Chinesische Forscher entdecken BrutePrint-Angriff, der Android-Telefone mit Fingerabdrucksensoren entsperren kann

Chinesische Forscher von Tencent Labs und der Zhejiang-Universität haben herausgefunden, dass Android-Telefone anfällig für eine neue Art von Angriff sind, der jedes Gerät mithilfe eines Fingerabdrucksensors zur Authentifizierung entsperren kann. Der Angriff heißt BrutePrint und basiert auf der brutalen Manipulation von Fingerabdruckbildern, die Angreifer erhalten haben, um Zugriff auf Geräte zu erhalten. Folgendes müssen Sie über die neueste Sicherheitsbedrohung für Android-Telefone wissen:

Was du wissen musst:

• BrutePrint ist eine neue Art von Angriff, der jedes Android-Telefon entsperren kann, das einen Fingerabdrucksensor zur Authentifizierung verwendet.
• Die chinesischen Forscher entdeckten die Schwachstelle und stellten fest, dass sie die Benutzerauthentifizierung umgeht und die Kontrolle über Android-Geräte übernimmt.
• Die Authentifizierung per Fingerabdruck auf Android-Telefonen ist im Allgemeinen mit Sicherheitsvorkehrungen wie Benutzerversuchsbeschränkungen und Liveness-Erkennung ausgestattet, um vor Brute-Force-Angriffen zu schützen. Die Forscher überwanden diese Sicherheitsvorkehrungen jedoch mit zwei Zero-Day-Schwachstellen namens „Cancel-After-Match-Fail“ (CAMF) und „Match-After-Lock“ (MAL).
• Die Forscher stellten fest, dass „biometrische Daten auf der Serial Peripheral Interface (SPI) der Fingerabdrucksensoren unzureichend geschützt waren, was einen Man-in-the-Middle-Angriff (MITM) zur Kaperung von Fingerabdruckbildern ermöglichte.“
• Diese BrutePrint- und SPI MITM-Angriffe wurden auf fast zehn bekannten Smartphones mit Android ausgeführt, darunter Xiaomi Mi 11 Ultra, OnePlus 7 Pro, Huawei-Geräte mit HarmonyOS (Huawei P40) und einige iOS-Geräte.
• Der Angreifer benötigt physischen Zugriff auf das Telefon sowie auf Fingerabdruckdatenbanken, die scheinbar aus akademischen Datensätzen oder biometrischen Datenlecks aus der Vergangenheit stammen und für nur 15 US-Dollar erworben werden können.
• Es wurde festgestellt, dass die Durchführung eines BrutePrint-Angriffs zwischen 2,9 und 13,9 Stunden dauert, wenn der Gerätebesitzer einen Fingerabdruck zur Authentifizierung registriert hat. Dies würde deutlich weniger Zeit in Anspruch nehmen, wenn mehr Fingerabdrücke auf dem Gerät registriert würden.
• Die Bedrohung durch einen BrutePrint-Angriff gibt keinen unmittelbaren Anlass zur Sorge, da der Angreifer weiterhin physischen Zugriff auf das Gerät benötigt. Bei gestohlenen Geräten kann es jedoch dennoch gefährlich werden, da mit BrutePrint dann die Geräteauthentifizierung umgangen werden kann.
• Der Angriff könnte datenschutzbezogene Fragen im Hinblick auf die Ermittlungen der Strafverfolgungsbehörden aufwerfen, da diese möglicherweise die oben genannten Techniken nutzen könnten, um jedes Telefon mit einem Fingerabdrucksensor zur Authentifizierung zu entsperren.

Das Fazit:
Der BrutePrint-Angriff ist eine neue Sicherheitsbedrohung für Android-Telefone, mit der Geräte mit Fingerabdrucksensoren entsperrt werden können. Obwohl die Bedrohung kein unmittelbares Problem darstellt, könnte sie für gestohlene Geräte dennoch gefährlich sein. Benutzer von Android-Telefonen müssen vorsichtig sein und sicherstellen, dass ihre Geräte sicher und für Unbefugte nicht zugänglich sind. Strafverfolgungsbehörden müssen möglicherweise auch ihre Ermittlungstechniken überprüfen, um sicherzustellen, dass sie keine Datenschutzrechte verletzen.