Artikelformat

Touch ID und die trügerische Sicherheit

Apples Touch ID ist zum Anmelden bei Apps ist eine sehr komfortable Geschichte. Es vergeht seit der Veröffentlichung von iOS 8, mit dem Touch ID für 3rd Party Apps verfügbar wurde, kaum eine Woche, in der nicht irgendein anderer Entwickler mit der Integration dieses Features in seiner App hausieren geht.

Doch wie sieht es mit der Sicherheit von Touch ID, fernab der hinlänglich bekannten Sicherheitsprobleme, die bei der Verwendung eines Fingerabdrucks entstehen, aus?!

2014-11-03_12h42_57

Andreas Kurtz beschäftigt sich in seinem Blogeintrag ausgiebig mit diesem Thema und zeigt am Beispiel der Dropbox App welch trügerische Sicherheit Apple mit dem Local Authentication Framework, einer API, die Apple zur Verwendung von Touch ID den Entwicklern zur Verfügung stellt, dem Nutzer vorgaukelt.

Since I first heard about this new framework, I have questioned its usefulness. Ultimately, Local Authentication becomes only important when an unlocked device falls into the wrong hands. Than Local Authentication is designed to ensure that, when an app is launched, an additional login screen is displayed to prevent access to the app’s contents. However, in this very moment it is still possible, e.g., to directly access all app data via the USB interface (for example, by creating a backup). After all, the device is already unlocked (otherwise you wouldn’t need Local Authentication).

Ähnliche Sicherheitsbedenken hat auch die Subsembly GmbH aus München, die erst letzte Woche Touch ID in ihre großartige Online-Banking App Banking 4i integriert hatte. Wie auf der Facebook-Seite des Entwicklers zu lesen, ist man mit Apples Umsetzung des Local Authentication Frameworks unzufrieden, hat aber dennoch über einen sogenannten Zweitschlüssel einen Weg gefunden, der das eigentliche Passwort zum Entsperren der App nicht lokal auf dem iPhone oder iPad speichert.

Die übliche, von Apple empfohlene Vorgehensweise für die Implementierung von Touch ID sieht vor, dass das mit Touch ID zu schützende Passwort einfach im Schlüsselbund auf dem Gerät gespeichert wird. Unser Grundprinzip, das Passwort niemals irgendwo in irgendeiner Weise zu speichern wäre damit gebrochen. Nun kann man argumentieren, dass der Schlüsselbund in iOS sehr sicher ist, und die Speicherung des Passworts im Schlüsselbund deshalb kein Risiko darstellt. Ich glaube das nicht. So kann zum Beispiel ein “trojanisches Pferd” auf einem iPhone mit Jail-Break den Schlüsselbund einfach auslesen.

-> iOS 8 Touch ID Authentication API
-> Touch ID in Banking 4i

Autor: Björn

Ich bin Björn und quasi der COO von aptgetupdateDE. Ich kümmere mich um die PR und allerlei Kontaktaufnahmen zu Herstellern und Softwareentwicklern. Erreichbar bin ich bei Twitter und natürlich per E-Mail.

6 Kommentare

    • Davon mal ganz abgesehen, wobei so eine richterliche Anordnung in den USA erst mal wenig mit der hier beschriebenen Problematik zu tun hat.

    • Hanswurstsalat

      03.11.14, 21:39, #3

      Wer so böse Sachen mache das es relevant ist über so etwas nachdenken zu müssen hat eh schon alles falsch gemacht was man falsch machen kann. Der hat es dann auch verdient das sein Gerät auf diese Weise entsperrt wird.

  1. Hanswurstsalat

    03.11.14, 21:35, #4

    Vor allem der letze Punkt fällt unter den Punkt, selbst schuld dann. Wenn ich mir ein Jailbreak installiere muss klar sein das sämtliche Sicherheitsmaßnahmen am Arsch sind. Wenn Touch ID in normaler Umgebung genutzt wird kann es nach meinem Verständnis nicht zu so einem Szenario kommen.

    Den ersten Punkt verstehe ich ehrlich gesagt auch gar nicht. Wenn ich mein iPhone an einen fremden Rechner anschließe geht „gar nichts“. Nicht mal löschen geht mittlerweile mehr. Ich gebe zu den englischen Part nicht wirklich verstanden zu haben, aber USB und an Rechner anschließen habe ich schon verstanden und das geht nicht. Genauso Backup… dann muss schon einer in meine Wohnung einbrechen und Zugriff auf meinen Rechner haben.

    Sehr unwahrscheinlich und nicht Lohnenswert bei 99,9% der Nutzer. Und wer in einer Position ist wo absolute Sicherheit zählt (Regierung z.B.) der nutzt dann eh das falsche Gerät.

    Touch ID ist und bleibt ein bequemer Weg bei moderater Sicherheit Dinge zu entsperren. Besser als die Leute die ganz und gar auf einen Code verzichten weil sie keine Lust haben jedes mal einen Code eingeben zu müssen und genau hier kommt Touch ID ins Spiel.

    Ich will es definitiv nicht mehr missen, eines der besten Hardwareergänzungen der letzen Jahre.

    • Die Sache mit dem Jailbreak… die einen sagen so, die anderen so.

      Vor einer Weile kam die Nachricht, daß eine Firma ein Programm für Behörden entwickelt habe, in jedes(?) gejailbreakte iPhone reinzukommen, ungeachtet nachträglicher Sicherheitsmaßnahmen.
      In verschiedenen Foren oder Newskommentaren (iFun, …) kommt auf der anderen Seite immer wieder der Kommentar, daß man mit irgendwelchen Dingen auf Cydia das iPhone sicherer machen kann als vorher… mich würde wirklich interessieren, was nun stimmt. :/

  2. So wie ich das verstanden habe, ist das bei Dropbox einfach nur ungeschickt verwendet worden! Und bei einer Banking App ist das Sicherheitsbedürfnis zugegebenermaßen höher. Das Beispiel zeigt ja, dass man trotzdem Touch ID nutzen kann – wenn man es eben geschickt einsetzt.

    Für alle Fälle, wo ich sowieso das Passwort in der Keychain habe ergibt sich m.E. durch Touch ID kein größerer Nachteil. Es geht doch in erster Linie darum, dass die Nutzer überhaupt einen Schutz (Passcode oder eben Touch ID) benutzen, damit im Falle eines Verlust des Geräts nicht der Dieb oder Finder auf alle Daten und Accounts zugreifen kann.

    Und wer mich zwingt, den Finger auf den Touch ID Sensor zu legen, der würde auch Wege finden mich zu zwingen, den Code einzutippen … bin ja kein 007 ;)