Apple iPhone X: Sicherheitsforscher überlisten FaceID mit einer Maske

[HWL News Bot]

Sicherheitsforscher der seit 1995 bestehenden Firma Bkav haben es geschafft, die biometrische Sicherheitstechnik FaceID am Apple iPhone X erfolgreich zu überlisten. Dafür wurde FaceID erst ganz regulär mit dem Gesicht eines Anwenders eingerichtet. Anschließend erstellte man mit einer Kombination aus 3D-Druck sowie zusätzlichem, handmodellierten Silikon eine Maske vom Gesicht des ursprünglichen Anwenders und konnte FaceID überlisten. Dafür muss der Besitzer des Apple iPhone X nicht etwa zu einem Gipsabdruck...

... weiterlesen

 

[Nowi]

Mission impossible lässt grüßen...

 

[DalaiLama]

Oh man... 3D Scan, 150 Euro Maske... was soll denn besser schützen... diese poplige 6 Ziffern Code? Da muss man nur einmal über die Schultern schauen Bzw eine Kamera geschickt platzieren

 

[DragonTear]

Genau.. was für eine Technik schützt denn wirklich? :/
Besonders gefährdete Ziele sind damit am besten beraten eine selbstzerstörungsapp einzurichten welche bei Nichtanmelden binnen einiger Stunden, oder aus der Ferne, auslöst. Zumindest erfordert das Überlisten der Techniken nämlich Zeit.

 

[Tresel]

Aber dennoch wird gezeigt,dass apples Aussage dass Masken nicht funktionieren werden dementiert.

 

[Skyphane]

Der Knackpunkt von Biometrie ist halt, dass man ein Gesicht oder einen Fingerabdruck nur einmal hat. (Ok, es gibt 10 Finger...)

Ein Passwort kann man wechseln.
Aber es stimmt schon. Das Sicherheitsniveau ist in der Praxis mit Face- oder Touch-ID schon deutlich höher als mit Pin, welche man eher noch abgucken kann.

 

[junkb00ster]

War ja klar das das passiert auch wenn apple es verneint hat.

 

[Fallwrrk]

Oh man... 3D Scan, 150 Euro Maske... was soll denn besser schützen... diese poplige 6 Ziffern Code? Da muss man nur einmal über die Schultern schauen Bzw eine Kamera geschickt platzieren

Das Problem ist nicht, dass es machbar ist, sondern dass Apple mehrfach gesagt hat, dass Face ID auch mit einer Maske nicht überlistbar ist. War mal wieder nur Gelaber...

 

[stoka]

Das Problem ist doch, dass es keine Option gibt, welche zu 100% sicher ist.
Man könnte jetzt mehrere Dinge kombinieren um noch sicherer zu werden, aber 100% werden es nie werden. Ich selber bevorzuge den Fingersensor, da er einfach bequemer ist.

Es muss aber jeder selber entscheiden, wie wichtig Ihm seine Daten sind und wie wahrscheinlich es ist, dass jemand einen solchen Aufwand auf sich nimmt um ein Smartphone zu entsperren...

 

[Tom1988]

Sehr amüsant vor allem, dass am Ende noch der China Bomber als aufzeichnendes Handy vor die Linse gehalten wird.

 

[Gubb3L]

Das Problem ist nicht, dass es machbar ist, sondern dass Apple mehrfach gesagt hat, dass Face ID auch mit einer Maske nicht überlistbar ist. War mal wieder nur Gelaber...

Da muss man auch erstmal sehen ob das nicht wieder halbwegs gestellt ist. Dieser Tests im dem Gesicht der Zwillinge ist ja auch nicht der Realität entsprechend. Dort wurde teilweise auch im Video sichtbar gezeigt, dass die beim "testen" den Pin beim Zwilling eingegeben haben. Apple hat ja gesagt, dass ihre Software dazu lernt. Die ersten mal hat das Gerät eben nicht entsperrt weil es wohl doch Unterschiede erkannt hat. Mit dem bestätigen durch den Pin hat man dann signalisiert, dass der Zwilling als legitime Variante des Gesichtes akzeptiert werden soll. Kann ja gut sein, dass sie das hier jetzt auch gemacht haben.

Damit will ich nicht sagen, dass das Facescannen wirklich 100% sicher ist aber man kann halt auch etwas testen.

