Biometrische Verfahren: Jedes kann "ausgetrickst" werden

Derzeit werden Sicherheitszonen, Scheckkarten oder Computer meist noch durch ein Codewort gesichert. Nur wer die Chiffre kennt, hat Zugang oder Zugriff. Doch mit raffinierten Programmen sind die Zeichenkombinationen zu knacken. Zudem werden sie leicht vergessen. Die Linien seiner Fingerkuppen hingegen hat jeder jederzeit im wahrsten Sinn des Wortes zur Hand.

Wegen ihrer Einmaligkeit gelten biometrische Merkmale als fast narrensicherer Identitätsnachweis. So unterscheiden sich beispielsweise nicht nur die Regenbogenhäute von Zwillingen, sogar linkes und rechtes Auge zeigen verschiedene Strukturen in der Iris.

Die zur Zeit verbreitetste Zugangssicherung ist der Fingerabdruck mit seinen charakteristischen Tastlinien. Inzwischen finden sich die Linien-Leser auch auf PC-Tastaturen und so genannten ID-Mäusen. Beim Computerstart prüft die Sicherheitssoftware über ein Sensorfeld die Kuppen-Kontur und vergleicht sie mit den gespeicherten Biometrie-Daten. Fremde, versprechen die Hersteller, können nicht in die Rechenmaschine eindringen.

Gelatinefinger

Doch das ist ein Irrtum. Vor ein paar Wochen machte Tsutomu Matsumoto, Professor an der Universität von Yokohama, auf eine Sicherheitslücke bei elf gängigen Linien-Erkennern aufmerksam. Er hatte den Abdruck einer Fingerkuppe mit Gummibärchen-Masse gefüllt und den Gelatinefinger den Sensoren präsentiert. Die Testgeräte ließen sich in die Irre führen. Alles was der japanische Mathematiker für seinen Coup brauchte, waren zehn Dollar und ein bisschen Küchenchemie.

Für seinen zweiten Versuch benutzte Matsumoto ein Spurensicherungs-Set. Damit holte er sich einen Fingerabdruck von einem Trinkglas. Mittels Mikroskop und Kamera kopierte er das Rillenmuster auf eine Plastik-Platine, wie sie in jedem Bastlerladen zu haben ist.

Verschrotten . . .

"Diese Ergebnisse genügen, um die Systeme komplett zu verschrotten", erzürnt sich der Krypto-Spezialist Bruce Schneier, "und den Herstellern die Verpackung zurückzuschicken." Schon 1998 hatte der Gründer der amerikanischen Security-Firma Counterpane Internet Security gewarnt: "Biometrie ist zwar prima bei der Identifizierung, taugt aber nichts bei der Geheimhaltung." Doch damit blieb er ein einsamer Rufer in der Wüste.

Konfrontiert mit den Demonstrationen des Japaners reagierten die Biometrie-Lieferanten jedoch recht kühl. "Wir vertrauen den Halbleiterherstellern", hieß es etwa bei der Wiesbadener Omnikey AG, "die können sich auf solche Dinge einstellen."

. . . oder Umsatz fördern?

Denn der Biometrie-Markt boomt, Unkereien stören den Umsatz. Der soll dieses Jahr weltweit auf über 500 Mill. Euro steigen. Doch das ganz große Geschäft hat gerade erst der amerikanische Präsident angeschoben. George Bush hat ein Gesetz unterzeichnet, wonach ab 2004 Ausländer nur noch mit einem Pass ins Land dürfen, der internationale Biometrie-Standards erfüllt.

Ob das die USA vor Anschlägen schützt, steht dahin. Denn die "c't"-Mitarbeiter fanden weitere Möglichkeiten, beispielsweise die Fingeranalyse zu narren, frei nach dem Motto: "Angreifen, ausprobieren, austricksen!" Statt Gelatine setzen sie beispielsweise auf Grafitpuder. Sie bliesen das schwarze Pulver über das Sensorfeld, auf dem noch Fettrückstände vom letzten Zugriff hafteten, und deckten es mit einem Klebstreifen ab. Leichter Druck erzeugte schließlich den Sesam-Effekt: das Programm öffnete die PC-Pforten. Und zwar bei fast allen getesteten Modellen.

