Werbung
Per Support-Dokument weist Lenovo daraufhin, dass der in den ThinkPads verbaute Fingerabdruckscanner, bzw. die hier verwendete Software unsicher ist. Die unter dem Code CVE-2017-3762 geführte Sicherheitslücke wird als kritisch angesehen, da die im Lenovo Fingerprint Manager Pro abgelegten Daten nicht ausreichend geschützt sind.
Bei den im Lenovo Fingerprint Manager Pro abgelegten Daten handelt es sich um Benutzername und Passwort für Windows (dies können auch die Zugangsdaten für das Microsoft-Konto sein) sowie die eigentlichen Daten des Fingerabdrucks. Offenbar verwendete Lenovo hier eine zu schwache Verschlüsselung und zudem auch noch ein immer gleiches Passwort, welches hardcodiert in der Software selbst auszulesen war. Die Daten sind zudem für alle Nutzer einzusehen – auch ohne Administrator-Rechte.
Lenovo beschreibt die Sicherheitslücke wie folgt:
„A vulnerability has been identified in Lenovo Fingerprint Manager Pro. Sensitive data stored by Lenovo Fingerprint Manager Pro, including users’ Windows logon credentials and fingerprint data, is encrypted using a weak algorithm, contains a hard-coded password, and is accessible to all users with local non-administrative access to the system it is installed in."
Um die Lücke zu schließen hat Lenovo den Fingerprint Manager Pro in der Version 8.01.87 veröffentlicht. Betroffen sind die folgenden ThinkPads mit Fingerabdruckscanner:
- ThinkPad L560
- ThinkPad P40 Yoga, P50s
- ThinkPad T440, T440p, T440s, T450, T450s, T460, T540p, T550, T560
- ThinkPad W540, W541, W550s
- ThinkPad X1 Carbon (Type 20A7, 20A8), X1 Carbon (Type 20BS, 20BT)
- ThinkPad X240, X240s, X250, X260
- ThinkPad Yoga 14 (20FY), Yoga 460
- ThinkCentre M73, M73z, M78, M79, M83, M93, M93p, M93z
- ThinkStation E32, P300, P500, P700, P900
Betroffen sind Windows 7, Windows 8 und Windows 8.1. Windows 10 verwendet seine eigene API und ist nicht auf den Fingerprint Manager Pro angewiesen.
Sicherheitslücke in zweierlei Hinsicht problematisch
Finderabdrucksensoren in Notebooks, vor allem aber nahezu jedem aktuellen High-End-Smartphone, sollen den Login-Prozess vereinfachen, ohne die Sicherheit durch zu einfache Passwörter zu gefährden. Dies kann aber nur funktionieren, wenn der Fingerabdrucksensor zuverlässig arbeitet und sich nicht so einfach täuschen lässt sowie die dazu gespeicherten Daten irgendwo sicher abgelegt sind. Apple verwendet dazu bei seinen iPhones die Secure Enclave des eigenen SoCs. Bei Samsung und den Exynos-SoCs gibt es eine ähnliche Technik und alle mobilen Prozessoren mit ARM-Design können die Trusted Zone benutzen. Alle diese Techniken sollen verhindern, dass ein Zugriff auf die Daten des Fingerabdrucksensors möglich ist.
Eine Lücke wie die nun bei Lenovo bekannt gewordene führt erstens dazu, dass Login-Daten der Nutzer öffentlich werden. Außerdem konnten wohl die Daten des Fingerabdrucks ausgelesen werden. Unklar ist, in welcher Form Lenovo diesen Daten speichert. Üblicherweise werden die Minuzien, also die Endungen und Verzweigungen der Papillarleisten erkannt und durch einen speziellen Algorithmus in eine mathematische Form gebracht. Aus dieser ist es nicht möglich den umgekehrten Weg hin zum eigentlichen Fingerabdruck zu gehen. Sind durch die Sicherheitslücke bei Lenovo also eben diese Daten angreifbar, muss dies nicht bedeuten, dass auch der Fingerabdruck des Nutzers bekannt ist.
Man sollte aber immer im Hinterkopf behalten, dass biometrische Sicherheitsfunktionen nicht unproblematisch sind. Ein Nutzer kann sein Passwort ändern, den Fingerabdruck aber nicht. Einmal gefährdet bleibt nur noch die Wahl auf Fingerabdrucksensoren zu verzichten, was dann wieder dazu führen kann, dass zu einfache Passwörter verwendet werden. Dies gilt für alle biometrischen Systeme und daher sollte bei diesen auch besondere Vorsicht bei den Herstellern gelten.