 

[DragonTear]

Da muss man auch erstmal sehen ob das nicht wieder halbwegs gestellt ist. Dieser Tests im dem Gesicht der Zwillinge ist ja auch teilweise nicht der Realität entsprechend. Dort wurde teilweise auch im Video sichtbar gezeigt, dass die Teilweise beim "testen" den Pin beim Zwilling eingegeben haben. Apple hat ja gesagt, dass ihre Software dazu lernt. Die ersten mal hat das Gerät eben nicht entsperrt weil es wohl doch Unterschiede erkannt hat. Mit dem bestätigen durch den Pin hat man dann signalisiert, dass der Zwilling als legitime Variante des Gesichtes akzeptiert werden soll. Kann ja gut sein, dass sie das hier jetzt auch gemacht haben.

Damit will ich nicht sagen, dass das Facescannen wirklich 100% sicher ist aber man kann halt auch etwas testen.

Man sollte in dem Zusammenhang darum immer bedenken dass der gesamte Aufwand für das Video, für die Katz gewesen wäre, hätte es sich als Fehlschlag entpuppt

 

[lll]

Die Technik kommt mir generell unausgereift vor, was ist wenn man sich seinen Bart ab rasiert oder sich eine Bart wachsen lässt, das Teil funktioniert doch danach nicht mehr, was passiert dann, kommt man danach nicht mehr an sein Gerät, oder muss man Geld an Apfel zahlen um sein Handy frei zukaufen?

 

[sonny2]

1. Funktioniert es dann noch
2. Pincode
3. Netter Troll


Gesendet von iPhone mit Tapatalk

 

[Gubb3L]

Die Technik kommt mir generell unausgereift vor, was ist wenn man sich seinen Bart ab rasiert oder sich eine Bart wachsen lässt, das Teil funktioniert doch danach nicht mehr, was passiert dann, kommt man danach nicht mehr an sein Gerät, oder muss man Geld an Apfel zahlen um sein Handy frei zukaufen?

Bevor man ´über die Technik urteilen möchte sollte man sich damit schon etwas befassen und natürlich funktioniert die Geschichte auch noch wenn du dir einen Vollbart wachsen lässt. Zur zweiten Frage muss ich glaube ich nichts mehr sagen. Troll wo anders herum.

 

[proxuser]

1. Also man bekommt schneller ein bild von jemand als sein fingerabdruck.
2. Warum ist es für euch so interessant das es mit eine chinesische handy gefilmt wurde? Würdet ihr mehr glauben wenns mit iPhone gefilmmt wäre?

Manche kommentare hier ist naja ..

 

[Gubb3L]

1. Und was will man mit einem Bild von jemanden?
2. Was hat denn das hier mit einem chinesischen Handy zu tun? Wie kommst du denn auf den seltsamen Trichter?

 

[bAssI]

Und wenn FaceID nun bereits auf die Maske angelernt wurde? Man sieht ja nur wie man sie zum entsperren nutzt. Bloß weil es im Internet/auf Youtube steht, muss es nicht stimmen.

 

[triblerchris]

Wie ich vermutet habe bringt die neue Technik keine bessere Sicherheit. Das Gegenteil ist der Fall. Die gute alte Pin ist für mich das Sicherste. Funktioniert seit Jahren bei den Geldautomaten und hat sich größtenteils bewährt. Mich würde brennend interessieren, wer von den FaceID Befürwortern diese Technik bei den Geldautomaten eingesetzt haben möchte?
Vermutlich keiner.

 

[Powl]

Pins werden genauso seit jahren links und rechts abgeschaut, geknackt etc.

Sie sind halt eine einfach lernbare und vielseitig anwendbare methode. Inhärent sicherer aber durchaus nicht.

Der faceid trick hier benötigt einen 3d scan des opfers und eine teuer produzierte maske. Ne pin abfilmen, abschauen oder aus bekannten daten zu extrapolieren kostet nen appel und n ei und ist einfach ohne wissen des opfers zu bewerkstelligen.

Sent from OP3T

 

[alpinlol]

Die Maske und das Gesicht von dem "FaceID Benutzer" sehen sich aber auch nicht wirklich ähnlich, aber wenn es mit solchen Differenzen immer noch so einfach geht wäre das schon sehr fragwürdig.

 

[DeGhost89]

Meine Güte, als damals die Note 7 gebrannt haben ist jeder Apple Nutzer drüber hergezogen und das über Wochen.

Jetzt hat Apple ein Problem mit FaceID und schon werden Tausende Rechtfertigungen gesucht.

Und nein ich nutze weder Samsung noch Apple. Einfach alles teurer Plastikmist.

 

[alpinlol]

Meine Güte, als damals die Note 7 gebrannt haben ist jeder Apple Nutzer drüber hergezogen und das über Wochen.

Jetzt hat Apple ein Problem mit FaceID und schon werden Tausende Rechtfertigungen gesucht.

