Touch-ID & mobile payment [OT aus Apple Watch]

Zitat von enthusi

Oder es geht doch einfach wieder so wie schon immer bei solchen Sensoren:

Nein, es geht nicht "einfach". Das ist genau das Prinzip, welches ich beschrieben habe. Diese "Gummi-Attrappe" wurde hergestellt, wie von mir dargestellt. Und weil das eben gar nicht so unaufwändig ist, wird die identische Attrappe bei jedem "Test" immer wieder verwendet, ob nun beim iPhone 5S, beim Galaxy S5 (wo man wahrscheinlich mit weniger Technik auskäme, da der dort verbaute Scanner eine geringere Auflösung hat) und jetzt auch beim iP6. Diese Tests zeigen nicht, wie einfach es ist, sondern wie schwer es ist – man muss nur erst hinter die Kulissen gucken.

Zitat von enthusi

Der Fehler liegt aber darin so zu tun, als sei das besonders sicher was ja offenbar auch geglaubt wird.

Es ist nicht besonders sicher, sondern relativ sicher. Aber vor allem ist es für den Nutzer unnervig – weswegen es genutzt wird. Seit Einführung von "Touch-ID" hat sich der prozentuale Anteil der Nutzer, die überhaupt einen Passcode verwenden, signifikant erhöht. DADURCH kommt hauptsächlich die erhöhte Sicherheit zustanden, nicht darüber, wie sicher die Technik ist. Und ein Fingerabdruck lässt sich immer noch schwieriger nachbilden, als es das Ausspähen eines 4-stelligen Zahlencodes ist den man relativ ungeschützt eingeben muss – und zwar immer und immer wieder.

Zitat von enthusi

Hast DU das mal probiert? Offenbar nicht

Nein, weil (selbst) ich das Equipment dafür nicht habe – und ich bin gar nicht mal so schlecht ausgestattet, was IT-Kram angeht. Der letzte von dir verlinkte Artikel ist von 2005 – da ging das noch mit einer "Digitalkamera". Der CCC musste aber beim Test des iP5S-Touch-ID-Sensors zugeben, dass dieser dafür zu empfindlich ist. Man benötigt, wie von mir erwähnt, einen Full-2400-dpi-Scanner (mein bester hat gerade mal die Hälfte) und einen Full 1200 dpi Drucker (Druckverfahren nicht genannt – und meiner schafft auch das nicht), um einen Fingerbadruck nachzubilden, der mit Touch-ID funktioniert (Kanst du gerne nachlesen, wenn du deinem eigenen Link folgst, den du zuvor gepostet hast).

Das Equipment ist nicht für die Hosentasche zu gebrauchen, das bekommst du nicht einmal in einen Rucksack. Das heißt, du hast die "Fälscherwerkstatt" entweder stationär oder in einem Kleintransporter untergebracht. Dann musst du, wie von mir beschrieben, das Smartphone klauen und hoffen, das dort auch der richtige Fingerabdruck (und zwar sauber) drauf ist. Er darf also nicht durch die Hosentasche abgewischt etc. (insgesamt eher unwahrscheinlich). Oder man muss sich den Fingerabdruck von einem Glas, einem Türgriff oder wer weiß wo "wegholen" (wie auch immer) – da sind wir dann schon im Bereich "James Bond". Alles weitere muss in dem Zeitfenster geschehen, bis der Nutzer den Verlust des Gerätes bemerkt und es online deaktiviert: Das Smartphone zur Fälscherwerkstatt bringen, (den richtigen) Fingerabdruck finden (das wird bei 9 von 10 geklauten Geräten glücklos sein), scannen, nachbearbeiten, drucken, basteln, testen. Dann Geschäft mit Waren suchen (und dorthin fahren), in dem sich der "Kauf" lohnt und dort den Kassierer mit dem Gummi-Abdruck täuschen (Soooo unauffällig ist das auch nun wieder nicht).

