Biometrie und Sicherheit

Anders als bei biometrischen Authentifikationsverfahren sind die Schwächen von Passwörtern und Schlüsseln allgemein bekannt; der Nutzer kann sich auf die damit verbundenen Risiken einstellen. Nachdem die Schutzfähigkeit biometrischer Authentifikationsverfahren durch Labortests in Zweifel gezogen wurde, erhebt sich die Frage, welche Sicherheit damit ausgestattete Anwendungen in der Praxis bieten können. Dazu reicht es nicht, losgelöst einzelne Schritte eines möglichen Angriffs zu betrachten. Um ein ausgewogenes Bild zu erhalten, stellte ein Spurensicherungsteam der Kriminalpolizei seine Erfahrung für den Fall der Fingerprint-Biometrie zur Verfügung. Unter anderem wurden zwei PC-Arbeitsplätze nach brauchbaren Fingerabdruckspuren untersucht. Das Ergebnis: Bei korrekter Betrachtungsweise ergeben sich zwischen Labor und Praxis erhebliche Unterschiede zu Gunsten der Biometrie, insbesondere, wenn man von realistischen Voraussetzungen ausgeht.

Als die c't und andere Publikationen [1 - 4] zeigten, wie "einfach" sich marktgängige biometrische Systeme im Labor durch Kopien täuschen lassen, hatte das ein enormes Echo in Presse, Rundfunk und Fernsehen zur Folge. Die gleichen Medien, die bisher die biometrische Identifikation als die neue Dimension der ultimativen Sicherheitstechnik gepriesen hatten, stellten diese jetzt als gefährliches Sicherheitsrisiko hin: Von unzulässigen Verkürzungen über Schwarz-Weiß-Malerei bis hin zu gewagten Verallgemeinerungen war alles zu finden. Nur sehr wenige Presse-Reaktionen waren von Sachkenntnis geprägt: Grund genug für den Autor, dieses Thema etwas genauer zu beleuchten.

Merkmalskopien

Biometrische Merkmale unterscheiden sich vom Passwort auch dadurch, dass sie sich in der Regel weit schwieriger geheimhalten lassen. Dazu kommt, dass im Fall einer Kompromittierung das biometrische Merkmal nicht so einfach wie ein Schloss oder ein Passwort austauschbar ist. Man muss deshalb beim Einsatz in Sicherungssystemen je nach Anwendung und Sicherungsbedarf darauf achten, dass das Risiko eines Missbrauchs von Merkmalskopien beherrschbar bleibt. Spätestens hier stellt sich die Frage, wieviel "Sicherheit" ein biometrisches Verfahren bieten muss, wie man diese erreicht und wie man sie nachweist.

Sicherheit und Authentifikation

Beim Beispiel des durch eine Mauer geschützten Schatzes ist schließlich noch zu berücksichtigen, dass sich (anders als bei den Pharaonengräbern) der rechtmäßige Besitzer gelegentlich von außen Zugang zu seinem Schatz verschaffen möchte. Es ist die Mauer also an einer Stelle durch eine Öffnung zu ersetzen, die selektiv nur Berechtigte passieren lässt. Hier können biometrische Verfahren die erforderliche Authentifikation gewähren. Klar, dass die biometrische Authentifikation nicht zur schwächsten Stelle des gesamten Systems werden darf! Andererseits wird die Sicherheit durch die Authentifikation auch kaum größer. Ist sie in diesem Beispiel nämlich schwerer zu überwinden als die Mauer, wird der Angreifer die Mauer wählen.

Ein Authentifikationsverfahren allein (egal ob biometrisch oder nicht) kann nicht durch die Eigenschaften "sicher" oder "unsicher" beschrieben werden. Sicherheit ist immer eine Eigenschaft des Gesamtszenarios.
 