Und nein ich nutze weder Samsung noch Apple. Einfach alles teurer Plastikmist.

Kann ich nachvollziehen, auch der "Plastikmist" im Bezug auf Samsung, aber leider nicht so ganz auf das iPhone seit einigen Generationen.

 

[timo82]

Bevor man ´über die Technik urteilen möchte sollte man sich damit schon etwas befassen und natürlich funktioniert die Geschichte auch noch wenn du dir einen Vollbart wachsen lässt. Zur zweiten Frage muss ich glaube ich nichts mehr sagen. Troll wo anders herum.

Du meinst zwar jemanden anders, aber
Natürlich funktioniert die Geschichte noch. Verspricht ja die Werbung.
Genauso, wie es sich nicht überlisten lässt.

 

[Balle]

Du meinst zwar jemanden anders, aber
Natürlich funktioniert die Geschichte noch. Verspricht ja die Werbung.
Genauso, wie es sich nicht überlisten lässt.

1. Das mit dem Bart wurde im Internet schon gefühlt 100 mal getestet und funktioniert.
2. Ich will erst noch den Beweis, dass 1. die Maske nicht per Pin angelernt wurde und 2. die "Blindenfunktion" nicht aktiviert wurde, das heißt Iris-Bewegung nicht relevant ist.

 

[Gubb3L]

Du meinst zwar jemanden anders, aber
Natürlich funktioniert die Geschichte noch. Verspricht ja die Werbung.
Genauso, wie es sich nicht überlisten lässt.

Es wurde getestet also guck es dir an. In der Regel hat man auch nich von heute auf Morgen einen Vollbart. Das System lernt also alle deine Zwischenschritte und passt sich Tag für Tag an deinen Bartwuchs an. Es kann natürlich sein wenn du nen richtig dicken Vollbart hast und dich komplett kahl rasierst es dann einmal den Pin zur Bestätigung haben will aber das sehe ich jetzt nicht so als Problem an. Die Tests haben gezeigt dass das System gewissen Regionen als Keyindikatoren nutzt die sich auch in der Maske wieder finden. Besonders ist es die Region um die Auge, die Nase, Wangen und die Mundpartie. Also genau das was sie hier modelliert haben. Sobald eine der Regionen verdeckt wird (Halstuch/Schal im Winter) funktioniert die ganze Erkennung nicht mehr genau genug und fordert einen Pin.
Ich war übrigens sehr sehr skeptisch gegenüber er Technik und habe direkt nach der Präsentation gesagt, dass es eh nicht gut funktionieren und der Fingerabdruck besser ist aber ich hab mit dem Iphone X nen ganzen Morgen herum gespielt und konnte mich davon überzeugen, dass zumindest dieses Feature ganz gut funktioniert. Es hat Vor- und Nachteile aber es macht was es soll.

Wo es jetzt aber spannend wird ist die Genauigkeit die solch eine Maske haben muss insofern das wirklich klappt ohne Anlernen. Es gibt mittlerweile große Fortschritte im Bereich der 3D Rekonstruktion aus 2D Fotos. Reicht so etwas aus bzw. wie genau muss eine solche Maske am Ende sein? Kann man vllt schon mit 3-4 Fotos aus unterschiedlichen Perspektiven eine Maske erstellen die genau genug ist um die Scanner auszutricksen? Das ist doch die eigentlich Sicherheitsrelevante Frage.

 

[timo82]

Ich finde, dass das eben nicht die Frage ist.

Mir ist es total egal, mit wie viel Aufwand jemand mein Handy knacken kann (oder nicht).
Wenn mein Handy geklaut wird oder ich es verliere, dann lösche ich es aus der Ferne.

Ob es der Dieb/Finder dann noch knackt, ist egal. Mein Handy ist so oder so weg, meine Daten bekommt er so oder so nicht.

Ich empfinde es als Problem, dass Hersteller irgendwas neues machen, sagen, wie toll es ist und diese Versprechungen stimmen nicht.

Man sieht ja, wie schnell (Release - Hack) dieses supersichere System standgehalten hat.

 

[Gubb3L]

@timo82
Wir wissen immer noch nicht ob sie es überhaupt geschafft haben oder kennst du mehr als dieses Video?

Wo stimmen denn die Versprechungen nicht? Apple hat nie gesagt das es zu 100% sicher ist und mit dem hier getätigten Aufwand bekommst du jeden erdenlichen Fingerabdruckscanner mehr als einfach überlistet.
Wieso eigentlich Hack? Hier ist nichts gehackt worden.

 

[deathbydaylight]

Irgendwie sinnfrei aber auch irgendwie lustig der Versuch