Ja, das kann man machen – aber wie wahrscheinlich ist es, dass jemand den Aufwand treibt? Und vor allem – wie einfach ist es dagegen, eine Kreditkarte zu klauen und die (dort abgebildete) Unterschrift grob nachzuempfinden? Und in beiden Fällen wird einem der Schaden ohnehin (fast sicher) durch das Kartenunternehmen ersetzt. Denn die Banken wissen, wie unsicher ihre Karten sind – sie zahlen lieber jeden Schaden aus eigener Tasche, als dass sie sich was besseres einfallen lassen. Was besseres scheint Touch-ID zu sein (wenn auch nicht perfekt) – immerhin sind Visa, Mastercard und Co. bereit, Apple etwas von ihren Umsätzen abzugeben.

Kommentar: Besser mit Touch (Heise Security)

Wie gesagt, natürlich kann man Fingerabdruckscanner austricksen – das war schon immer bekannt. Das ist nicht die Frage – die Frage ist, ob es schwerer ist, als jemandem über die Schulter zu gucken oder sogar ein komplett ungeschütztes Gerät zu übernehmen – und die muss man mit Ja beantworten. Touch-ID ist sicherer als gar kein Schutz, ist sicherer als ein simpler Passcode und ist sicherer als eine Kredit- oder EC-Karte.

Das nur zu der Technik. Ich persönlich bin skeptisch, was "mobiles Bezahlen" angeht. Ich weiß nicht, ob ich das nutzen möchte – Bargeld ist mir bei kleinen Beträgen immer noch am sympathischten – wenn auch total unsicher: Wenn weg, dann weg. Ich bin da halt ein Gewohnheitstier.

Zitat von Nobody

Sehr wahrscheinlich, das garantiere ich dir.

Ich meine, im Verhältnis zu Kreditkartendiebstahl! Wir sprechen hier doch nicht von normalem Handydiebstahl, um die Dinger zu verticken. Den gibt es und den wird es immer geben. Da wird ja auch was gegen getan – man kann das eigene iPhone orten (und damit die Polizei zu Täter und Lager/Werkstatt führen), man kann es sperren und man kann es komplett löschen. Ein iPhone kann dann nicht mehr ohne Apple-ID (nicht auf dem Gerät existent) reaktiviert werden – der Dieb kann es nicht neu aufsetzen und zum Zahlen kann er es dann ohnehin nicht mehr verwenden.

Will man das Gerät also missbräuchlich verwenden, bleibt nur das Zeitfenster bis der Besitzer den Verlust bemerkt und zuhause (oder anderswo) das Gerät ortet oder deaktiviert. Gut, man kann das gebrickte Gerät evtl. noch in den Osten verticken – da gibt es wahrscheinlich irgendwelche Möglichkeiten (ausschließen will ich da nichts). Aber darum geht es ja hier nicht. Und wir wissen ja (seit langem), dass man den Fingerabdruck mit einigem Aufwand kopieren kann – trotzdem: vierstelligen Passcode ausspähen oder Kreditkarte klauen geht einfacher – warum also die Mühe machen, wenn es so einfach ist, an die Daten von jemandem herauszukommen? Klar, es wird ein paar Dutzend Fälle geben (die natürlich medial hochgekocht werden) in denen wirklich jemand seines iPhone beraubt wird, der Fingerabdruck rekonstruiert werden konnte und dann auch noch damit eingekauft wurde – das werden aber Peanuts sein gegenüber dem jährlichen Schaden, der durch geklaute Kredit- und EC-Karten entsteht. Und selbst wenn es einem selbst passiert: Der härteste Schaden dürfte der Verlust der Hardware sein, denn die ist meistens nicht versichert. Unerlaubte Abbuchungen werden üblicherweise kulant erstattet und die Daten des Geräts lassen sich über das (offline oder online) Vollbackup 1:1 auf ein neues Gerät überspielen.

Von daher weiß ich nicht, was du sagen willst. Handys wurden schon immer geklaut, Daten wurden schon immer abgegriffen und missbraucht. iOS und Touch-ID machen aber beides etwas schwieriger und damit unattraktiver.

