Der Fingerabdrucksensor im iPhone 5s war DIE große Neuerung, welche es von seinem Vorgänger, dem iPhone 5, abgrenzt. Damit kann der Nutzer anhand seines Fingerabdrucks Käufe im App Store, iTunes Store und iBookStore tätigen sowie das Gerät, ohne extra den Code eingeben zu müssen, entsperren. Dies rief natürlich auch schnell Betrüger auf den Plan, die anhand von Finger-Attrappen Touch ID überlisten wollten. Unter anderem ist dies SRLabs und dem Chaos Computer Club gelungen. Beim neuen Samsung Galaxy S5 scheint dies sogar noch einfacher zu sein, auch hier wurde die Technologie bereits geknackt.
Auf heise fanden wir ein aktuelles Video von SRLabs, in dem der Fingerabdrucksensor des Samsung Galaxy S5 spielend leicht hinters Licht geführt wird. Nach dem Hack war es sogar möglich, via PayPal eine Überweisung zu tätigen. Der Grund für diese eklatante Sicherheitslücke liegt daran, dass das Galaxy S5 beliebig viele Entsperrversuche per Finger zulässt, anders als das iPhone 5s, welches nach einer bestimmten Anzahl von Versuchen nur noch den Code akzeptiert. Zwar zeigt das Galaxy S5 nach mehreren Versuchen auch an, dass ein Code erfordert wird, doch kann dies durch Aus- und Einschalten des Bildschirms umgangen werden. Beim iPhone 5s wird selbst nach einem Neustart noch der Passcode erfordert, wenn vorher die Anzahl an Versuchen für den Fingerabdrucksensor aufgebraucht wurde.
heise schreibt dazu:
Der Fingerabdruck ist bei Apples Touch ID nur eine Methode, dem Anwender das regelmäßige Eingeben des eigentlichen Security-Tokens – also seines langen Passcodes – möglichst zu ersparen; der Code bleibt jedoch das zentrale Security-Token, das benötigt wird, um die Daten zu entschlüsseln. Bei Samsung ersetzt der Fingerabdruck den Passcode offenbar komplett. Es ist zwar immer noch erforderlich, einen Code festzulegen; aber der dient anscheinend nur noch als Backup etwa für den Fall, dass der Sensor streikt.
Noch viel schlimmer bei der Samsung-Sicherheitslücke ist, dass während man bei Apple’s Touch ID lediglich Zugriff auf den Homescreen bekommt, hier das finanzielle Risiko noch mitschwingt. Beim Galaxy S5 ist es nämlich auch möglich PayPal-Überweisungen per Fingerabdruck zu autorisieren. Abgesehen davon ist die Bedienung von Touch ID beim iPhone 5s mit Auflegen des Fingers erledigt, beim Galaxy S5 muss man den Finger (mehrfach) über den Sensor streichen.