Anwendung und Sicherheit

Welchen großen Einfluss die Anwendung auf das Zusammenwirken von Authentifikation und Sicherheit hat, veranschaulicht folgendes Beispiel: Es ist relativ "einfach", sich vom eigenen Finger einen Ersatzfinger in Form eines Stempels anfertigen zu lassen. Dazu erzeugt man von seinem Fingerabdruck eine hochwertige Bilddatei und bereitet diese z. B. per ULEAD PhotoImpact so auf, dass sich klare Linienstrukturen ohne Störungen ergeben. Diese Bilddatei übergibt man einem Stempelhersteller, der daraus für ca. 7 EUR innerhalb weniger Tage einen Fingerabdruckstempel herstellt.    Für 7 EUR kann man sich von seinem Fingerabdruck einen Stempel anfertigen lassen Jemand wird nun wenig interessiert sein, diesen Stempel herumliegen zu lassen, wenn er sein Eigentum mit einem Fingerabdrucksystem sichert, das diesen Stempel als "echt" erkennt. Etwas weniger Probleme hat er vielleicht, wenn sein Fingerabdruck nicht eigenes Gut, sondern z. B. das seines Arbeitgebers schützt. Aber insgesamt wird er versuchen, diesen Stempel nicht in Umlauf zu bringen. Anders sieht es bei einer Zeiterfassung aus. Hier könnte man versucht sein, seine Anwesenheit durch Weitergabe des "Ersatzfingers" an einen Kollegen vorzutäuschen.

Als Authentifikationseinrichtung muss ein biometrisches System gegen herkömmliche Systeme wie Schlüssel- und Passwortsysteme antreten. Die Schwächen dieser Systeme sind zur Genüge bekannt, aber ebenso wie für biometrische Verfahren kaum quantifizierbar. Was einen direkten Vergleich mit der Biometrie erschwert, sind einmal die starken prinzipiellen Unterschiede, vor allem aber die Unterschiedlichkeit des Menschen selbst. Denn gerade beim Schlüssel und beim Passwort kann der Mensch die größte Schwachstelle sein (muss es aber nicht!). Fast immer lässt sich beobachten, dass der Mensch gerne Bequemlichkeit gegen Schutz eintauscht und leichtsinnig wird: Passwörter werden an die Pinnwand gehängt, weil die damit verbundenen Umstände extrem lästig und der mögliche Schaden nicht bewusst ist. Den Schlüssel findet man unter der Fußmatte oder in ähnlich schnell durchschaubaren Verstecken. Biometrische Verfahren sind dagegen weit weniger von der persönlichen Einstellung des Nutzers abhängig. Im Gegenteil: Im Fall eines Sicherheitsproblems nimmt die biometrische Authentifikation fast die gesamte "Schuld" auf sich.

Schutzmaßnahmen

Eine weitere Möglichkeit, die Ausgewogenheit zu bestimmen, bestünde darin, die Angriffe in einem wirklichen System retrospektiv zu erfassen unter Berücksichtigung des entstehenden Schadens. Ein Angreifer wird nämlich unter bestimmten Bedingungen immer den Erfolg versprechendsten Weg wählen, und das ist in der Regel der Weg des geringsten Widerstands. Erfolgen Einbrüche häufiger über die Authentifikationseinrichtung, ist diese im Vergleich zum übrigen Sicherungssystems zu schwach und muss verbessert werden. Beide Methoden eignen sich auch, um unterschiedliche Authentifikationsverfahren zu vergleichen.

Schwieriger ist dagegen die absolute Bestimmung der Schutzfähigkeit. Dazu wäre die Wahrscheinlichkeit des Eintretens eines Schadens mit und ohne Schutz zu ermitteln. Das geht eigentlich nur durch Ausprobieren und Warten, bis genügend Einbrüche unter möglichst identischen Bedingungen registriert sind. Man ahnt, dass es sich hier um eine wenig praktikable Methode handelt.

Schließlich gibt es noch den Weg, eine ausreichende Schutzfähigkeit heuristisch an Hand von Kriterien zu beurteilen. Sicherheitskriterien wurden von verschiedenen nationalen und internationalen Gremien erarbeitet. Detaillierte Hinweise findet man auf der Homepage des Bundesamtes für Sicherheit (http://www.bsi.de) unter Zertifizierung.

