Einkaufen mit falschem Fingerabdruck

rainman · 27. November 2007

Das ARD-Wirtschaftsmagazin Plusminus hat zusammen mit dem Chaos Computer Club ausprobiert, wie sich die Fingerabdruck-Scanner in Edeka-Filialen überlisten lassen, um auf Kosten anderer einzukaufen. In der für den heutigen Dienstag Abend geplanten Sendung (21.50 Uhr) will das Magazin zeigen, wie ein Plusminus-Reporter mit der Kopie des Fingerabdrucks eines registrierten Kollegen problemlos auf dessen Kosten in einer Edeka-Filiale einkauft. Die Kopie soll dabei als Folie auf den Finger geklebt sein. Edeka soll schon in über 100 Filialen Fingerabdrucksysteme als Bezahlalternative anbieten.

Der Nachweis, dass ein Betrüger den Einkauf getätigt hat, dürfte schwer fallen. Fingerabdrücke als Identifikationsnachweis gelten als besonders sicher, da sie bei jeder Person unverwechselbar sind. Allerdings lassen sich die meisten Fingerabdrucksensoren mit nachgemachten Fingerabdrücken überlisten, wie c't bereits in Ausgabe 11/2002 und zuletzt in der Ausgabe 12/07 anhand diverser Notebooks feststellte.

Angreifer, die den biometrischen Schutz aushebeln wollen, müssen nur in den Besitz des gewünschten Fingerabdrucks kommen. Wenn sie diesen – etwa auf benutzten Alltagsgegenständen – aufspüren, können sie mit Hilfe von Sekundenkleber, Holzleim und weiteren Hausmitteln eine Fälschung herstellen, die in einer dünnen Schicht direkt auf der Haut eines lebendigen Fingers getragen wird. Eine weitere Beschichtung mit Gold oder Graphit gleicht die elektrischen Eigenschaften der Attrappe an die menschliche Haut an. Im c't-Test fiel jeder Sensor auf mindestens einen Täuschungsversuch herein. (dab/c't)

Quelle:http://www.heise.de/newsticker/meldung/99627

Anzeige

eFighter · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

Fingerabdruck an der Supermarkt-Kasse genauso unsicher wie Biometrie im Reisepass

27. November 2007 (presse@ccc.de)
Biometrie-Experten des Chaos Computer Club (CCC) kooperierten mit dem ARD Wirtschaftsmagazin PlusMinus bei einer Demonstration zur einfachen Fälschbarkeit von Fingerabdrücken. Vor laufender Kamera wurde der Fingerabdruck-Scanner an einer Supermarkt-Kasse getäuscht und auf fremde Kosten eingekauft. Nach kurzer Einweisung durch die CCC-Experten waren die Journalisten selbständig in der Lage, mit kopierten Fingerabdrücken das Kassensystem zu überlisten. Damit sind die Behauptungen der Biometrie-Befürworter und -Hersteller, dass so etwas – wenn überhaupt, nur im Labor – möglich sei, nachdrücklich widerlegt. Fingerabdruck-Systeme, wie sie bereits in den neuen biometrischen Reisepässen zum Einsatz kommen und für den Personalausweis geplant sind, können mit einfachen Mitteln überlistet werden und bieten keinerlei nennenswerte Sicherheit.

Als Experimentierfeld diente den Journalisten aus Gründen der eigenen Sicherheit jedoch nicht ein Flughafen, sondern ein Lebensmittelmarkt in Rülzheim [1]. In diesem Geschäft, wie auch in über einhundert weiteren Fillialen, wird in einem groß angelegten Versuch den Kunden die Bezahlung vom – allein von ihrem Fingerabdruck geschützten – Kundenkonto angeboten. Wie schon vor drei Jahren vom CCC in einem einfach nachzuvollziehenden Video [2] demonstriert, konnten die Fingerabdrücke eines eingeweihten Kunden von einem Alltagsgegenstand abgenommen werden. Nach einer einfachen, durch Biometrie-Experten des CCC entwickelten Methode konnten diese Abdrücke zu einer Attrappe verarbeitet werden, die den Reportern umstandslos das Einkaufen auf fremde Rechnung erlaubte. Die dafür notwendigen Materialien – Sekundenkleber, Holzleim und ein Laserdrucker – finden sich in fast jedem Haushalt.

Da an den deutschen Grenzkontrollstellen derzeit die Fingerabdruckleser für die Passkontrolle installiert werden, steht zu befürchten, dass die Sicherheit des bisher als eines der sichersten Dokumente der Welt eingeschätzten Dokuments mit Einführung des ePass untergraben statt verbessert wird.

Völlig ungeklärt ist die Haftungsfrage bei biometrischen Bezahlsystemen: Ähnlich wie bei der von Betrugsfällen geplagten EC-Karte wird der Kunde im Missbrauchsfall beweisen müssen, dass er nicht betrügerisch gehandelt hat. Angesichts der Komplexität der Systeme dürfte dieser Nachweis kaum zu führen sein. Der Chaos Computer Club kann daher nur dringend von der Benutzung biometrischer Bezahlsysteme abraten. Wer sich bereits registriert hat, sollte umgehend den Vertrag kündigen und auf die schriftlich bestätigte Löschung seiner biometrischen Merkmale, wie etwa des Fingerabdrucks, bestehen.