Zitat von Nobody

Ich kannte 2002/2003 mal wen, der ist auf ne irgend ne grosse Raveparty in den Osten gefahren - und kam mit mindestens 50 Handys zurück. Da fanden grad die ersten Farbhandys verbreitung...keine Ahnung ob der ne Garderobe leergeräumt hat...aber soo schwer da ranzukommen kanns nicht gewesen sein.

Heutzutage tragen die meisten ihr Phone am Körper – es ist ihnen viel zu wichtig, um es an der Garderobe abzugeben. Du müsstest heutzutage für diesen Raubzug 50 einzelne Menschen bedrohen oder vergiften oder sonstwas. Und der Dieb hätte seine Beute noch nicht zuhause ausgepackt, da wären schon 50% der Geräte unwiderruflich unbrauchbar gemacht worden oder man hätte ihn geortet und gepackt. Das ist heute eben nicht mehr so einfach. Da muss man schon eine professionelle Organisation dahinter haben – so laienhafte Einzelkinder wie dein Kumpel wären heutzutage gnadenlos aufgeflogen.

Wenn ich jemandem sein Handy klauen kann, dann kann ich ihm auch seine EC-Karte klauen. Das ist doch viel einfacher, wenn ich nur Geld "abheben" oder damit was kaufen will. Wie man es auch dreht und wendet – solche Techniken erschweren den Missbrauch und erleichtern ihn nicht. Und darauf kommt es an. 100% sicher ist nichts (bzw. nur der Tod) – das weiß aber auch eigentlich jeder.

Nachtrag: Ich ärgere mich ein wenig (auch über mich selbst), weil ich hier als Touch-ID-Befürworter auftreten muss. Ich halte nämlich gar nicht so viel von der Nutzung biometrischer Daten – selbst meine Gesundheitskarte hat kein Passbild. Aber wenn hier so getan wird, als könne man solche Systeme so MacGyver-mäßig on-the-fly mit einem alten Kaugummi und einer Büroklammer aushebeln, dann muss der gesunde Menschenverstand einfach mal gegenhalten. Soooo einfach ist das nicht, unmöglich natürlich auch nicht. Aber immer noch besser als das, was man bislang so macht. Die üblichen Passcodes sind ein Witz, aus Faulheit gar kein Schutz (angeblich bei 50% der Smartphone-User der Fall) noch viel schlimmer und Kreditkarten sind unsicher wie nur was (alle sicherheitsrelevanten Daten sind komplett ungeschützt und einfach abzulesen (abzufotografieren)).

Was heißt fälschen... demnächst tauchen bei Notärzten vermehrt "ehemalige" Handyeigentümer mit fehlenden Fingern auf...

Zitat von MaTel

demnächst tauchen bei Notärzten vermehrt "ehemalige" Handyeigentümer mit fehlenden Fingern auf...

Wie lange gibt es schon Iris-Scanner? Und wie viele geklaute Augen und Köpfe gehen auf das Konto von Leuten, die Iris-Scanner überlisten wollten? Ok, war ja nur ein Scherz – aber nicht jeder versteht das.

Ein Finger ist schnell geklaut, eine Geflügelschere reicht aus.

Zitat von DrZarkov

Ein Finger ist schnell geklaut, eine Geflügelschere reicht aus.

Ich freue mich schon auf die "Nachrichten" in der Regenbogenpresse, wenn sowas passiert (stöhn). Das wird dann wieder 2 Wochen lang breitgetreten und nicht in Relation zu anderen "Schäden" gesetzt (wie oft werden Menschen erstochen oder erschossen – für nur 5$ Diebesgut?)

Zitat von Retrofan

Ich freue mich schon auf die "Nachrichten" in der Regenbogenpresse, wenn sowas passiert (stöhn). Das wird dann wieder 2 Wochen lang breitgetreten und nicht in Relation zu anderen "Schäden" gesetzt (wie oft werden Menschen erstochen oder erschossen – für nur 5$ Diebesgut?)