PC-Arbeitsplatz

Angriffe auf den PC-Arbeitsplatz

1. Suche nach Latenzfingerabdrücken
2. Anfertigung einer Kopie aller aufgefundenen Fingerabdrücke
3. Durchführung der Authentifikationsversuche

• Die Wahrscheinlichkeit, dass sich jemand zu einem Angriff entschließt,
• die Wahrscheinlichkeit, dass jemand bis zum Arbeitsplatz vordringt sowie
• die Wahrscheinlichkeiten, dass der Angreifer bei der Suche nach einem qualitativ brauchbaren Latenzfingerabdruck erfolgreich ist,
• dass er ihn geeignet kopieren kann, und
• dass die Authentifikation gelingt. Hier spielen der richtige Finger, die Fingerposition, die Zahl der erlaubten Versuche, eine mögliche Kopienerkennung, das sensorspezifisch richtige Material der Kopie usw. eine Rolle.

Sollten übrigens Netzangriffe das wesentliche Risiko darstellen, hätte bereits ein kostengünstiges biometrisches System erhebliche Vorteile, da die Biometrie zur Freischaltung eines besonders schwer angreifbaren (und deshalb oft auch schwer merkbaren) Netzpassworts dienen kann. Denn wenigstens Brute-Force-Netzangriffe machen erheblich mehr Aufwand, wenn Passwörter lang und kompliziert sind. Angriffe über Kopien biometrischer Merkmale machen in diesem Szenario weniger Sinn, da sich diese nur über den Arbeitsplatz ausführen lassen.

Spurensuche

Ergebnis der Spurensuche

• 2 Klarsichthüllen (orange und gelb)
• Schreibtisch
• Rollwagenschublade
• Katalog mit glänzender Vorderseite und Papp-Rückseite
• PET-Flasche
• Papierdokument
• Telefon
• Microsoft-Maus
• Siemens ID Mouse
• Plastikbecher
• PE-Fotokarte im Scheckkartenformat

Die orange Klarsichtfolie lieferte die meisten Fingerabdrücke. 

Die Abnahmebereiche lieferten wiederum 20 Einzelabdrücke in unterschiedlicher Spurenqualität. Am ergiebigsten waren erwartungsgemäß glatte Flächen. Auf Papier fand sich 1 Abdruck. Die restlichen 3 Abdrücke stammen vom Schreibtisch, jedoch hatte die strukturierte Oberfläche zur Folge, dass die Fingerlinien nicht mehr erkennbar sind (siehe Bild).
 

Die auf dem Schreibtisch gefundenen Fingerabdrücke waren auf Grund der geriffelten Oberflächenstruktur unbrauchbar 

Schwierig gestaltete sich die Suche an den Schubladengriffen, der Flasche, dem Telefonhörer, den Mäusen, dem Plastikbecher, der Fotokarte und der Rückseite des Katalogs. Grund dafür war zu häufiges Berühren des Gegenstands, Verwischungen oder einfach ein zu hohes Alter der Abdrücke (mit speziellen Labormethoden und etwas Glück lassen sich allerdings auch 30 Jahre alte Abdrücke noch sichtbar machen).

Ein echter Angreifer würde jetzt mit den gefundenen Fingerabdrücken einen ersten Authentifikationsversuch durchführen, indem er z. B. mit der c't-Methode das Klebeband mit den Fingerabdruckspuren auf den Fingerprint-Sensor bringt. Da dieser Teil des Überwindungsversuchs bereits in [1] durchgeführt wurde (leider ohne quantitative Aussagen zu liefern; allerdings gibt es hierzu erste Ergebnisse, wenn auch mit eingeschränkter statistischer Signifikanz, siehe [6]) und uns eigentlich nur die Frage interessiert hat, wie gut man Fingerabdrücke ohne Kooperation des Opfers gewinnen kann, haben wir den Weg abgekürzt und die abgenommenen Abdrücke eingescannt. Aus den eingescannten Bildern wurden die vorhandenen Abdrücke elektronisch ausgeschnitten und dem Fingerabdruckerkennungssystem ohne Umweg über den Sensor direkt zugeführt (Klar, dass dieser Weg nur im Labor einfach ist!). Der Vergleich erfolgte gegen alle 10 Finger des Arbeitsplatzinhabers. Das Ergebnis des Vergleichs war unerwartet: Von 20 Abdrücken, die innerhalb von 35 Minuten gefunden wurden, konnten nur zwei Abdrücke elektronisch identifiziert werden. Für den ersten reichte allerdings die Ähnlichkeit nicht zum Überspringen der Sicherungsstufe Hoch aus. Der zweite lieferte zwar eine gute Bildqualität, jedoch lag ein großer Teil des Abdrucks außerhalb des enrollten Bereichs (siehe Bild).
 