Im Gegensatz zu veränderlichen Sicherheitsmerkmalen wie einem Passwort oder einer PIN ist ein Fingerabdruck unveränderlich. Wenn er einmal von einem beliebigen Alltagsgegenstand abgenommen und nachgebaut wurde, ist er unwiederbringlich außer Kontrolle. Ein einmal verlorener Fingerabdruck ist lebenslang als Sicherheitsmerkmal unbrauchbar geworden. Da die kleinen Finger in der Regel nicht genügend identifizierbare Merkmale aufweisen, hat jeder Bürger also maximal acht Versuche.

Frank Rosengart, Sprecher des Chaos Computer Club, fasste zusammen: "Der Fingerabdruck als Sicherheitsmerkmal verliert umso mehr an Wert, in je mehr elektronischen Systemen die biometrischen Daten gespeichert werden. Der selbe Fingerabdruck, der im Dorfladen hochauflösend gescannt wird, soll an der Grenze als Identifikationsmerkmal herhalten. Kein Kunde kann überprüfen, ob nicht doch das hochauflösende Bild gespeichert wird."

Rosengart geht noch weiter: "Wir fordern ein gesetzliches Verbot von biometrischen Identifikationssystemen, da offensichtlich weder Betreiber noch Benutzer des Systems die Risiken abschätzen können." Der Chaos Computer Club hat in der Vergangenheit mehrfach und nachdrücklich darauf hingewiesen, dass Fingerabdrücke weder in Bezahlsystemen noch in Ausweisdokumenten als Sicherheitsmerkmal geeignet sind.

Für Rückfragen und Interview-Anfragen steht das Presseteam des CCC bevorzugt per E-Mail presse@ccc.de zur Verfügung oder ruft nach einer Nachricht auf unserer Sprachmailbox, Telefon: 0700 24267366 zurück.

Klicke in dieses Feld, um es in vollständiger Größe anzuzeigen.

Quelle: CCC

svigo · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

Ich hab den Berucht ja gestern auch gesehen und muss sagen, dass die Sicherheit bei dieser Methode nicht immer so gut ist wie sie beschrieben wird, ich hat es ja fast erschreckt wie einfach das doch ist. Sicher wird das nicht gleich jeder an seinem Drucker machen können, aber ich bin mir sicher das man wenn man es darauf anlegt, sehr leicht schafft dieses System zu knacken. Das erschreckende daran ,ist aber leider das man damit nicht nur bei Edeka auf fremde Kosten einkaufen kann, sondern leider auch an Flughäfen oder in anderen Sicherheitsbereichen gerade beim Staat eindringen kann, das klingt zwar wie ein billiger James Bond Film ist aber die Wahrheit und somit eine Bedrohung, sicher wird es nie ein wirklich Sicheres System geben wo Menschen drin vorkommen, aber es kann doch auf der anderen Seite nicht sein, das man mit ein bisschen Wissen schon so viel Schaden anrichten kann.
Der Chef der Sicherheitsfirma, zeigte sich zuversichtlich das alles in Ordnung sei und das es so sicher ist das nichts passieren kann. Sicher konnte er nicht sagen das man noch nacharbeiten muss, da es sicher eine schlechte PR wär, aber sie müssen nachlegen sonst bleibt dieses Sicherheitsloch offen, dennoch denke ich das es weniger die kleinen Leute betreffen wird, sondern viel mehr die Großkunden, den für paar 100-1000€ lohnt sich der Aufwand einfach nicht. Aber wenn man sowas nicht veröffentlicht, kaufen vielleicht noch andere Firmen, so ein System und der Kreis schliesst sich. Vorerst ist es wohl noch am sichersten auf die konservativen Methoden zurückzugreifen und die neuen Technologien, sich noch entwickeln lassen.

-[FREAK]- · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

hat jemand vielleicht nen link zu dem beitrag, habs gestern leider verpasst

Fandangoo · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

mmh vielleicht sollte man nach dem scannen noch ne art passwort abfrage in form von einer zahlencombi machen wie bei ner ec karte eben auch.

kingkool · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

http://www.daserste.de/plusminus/beitrag_dyn~uid,y2i9gnyp0ejp1iqp~cm.asp

rechts auf video zum beitrag klicken

caine · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

omg jetz hab ich mir das video angesehen
kanns nur jeden empfehlen sich das mal reinzuziehen

also auc wenns bis jetzt keine einsprüche gab oder beschwerden aber so leicht wie dieses system zu knacken ist bin ich mir sicher würde man hier im board als aller erste ne anleitung finden wie man sich so nen fingerabdruck selbst basteln kann

da trag ich lieber mein karte in der börse und mein code im kopf herum

xemueller85 · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

Das nenn ich mal wieder Typisch Geldgesellschaft. Ich würde nie auf die Idee kommen nur mit meinen Fingerabdruck zu bezahlen. Wenn ich die Möglichkeit habe gehe ich sogar Persönlich das Geld für den einkauf abheben und mache das nicht am Automaten das ist alles viel zu Riskant.
Aber schon interessant wie leicht man sowas austricksen kann. Werde das mal einen Kumpel schicken der meinte sein PC währe durch Fingerabdruck Scanner sicher *gg*

HardStyler · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

Das eerinnert mich am MYthbusters da haben die letzte Woche auch gezeigt wie man Fingerabdrücke fälschen kann Joa nett gemacht ... Würd mich auch für en wiederholten Beitrag interessieren

My-Doom · 28. November 2007

AW: Einkaufen mit falschem Fingerabdruck

Bild

Wie kopiert man (s)einen Fingerabdruck?

mfg

My-Doom

Stoppt die Vorratsdatenspeicherung! - Startseite

Nützliche Suchen

Einkaufen mit falschem Fingerabdruck

Videos zum Themenbereich