Auch wenn es nicht oft passiert: Wenn es Dir *nur einmal* passiert und Du für 5$ oder erschossen wirst, ärgerst Du Dich trotzdem *blondmoment*
Im Ernst: Ich will kein Auto/Geräte/Zahlungsmittel etc. mit ausschliesslichem Fingerabdruck z.B. beim Auto für Türschloss und Motorstart.
Den Schlüssel können Sie bekommen, wenn sie mir mit der Knarre vor der Nase wedeln....wenn das nur mit dem Finger geht, haben die Raubkopiermörder auch keine Skrupel, mir schneller mal einen Finger abzuschneiden.

Nimms nicht so tragisch... bis zu 10x kann man dir das Handy ( und etwas mehr ) klauen.

Zitat von syshack

Auch wenn es nicht oft passiert: Wenn es Dir *nur einmal* passiert und Du für 5$ oder erschossen wirst, ärgerst Du Dich trotzdem

Nö, ich glaube nicht, dass ich mich dann noch ärgere.

Zitat von syshack

mir schneller mal einen Finger abzuschneiden.

Wie gesagt, Biometriescanner (auch Fingerscanner) gibt es schon länger als das iPhone und selbst nach dem massenhaften Verkauf des iPhone 5S sind (zumindest habe ich davon nichts mitbekommen) die "Entfingerungs"-Zahlen nicht in die Höhe geschnellt (obwohl es vor einem Jahr auch schon diese Angst gab).

Und ich meine gelesen zu haben, dass abgeschnittene Finger nicht wirklich funktionieren – da muss irgendwie Durchblutung stattfinden o.ä., damit der Sensor das als Finger erkennt. Evtl. muss man da also erst die Haut abziehen und über den eigenen Finger stülpen. Und wie gesagt, das ganze, statt einfach jemandem die Kreditkarte wegzunehmen? Warum einfach, wenn es auch kompliziert geht.

Beim iPhone 5s war das ja auch nicht interessant, da man den Fingerabdruckscanner zu nichts nutzen konnte. Aber wenn der allgemein benutzt wird, um damit zu bezahlen, dann lohnt es sich auch den passenden Finger zum Smartphone zu klauen.

Zitat von DrZarkov

Beim iPhone 5s war das ja auch nicht interessant, da man den Fingerabdruckscanner zu nichts nutzen konnte.

Naja, man könnte sich damit ins Gerät einloggen und das tun, was der Besitzer tun kann. Evtl. wertvolle Informationen ausspähen , ungeschützt abgelegte Passwörter und andere wichtige Dokumente kopieren (man denke an Firmenhandys und Industriespionage), nach kompromittierenden Fotos suchen, Kontaktdaten abgreifen, eMails und IMs lesen, ... Der Schutz der Smartphones wird ja immer weiter erhöht (Hardware-Verschlüsselung...) – irgendwas wird auf einigen Geräten schon drauf sein, was die Mühe lohnt. (Einerseits wird sich aufgeregt, dass Fingerabdrucksensoren etc. nicht "sicher" seien und die NSA ohnehin überall drankommt, wenn sie es will – andererseits wird abgestritten, dass auf den Geräten überhaupt etwas interessantes zu finden wäre, wenn man Zugriff erlangen würde?)

Beim Galaxy S5 kann man seit dem Sommer per Fingerabdruck auch PayPal-Zahlungen in Geschäften authentifizieren. Hat das die Fingerabschnitt-Quote signifikant erhöht? Ich glaube nicht. Warten wir mal ab, ob man in zehn Jahren (Ex-)iPhone/Galaxy Nutzer an der Anzahl ihrer Finger erkennen wird.

Mir macht es Angst, wenn solche Biometrische Sensoren auf breiter Basis Verbreitung finden. Es wird in der heutigen Brainwash Gesellschaft viel zu schnell akzeptiert ohne sich über Konsequenzen bewusst zu sein. Wenn jedes Handy einen Fingersensor hat, wird sich das garantiert auf andere Geräte ausbreiten, weil Synergyeffekte dann zu noch mehr und noch schnellerer Verbreitung führen werden. Und wenn solche "Ressourcen" mal etabliert sind, ist es absehbar, dass Regierungen und Ganoven diese anzapfen und verwenden werden.