Diese Abdrücke waren die einzigen von 20 gefundenen, die elektronisch identifiziert wurden

Die übrigen 18 Fingerabdrücke (siehe Bild) konnten nicht elektronisch identifiziert werden.
 

Diese 18 von 20 Fingerabdrücken ließen sich nicht elektronisch identifizieren

Entweder waren sie zu klein, zu verwischt, setzten sich aus mehreren überlagerten Abdrücken zusammen oder zeigten einfach nur eine schlechte Qualität. Es gibt also einen deutlichen Unterschied zwischen unbewusst hinterlassenen Abdrücken, die schon viele Tage alt sein können und absichtlich zum Zwecke der Fälschung auf einer CD aufgebrachten (siehe Bild). Letzterer überwindet zwar viele Authentifikationssysteme, welches Risiko er aber darstellt, muss der Leser auf Basis seiner Anwendung selbst entscheiden.
 

Ein mit Tesafilm von einer CD abgenommener Grafitfingerabdruck (c't-Methode)

Der Angriff auf den Arbeitsplatz hatte noch einen Effekt, den sich der Angreifer gut überlegen muss: Anders als beim Diebstahl eines Passworts hinterlässt die Suche nach Fingerabdrücken deutliche Reste schwarzen Pulvers, besonders auf Papier. Das heißt aber, solch ein Angriff lässt sich schlecht verheimlichen und kann deshalb hinterher entsprechende Gegenmaßnahmen auslösen.

Am zweiten Arbeitsplatz wurden folgende Objekte untersucht: Notebook, Schraubenzieherkasten, Kaffeetasse, Wasserflasche, ID Mouse, Tonerschachtel, Tischkalender mit Kunststoffhülle. Es fand sich nur ein einziger daktyloskopisch verwertbarer Abdruck, und zwar an der Kaffeetasse (siehe Bild)!
 

Die auf einer Kaffeetasse von Arbeitsplatz 2 gefundenen Fingerabdruckfragmente waren für eine Weiterverarbeitung ungeeignet

Die Qualität war allerdings für eine elektronische Auswertung unbrauchbar. Bei dieser Gelegenheit zeigte sich ein weiteres Phänomen: Auf keiner der beiden an den Arbeitsplätzen vorhandenen ID-Mäuse ließ sich sensorseitig ein brauchbares Latenzbild nachweisen! Selbst ein ad hoc erzeugter Latenzabdruck eines Daktyloskopen brachte keinen Erfolg (siehe Bild).
 

Wurde der Sensor der Siemens ID Mouse öfters berührt, ist ein Latenzabdruck oft nur noch schwer zu erkennen, siehe rechts. Um vom Sensor dennoch einen brauchbaren Fingerabdruck rekonstruieren zu können, ist vor dem letzten Berühren zumindest eine Reinigung erforderlich. 

Da scheinen Faktoren wie Nutzungshäufigkeit, aber auch Luftfeuchtigkeit, momentane Hautbeschaffenheit usw. eine große Rolle zu spielen! Dieses Phänomen ist auch aus anderen Tests bekannt: Manchmal klappt es auf Anhieb, einen Latenzfinger sichtbar zu machen, manchmal müht man sich mit dem selben Finger eine Stunde lang erfolglos ab, besonders dann, wenn der Sensor vorher nicht geputzt wurde.

Tastaturen (PC, Handy) sind übrigens für den Daktyloskopen nicht so interessant, da sie durch permanente Betätigung in der Regel keine brauchbaren Fingerabdrücke liefern. Außerdem wird eine Tastatur ja anders als ein Sensor mit der Fingerspitze bedient. Informationshalber wurde auch die Rückseite eines Handys überprüft. Hier kamen erwartungsgemäß nur Abdruckfragmente der Handinnenseite zum Vorschein.

