicht so schnell da raus. Ich will gar nicht die Apple –> NSA Geschichte an die Wand malen, aber das ist nur der Anfang und es wird 100%ig Systeme geben, mit welchen sich sehr viel Schabernack treiben lässt. Mich würde es auch nicht wundern wenn man via Jailbreak doch etwas mehr Infos aus dem Sensor bekommt als Apple behauptet, dann kann man zumindest eine schöne Fingerabdrucksammlung seines sozialen Umfeldes anlegen – als Vorsorge für die Zukunft.

  29. grundsätzlich hat caschy recht dass ein fingersensor sicherer ist als gar keine sperre. dass die biometrischen daten auf dem handy bleiben kann sein, muss aber nicht. für den anbieter ist es sicher kein problem diese irgendwie auch heimlich zu übertragen. auf die aussagen von apple zu vertrauen halte ich für naiv. das problem sehe ich weniger in nsa usw solange man nicht wirklich ganz ganz böse sachen macht sondern darin dass sich auch dritte zugang verschaffen könnten und damit unangenehme dinge tun können. umso mehr als diese technik auch die türe zu käufen, vertraglichen abschlüssen usw öffnet. dass eine möglichkeit gefunden wird sehe ich als sehr „sicher“ an, vor allem wenn man sich mal vor augen führt wie schnell in der vergangenheit das unknackbare bereits geknackt wurde. vielleicht kann der sensor elektronisch bzw datentechnisch sogar ausgelesen werden wenn man ihn auf deaktivieren stellt, denn daran wird sich sicher niemand aus der hackerszene stören. deshalb wäre die an sich gute idee für mich ein zusätzlicher grund das handy „nicht“ zu erwerben.

  30. komisch nur, dass niemand über den Amerikaner berichtet der einen wirklichen bug in ios7 gefunden hat mit dem man mit paar Eingaben sowohl Passwort als auch den Fingerprint Scanner einfach umgehen kann. DAS ist wirklich sehr viel einfacher und für jeden auch ohne Holzleim möglich. Dass wird hier leider überall unter den Tisch gekehrt…..

  31. Ich lauf einfach den ganzen Tag mit Handschuhen rum. Dann hinterlasse ich keine Fingerabdrücke die man duplizieren könnte… SCHACH MATT

  32. @Dirk

    Was fürn schabernack kann man denn bitte mit meinem Fingerabdruck anfangen?

  33. Das Einzige was sicher ist, ist der Tod und die Setuer !!
    Das weiß doch jeder, also warum regt Ihr Euch auf??

  34. „Steuer“ war gemeint ! 😉

  35. Zur Thematik Fingerabruck auf Appleservern:
    Vielleicht erinnern sich noch einige daran, daß die GPS Daten auch eine Weile nicht nur auf dem iPhone waren. Es ist also möglich.
    Punkt 2:
    Das Blöde an der Geschichte ist, daß Sicherheit suggeriert wird, die nicht existiert. Dabei geht es nicht um 30 Stunden Arbeit (die können auch im Vorfeld gemacht werden, so daß das Handy nur kurz weg sein muß), sondern nur darum, wie sicher Apple die Eigenschaft beschreibt. Es ist nicht sicher, es ist vielleicht sicherer als anderes. Und genau so sollte es beschrieben werden.
    Punkt 3:
    Was man damit machen kann? Gute Frage. Da wir aber in einer Welt leben, in der man nahezu überall verarscht und ausgenommen wird (z.B. Rechnungen, wo Ölwechsel draufstehen, die aber mit schlechtem Öl durchgeführt wurde). Skepsis, gerade gegenüber riesigen Konzernen, sollte daher angebracht sein. Die existieren nicht zu unserem Wohl, sondern um Geld zu verdienen (was sie nicht abwerten soll).

  36. @Fraggle

    Punkt 2: Ich möchte behaupten das es derzeit die sicherste Möglichkeit ist.
    Gehen wir die Möglichkeiten doch einfach mal durch:
    Keine Sperre – Das eben nix
    Pin Sperre – Die wahrscheinlichkeit das mir einer über die Schulter schaut beim Eintippen ist recht hoch. Noch dazu hinterlasse ich ja gezielte Fingerabdrücke auf dem Touchscreen. Auf meinem Display kann man erkennen an welcher position sich die 4 zahlen befinden, die mein Gerät entsperren.
    Muster Sperre – siehe Oben
    Alphanumerisches Passwort – siehe oben, wobei die Abdrücke zuvernachlässigen sind
    Touch ID – Neben einem verwertbaren Fingerabdruck, wenn nämlich
    mehrere Fingerabdrücke über einander liegen wird das scannen doch recht schwierig. Desweiteren kann man ja auch den Ringfinger für Touch ID nutzen und das Gerät mit dem Daumen bedienen. Muss noch jemand so viel Zeit investieren diesen Fingerabdruck zu fälschen.

    zu Punkt 3:
    Also keiner weiss was man damit machen kann, aber jeder weiss das es schlecht ist, also was man da vielleicht machen könnte? Das mal ne logik

  37. @FlyingT wenn zb eine als sicher eingestufte technik als autorisierung für zahlungen eingesetzt wird kann diese missbraucht werden. beispiel „elektronischer personalausweis“ der offiziell als sicher eingestuft wurde, es aber nicht ist. das heißt: jemand benutzt gehackte daten für die man dann aber als korrekter eigentümer in die pflicht genommen wird. demail usw ….

  38. @Dirk

    Kannst du mir kurz erklären wo sich das Angriffsszenario von den derzeitigen Alternativen unterscheidet?

  39. „Hier sind mal wieder die größten Leuchten unterwegs. Habt ihr euch überhaupt die Pressemeldung vom CCC durchgelesen? Es geht gar nicht darum den “Hack” zu glorifizieren, sondern dem Fanboyhaufen zu zeigen, dass Apple nur mit Wasser kocht und man mit viele Jahre alten und bekannten Methoden vermeintlich sichere Systeme ohne Probleme umgehen kann. “

    Obige Aussage von Bernd sagt eigentlich alles. Ich nutze neben einem iPhone 5 auch mein Android in Form von einem Xperia Z1, zuvor HOX etc. pp. Ich erinnere mich auch noch gut an die Gesichtserkennung von Google 😀

    Aber davon abgesehen bewirbt Apple und auch die Hardcore-Fans, eben diese Produkte mit dem Plus an Wertigkeit, dem Plus an Qualität, welche das Plus an Euros/Dollars rechtfertigen. Allgemein geht das auch auf, grob betrachtet: es ist wertiger, ein passables Design, dazu recht praktische Funktionen (gemäß meinem Geschmäckle). Aber hier ein Fingerabdruck-Sensor der bekannte Fehler wiederholt und gleichsam ein Plus an Sicherheit suggeriert? Besser als gar keine Sicherheit, ist immer noch der Verzicht auf ein Smartphone mit persönlichen Daten. Dies hier ist ein Plazebo. Geht es den werten Nutzern des iPhone 5s um die Sicherheit gegenüber der Freundin oder dem kleinen Bruder, oder möchte man im Falle eines Verlust zumindest die bestmögliche Sicherheit besitzen, zumindest solange bis man das Gerät aus der Ferne – falls noch möglich – zu löschen vermag?