Ähnliches Beispiel: Ist auch schön zu beobachten bei der Black Box von Autos: Anfangs von Versicherungen mit Prämienverbilligungen bei Junglenker schmackhaft gemacht, werden Regierungen irgendwann einmal, wenn diese breit gestreut sind, diese bei neuen Autos per Gesetz zwangseinführen. In der EU sind die Notfall/Unfall Black Box eCall in den Autos schon Pflicht und die Regierungen interessiert der Notruf einen Feuchten. Es geht um flächendeckene Bewegungsprofile. Vielleicht noch nicht heute, aber mit Version 2.0 oder 3.0.

Und Firmen wie z.B. Apple, Samsung und Google werden diese schöne neue Welt einführen bzw. sind schon daran.

Zitat von syshack

Mir macht es Angst, wenn solche Biometrische Sensoren auf breiter Basis Verbreitung finden.

Ich kann das nachvollziehen. Aber wie du mit deinem Blackbox-Beispiel schon selbst ausführst – es sind nicht nur Biometriesensoren (die vielleicht sogar am wenigsten), die einen ausspähbar machen. Bewegungsprofile werden heutzutage über Smartphones angelegt. Jeder Nutzer von Google Maps (und auch Apple Maps oder Nokia Here ...) gibt seinen Standort preis und bei Androiden wird mit der vorinstallierten App ohnehin fleißig mitgeschnitten, wo man sich befindet – dank eines Google-Projekts sogar schon innerhalb öffentlich zugänglicher Gebäude (wo das früher schwieriger war. Also z.B. weiß Google, in welchem Gang eines Supermarktes man sich aufhält).

Demnächst wird uns weiter die Verfügungshoheit über unsere Bewegungsdaten genommen (bislang konnte man sich ja wenigstens durch Nichtverwendung eines Handys schützen). Andere Bürger kümmern sich dann darum, uns per Kamera zu orten und unser Verhalten festzuhalten. Das Projekt nennt sich Google Glass und ist in der ersten Version noch nicht in der Lage, durchgängig zu filmen und das Material zu teilen (Akku, Datenaufkommen) – aber das sind kleinere Probleme, die sich lösen lassen. Die erste Version dient sowieso nur dazu, die Akzeptanz von Kameras zu erhöhen, die permanent auf das Gegenüber gerichtet sind und einem nicht per LED anzeigen, ob gefilmt wird oder nicht. Passend dazu haben Google und Facebook Gesichtserkennungen entwickelt, die wirklich gut funktionieren – auch in Menschenmengen. Fügt man beides zusammen (permanente Filmerei von allen Seiten plus Personen-Identifikation), hat man ein "gutes" Werkzeug für die Komplettüberwachung auch derer, die diese Technologien gar nicht nutzen (wollen).

Was Touch-ID angeht – zur Überwachung taugt das erst einmal nicht besonders. Auf dem Gerät wird in einem speziellen Bereich auf dem SOC eine Art Hashwert aus dem Fingerabdruck und der Gerätehardware abgelegt, der einen zwar eindeutig identifiziert, aus dem sich aber der Fingerabdruck nicht rekonstruieren lässt. Gegenüber Apps oder auch Apple Pay tritt selbst der Hashwert nicht in Erscheinung, denn dieser schaltet im Prinzip nur den (zusätzlich eingegebenen) Passcode aktiv. Der Fingerabdruck selbst wird also nicht gespeichert (und übertragen schon mal gar nicht) und das, was gespeichert wird, liegt verschlüsselt in einem speziellen Bereich der Hardware. Das ist also keine ausschließliche Softwarefunktion, sondern (auch) Hardware-Engineering.

Trotzdem bleibe auch ich skeptisch und habe schon überlegt, ob ich die Funktion, sollte ich mir ein entsprechendes Gerät von Samsung oder Apple zulegen, denn überhaupt einschalten soll (ist ja nicht Pflicht) und welchen Körperteil ich gegebenenfalls zur Authentifizierung nutzen würde (es muss ja nicht der Daumen sein, Nasenspitze geht auch, sieht nur beim Aktivieren dämlich aus, Knöchel eines Fingers wäre aber evtl. eine Option).