Wir haben bei diesem Test so getan, als wäre die Merkmalsspurensuche selbst kein großer Aufwand. In der Realität ist allerdings nicht damit zu rechnen, dass ein Angreifer über das Spezialwissen und die Erfahrung eines Daktyloskopen verfügt. Somit kann man davon ausgehen, dass ein normal begabter Angreifer schon sehr viel Glück mitbringen muss, um die für einen Angriff benötigten Fingerabdrücke überhaupt zu finden. Zusammen mit der Tatsache, dass auch der nächste Schritt, die Herstellung einer Kopie des Fingerabdrucks, zwar wenig Materialkosten verbraucht, dafür aber viel individuelles Training und Geschick erfordert, ist nicht zu befürchten, dass jetzt eine massenhafte Welle von erfolgreichen biometrischen Einbruchsversuchen dieser noch jungen Technik wieder den Garaus machen wird. Etwas Erfolg versprechender sind vielleicht gezielte Angriffe, bei denen man z. B. seinen Arbeitskollegen (in der Regel mehrmals) dazu bringt, aus einem Glas mit geeigneter Oberfläche zu trinken und dieses Glas dann so oft auf Fingerabdrücke untersucht, bis ein brauchbarer dabei ist.

Latenzbild-Detektion

Die in der ID Mouse implementierte Software-Latenzbilddetektion basiert auf der Erfahrung, dass der Anwender es nur selten schafft, den Finger zweimal hintereinander so auf dem Sensor zu platzieren, dass Lage und Winkel genau übereinstimmen. Ein Latenzbild zeigt hingegen genau diese Eigenschaft. Speichert man also die Koordinaten der Fingerlage bei der letzten erfolgreichen Verifikation ab, ist es möglich, Latenzbilder daran zu erkennen, dass ihre Koordinaten zu wenig von den gespeicherten Koordinaten abweichen. Es erfolgt dann keine Verifikation, sondern die Aufforderung, den Finger neu zu positionieren.

Eine weitere wichtige und inzwischen durch eigene Versuche erhärtete Erkenntnis ist die, dass nur dann ein erkennbares Latenzbild am Sensor entstehen kann, wenn der Sensor vorher geputzt wurde. Bereits nach ca. 5-maligem Fingerauflegen ist die Bildqualität auch ohne Latenzbild-Detektion nicht mehr ausreichend, um eine Erkennung herbeizuführen. Das deckt sich mit den obigen Erfahrungen aus dem daktyloskopischen Versuch und ist einer der Gründe dafür, dass die Latenzbilder trotz fehlerhafter Latenzbild-Detektion bisher in der Praxis nur wenig Probleme bereitet haben. In der ID Mouse-Software 5.0 lässt sich die Latenzbild-Detektion übrigens abschalten. Auf diese Weise kann sich dann jeder selbst ein Bild über die hier dargestellten Verbesserungen machen.

Für den Anwender ergeben sich daraus folgende Ratschläge:

• Möglichst nie den Sensor putzen (falls doch nötig, nach dem Reinigen einen nicht abgespeicherten Finger mehrmals hintereinander auflegen).
• Als Berechtigter niemals den Finger auf einen geputzten Sensor legen, wenn gerade keine Verifikation stattfindet (Dazu ist bei der Siemens-ID Mouse die grüne LED zu beachten!). In diesem Fall können nämlich keine Lagekoordinaten abgespeichert werden, und somit hat die Latenzbild-Detektion keine Chance, einen möglichen Latenzfinger abzulehnen.

Replayattacken

• dass Replayattacken auch mit verschlüsselten biometrischen Daten erfolgreich sein können. Es kommt vielmehr darauf an, die Datenquelle zu authentisieren. Um dieses Ziel zu erreichen, ist keine Verschlüsselung der biometrischen Daten erforderlich. Hier helfen Challenge & Response-Verfahren, wie sie zum Beispiel bei der Anmeldung eines Handys an das Mobilfunknetz ablaufen, zusammen mit einer Signatur der biometrischen Daten. Der dafür erforderliche Aufwand kann den Preis eines biometrischen Sensordevices allerdings mehr als verdoppeln.
• dass der Weg vom menschlichen Merkmal zum Sensor nicht verschlüsselbar ist. (Latenzbildangriffe sind in diesem Sinne Replayattacken zwischen Mensch und Sensor.)
• dass PC-Tastaturen bei der Passworteingabe der gleichen Form von Replayattacken ausgesetzt sind. Maßnahmen gegen Passwort-Replayattacken haben sich bisher aber nur z. B. bei Bankautomaten durchsetzen können! (Wobei als Schwachstelle wiederum der Weg zwischen Mensch und Tastatur (entspricht dem biometrischen Sensor) ungeschützt verbleibt, was gelegentlich entsprechende Angriffe mit Dummy-Tastaturen zur Folge hat.)

