bluebit

Simple Angriffsmethode

35C3 - Hacker knacken Venenerkennungssysteme des BND

von Robert Klatt •

Eine Kamera, ein Drucker und etwas Wachs reichen aus, um Venenerkennungssysteme zu überlisten.


0 Kommentare

Biometrischen Venenerkennungssystemen galten bis vor kurzem als sicherer Alternative zu Fingerabdrucksensoren. Genutzt werden die zum Schutz von wichtigen Unternehmensbereichen, Bankautomaten und sogar der Bundesnachrichtendienst (BND) soll seine Zentrale dadurch vor unbefugten Personen sichern. Im Zuge des 35. Chaos Communication Congress (35C3) haben die Hacker Julian Albrecht und Jan Krissler (Starbug) nun gezeigt, dass sich auch dieses Sicherheitssystem mit technisch relativ simplen Methoden überlisten lässt.

Gegenüber Motherboard wollte sich der BND nicht konkret zu dem Venenerkennungssystem äußern. Ein Sprecher erklärte lediglich, dass die Zentrale durch verschiedene Sicherheitssystem geschützt wird.

Spiegelreflexkamera, Laserdrucker und Wachs

Vorgeführt wurde der Angriffsvektor mit zwei weitverbreiteten Venenerkennungssystemen von Fujitsu und Hitachi. Genutzt haben die Hacker dafür eine umgebaute Spiegelreflexkamera deren Infrarotfilter entfernt wurde, einen Laserdrucker und etwas Wachs.

Das Funktionsprinzip von Venenerkennungssysteme ist vergleichbar mit Fingerabdrucksensoren. Venen haben ebenfalls ein eindeutiges Muster, das wie ein Fingerabdruck nur einer Person zugeordnet werden kann. Sie galten jedoch als weitaus sicherer, da die Muster nicht wie Fingerabdrücke im Alltag ständig für alle sichtbar an verschiedensten Stellen hinterlassen werden.

Foto aus fünf Metern Entfernung

Nun haben die beiden Sicherheitsexperten gezeigt, dass auch Venenerkennungssysteme in der Praxis angreifbar sind. Sie haben dazu mit der modifizierten Spiegelreflexkamera gegenseitig Bilder ihrer Venen erstellt und diese ausgedruckt. Anschließend wurde auf das Papier eine Schicht aus Wachs aufgetragen, aus der dann eine Handattrappe geformt werden konnte. Beide Venenerkennungssysteme konnten so getäuscht werden.

Insgesamt haben die Hacker für die Entwicklung des Angriffsvektors rund 30 Arbeitstage investiert, bei denen über 2.500 Fotos angefertigt wurden. Genutzt werden können Fotos, die aus bis zu fünf Metern Entfernung geschossen werden. Es ist also auch möglich, dass die Venen von fremden Personen in der Öffentlichkeit ohne deren Wissen fotografiert werden, um so anschließend Handattrappen anzufertigen. Entsprechende Kameras werden bei eBay bereits ab 100 Euro verkauft.

Die beiden betroffenen Unternehmen wurden bereits vor mehreren Monaten durch die White Hat Hacker über die Sicherheitslücken informiert. Albrecht und Krissler haben ihre Angriffsmethode außerdem live in Japan den Unternehmen vorgeführt. Derzeit kann die Angriffsmethode trotzdem weiterhin genutzt werden, da noch kein Sicherheitsupdate vorliegt.

Der Vortrag der beiden Hacker "Venenerkennung hacken -Vom Fall der letzten Bastion biometrischer Systeme" ist frei verfügbar.

0 Kommentare

Kommentar verfassen