Zitat von Nobody

Retro, zum Verhältnis bezogen auf KK hast du vielleicht Recht

Danke. Bezahlung per iPhone 6 oder Galaxy S5 ersetzt vor allem das Bezahlen per Kreditkarte und wird ja auch über die Kreditkartenfirmen (bei Samsung über PayPal/eBáy) abgewickelt. Bargeldlos wird das Bezahlen (bei uns) im Laden so schnell nicht werden. Vorteil bei Apple Pay gegenüber klassischer Kreditkartennutzung ist aber: Gegenüber dem Verkäufer bleibt man anonym und es werden keine Kreditkartendaten offengelegt oder übertragen (sie sind nicht einmal auf dem Gerät, übertragen werden nur Transaktions-Tokens). Gegenüber anderen Lösungen gibt es noch den Vorteil, dass der Dienste-Anbieter (in diesem Falle Apple. Laut eigener Auskunft) keinerlei Informationen über den Kauf erhält, die Transaktion wird direkt über die Kreditkartenfirma abgewickelt.

Zitat von syshack

Und Firmen wie z.B. Apple, Samsung und Google werden diese schöne neue Welt einführen bzw. sind schon daran.

Da hast du recht. Und wenn Microsoft im mobilen Bereich nicht so weit abgeschlagen wäre, dann würden sie an vorderster Front mitmachen. Jetzt ziehen sie immer nur nach, sei es bei Suchmaschinen-Bindung (bei preiswerten Geräten = Windows + Bing) oder App-Store-Pflicht (allerdings dann auch gleich für Desktop-Systeme). Man muss einfach aufpassen, in welche Richtung die Entwicklung geht und für sich selbst abwägen, wie weit man mitgehen will. Es ist ja so, dass einem die Firmen den nächsten Schritt immer schmackhaft machen wollen. Google z.B. zwingt ja niemanden, deren Dienste zu nutzen – nur dringen sie halt immer tiefer in private Bereiche vor und es ist (für viele) so verdammt angenehm, die Services "kostenlos" zu verwenden, sei es nun die gute alte "Suche" oder YouTube oder Maps oder Earth oder GMail oder G+ oder Now oder Drive oder Online-Office-Apps oder .... Da sagen sich halt viele: "Scheiß auf meine Daten, so wichtig bin ich nicht, alles so schön bunt hier!".

Eine kleine Hoffnung habe ich, dass Apple da in Zukunft etwas gegensteuert. Wenn man Cooks aktuelle Äußerungen nimmt, kann man heraushören, dass Apple erkannt hat, das ihr Geschäftsmodell (vorwiegend Hardwareverkauf) ein großer USP sein kann. Sie verdienen kein bis kaum Geld mit Daten (im Gegensatz zu Google, die etwa 90% ihres Umsatzes mit Daten (bzw. darauf basierender Werbung) machen), sind aber gezwungen, auf den Servern vorhanden Daten an US-Behörden (vor allem NSA) auszuliefern. Das macht vor allem Arbeit, bringt aber nichts ein – also könnte der Trick sein, möglichst wenig Daten überhaupt zu sammeln. Das wiederum kann man marketingmäßig super ausschlachten und damit neue Kunden gewinnen. Auch MS könnte diesen Weg gehen. Sie haben zwar auch (wie Google) eine Suchmaschine, die sehr viel über die Nutzer herausfinden kann und wahrscheinlich auch Google-Analytics-Konkurrenz (für User-Tracking) auf ihren Server-Systemen aber andere Werkzeuge des Konkurrenten fehlen ihnen. Sollten aber Apple und MS doch Googles Weg folgen, so bleibt mir dankenswerter Weise immer noch Linux als (etwas sperriger) Ausweg. Sollte sich Google Glass flächendeckend verbreiten, müsste ich allerdings auch zuhause bleiben – das fände ich suboptimal.

Ich werde die Entwicklung auf jeden Fall mit Interesse verfolgen und mit sehr viel Bedacht "attraktive" Angebote annehmen und neue Funktionen nutzen. Man muss vorsichtig werden oder bleiben – das ist wichtig!