• Die elektrische Schnittstelle (oft USB) ist in der Regel mit größerem Aufwand abzuhören. Laut [1, Seite 118] ist für einen USB-Angriff außerhalb des PCs ein USB-Analysator (Preisklasse 5000 Euro) und evtl. ein zusätzlicher PC zur Steuerung erforderlich. Fast unmöglich, dass der berechtigte Anwender diesen zusätzlichen Gerätepark nicht bemerkt, besonders, wenn er bei einem Notebook die USB-Leitung voll im Blick hat!
• Während ein korrektes Passwort immer gleich ist, zeigt ein korrektes biometrisches Merkmal bei jeder Erfassung leicht veränderte Daten (Beispiel Gesichtserkennung: die Stellung des Gesichts zu einer Kamera ist nie exakt reproduzierbar). Ist dies nicht der Fall, kann man von einer einfachen Replayattacke auf dem Datenweg ausgehen. Das oben erwähnte algorithmische Verfahren zur Latenzbild-Detektion erschwert also auch Replayattacken!

Perfekte Sicherung

Schutzmaßnahmen sind besonders dann brauchbar, wenn ihr Mechanismus veröffentlichbar ist, wenn man ihre Überwindungsmethoden bereits kennt (!) und wenn sich der Angriffsaufwand gegenüber anderen Maßnahmen trotzdem erhöht, ohne dass die Schutzkosten zu sehr ansteigen.

Zu glauben, dass es für ein Verfahren keine Überwindungsmöglichkeit gibt, hat sich in der Praxis immer wieder als Illusion erwiesen. Das bedeutet aber auch umgekehrt: Wenn zu einer Schutzmaßnahme kein Überwindungsmechanismus bekannt ist, hat man nicht etwa den Stein des Weisen gefunden, sondern sollte dieses Verfahren vorsichtshalber als unwirksam betrachten! Natürlich hat auch "Security by Obscurity" eine gewisse Wirkung. Aber die Erfahrung zeigt, dass viele Verfahren nur solange überhaupt brauchbar sind, wie sie niemand kennt. Das Risiko, darauf zu vertrauen, dass die unbekannte Methode dauerhaft funktionieren wird, ist oft einfach zu hoch! Man denke nur an Angreifer, die für die unbekannte Schutzmaßnahme eine einfache Überwindungsmethode gefunden haben, diese Kenntnis aber zum Zwecke der eigenen Bereicherung geheim halten.

Fälschungserkennung

Grundsätzlich muss man sich bei allen Schutzmaßnahmen damit anfreunden, dass sie zwar die Sicherheit erhöhen, aber stets auch zu Komforteinbußen führen (die man bei höherem Sicherungsbedarf natürlich gerne akzeptiert). Technisch äußert sich das in komplexerer Bedienung, höherem Zeitaufwand und in der Tatsache, dass eine Fälschungserkennung auch schon mal den berechtigten Benutzer fälschlicherweise als Fälscher abweisen kann.

Einsatz von Chipkarten

Unvernünftige Lösungen

Fazit

Anders sieht es im Bereich höherer Sicherungsanforderungen aus. Hier wird man Biometrie zunächst nur in Kombination mit weiteren Maßnahmen einsetzen. Ob es sinnvoll ist, viel Forschungsaufwand in absolut fälschungssichere Biometrie-Systeme zu stecken, mag bezweifelt werden.

Der Autor bedankt sich bei den Herren Fersch und Busch von der Kriminalpolizeidirektion München für die sachkundige Unterstützung!

Weitere Informationen

Literatur