Noch zwei Monaten zuvor hatte der Verein zur Förderung der Vertrauenswürdigkeit von Informations- und Kommunikationstechnik (TeleTrust) so etwas in Abrede gestellt. "Fingerabdrücke auf einem Tesa-Streifen sind nicht in der Lage, die meisten der heute erhältlichen Systeme auszutricksen", hiess es Ende März in einer Presseinformation. Die Meldung trug den Titel: "Die Biometrie wird sich durchsetzen."

Berechtigte Zweifel

Zweifel sind angebracht. So wird etwa die Deutsche Bank die Fingerspitzenprobe bei ihren Geldautomaten nicht einführen: "Für mögliche Massenanwendungen scheinen die derzeitigen Verfahren noch nicht reif genug", betont ihr Sprecher Klaus Thoma.

Auch das Fraunhofer-Institut für Graphische Datenverarbeitung (FHG-IGD) in Darmstadt hatte vor zwei Jahren schwere Mängel bei Bio-Sicherheitssystemen festgestellt. Der Hinweis in der anschließenden Publikation fiel allerdings karg und gewunden aus: "An fünf biometrischen Systemen wurden erfolgreiche und reproduzierbare Überwindungsversuche durchgeführt." Im Klartext: Die Bio-Barrieren ließen sich von den FHG-Ingenieuren systematisch aushebeln.

Christoph Busch vom IGD wehrt sich jedoch gegen Vorwürfe der "c't"-Redaktion: "Es entspricht nicht den Tatsachen, dass wir von den Herstellern gedrängt wurden, die Testergebnisse zurückzuhalten." Da die FHG-Institute allerdings auch Auftragsforschung betreiben, war das gar nicht nötig. Voraussetzung bei solchen Studien ist nämlich meist, dass die Kunden sich die Kontrolle über die Veröffentlichungen vorbehalten. Das gegenständliche "c't"-Heft machte öffentlich, was die IGD-Ingenieure möglicherweise nur intern erwähnen durften.

So wurde auch ein System überrumpelt, das die Sicherheit durch den Check der Regenbogenhaut garantieren soll. Dazu wird mit einer üblichen Webcam das Bild der Iris aufgenommen und mit den gespeicherten Daten verglichen. Mit einer etwas aufwändigeren Fotomontage nahmen die "c't"-Leute auch diese Hürde.

Video akzeptiert

Mit seinem letzten Versuch allerdings demonstrierte das Computer-Magazin die ganze Gefährlichkeit nicht ausgereifter Systeme. Die Mitarbeiter überlisteten einen Überwachungsscanner, der Zugangsberechtigungen anhand der Gesichtsgeometrie errechnet. Bessere Geräte achten dabei auf kleinste Kopfbewegungen, um nicht auf ein Foto hereinzufallen. In der "c't"-Redaktion wurde daher ein kurzes Video vom Gesicht des Nutzers produziert und auf einem Notebook-Schirm der Webcam vorgespielt. Der Gesichts-Scanner akzeptierte.

Kaum vorzustellen, was passiert, wenn Filmer in böser Absicht ihre Archive nach Aufnahmen von Politikern und Prominenten durchforsten. Mit einem geschickt geschnitten Streifen würde das digitale Ausspähen zum Heidenspaß - wenn nicht mehr.

Ob sich die Systeme jedoch grundsätzlich gegen solche Übertölpelungen schützen lassen, ist fraglich. Schuld ist die Biologie. Alle paar Wochen regeneriert sich der Mensch in einem bestimmten Umfang. Die Sicherheits-Software muss daher gewisse Toleranzen bei den Messwerten zulassen. Das wird das Einfallstor bleiben.