„Fall der letzten Bastion biometrischer Systeme“?

Anlässlich des jährlich stattfindenden Chaos Communication Congress, einer Hackerkonferenz des Chaos Computer Clubs (CCC) Ende Dezember 2018, stellten die Berliner Sicherheitsforscher Jan Krissler (alias „Starbug“) und Julian Albrecht einen Hack vor, bei der die biometrische Identifi zierung über die Handvenen (Handvenenbiometrie) durch das Vortäuschen einer lebensgroßen künstlichen Hand mit eben diesen biometrischen Informationen durchgeführt wurde. Der Vortrag steht auf der Seite https://media.ccc.de online (oder direkt per Kurzlink https://bit.ly/2Sp9gOd ).

Der Hack ging medienwirksam durch die Presse, ist auch auf Youtube mit mehr als 32.000 Zugriffen zu finden und wurde gemeinhin als der „Fall der letzten Bastion biometrischer Systeme“ betitelt. Angegriffen wurden die Systeme der japanischen Hersteller Fujitsu (PalmSecure) und Hitachi (VeinID), die ca. 95 Prozent des Marktes für die automatische Venenerkennung abdecken.

Bei dem Hack bauten die beiden Sicherheitsforscher eine Hand- bzw. Fingerattrappe aus Wachs und integrierten in diese nachbearbeiteten Abbildungen der im Körper „versteckten“ Blutbahnen (Venen). Die Bilder der Venenmuster wurden mit Hilfe einer handelsüblichen Spiegelreflexkamera, bei der der Infrarotfilter ausgebaut wurde, erstellt. Die Venenmuster der Handfläche lassen sich so, wie auch im Anwendungsfall der Identifizierung, recht gut berührungslos mithilfe einer nahen Infrarotstrahlung erfassen. Dabei wird die Infrarotstrahlung vom sauerstoffarmen venösen Blut gut absorbiert, was dazu führt, dass das Gewebe hell erscheint und das Venenbild sich als dunkle schwarze Linien davon abzeichnet bzw. abhebt.

Die Live-Demonstration des Hacks während der Konferenz scheiterte in Bezug auf die Handvenenerkennung am „PalmSecure“-Scanner von Fujitsu. So wies die Kontrollsoftware auch nach dem zehnten Anlauf des Auflegens der falschen Hand diese als falsch zurück und meldete „Access denied“. Erst, als das System unter den Tisch gestellt wurde, und damit das wohl störende Licht der Bühnenbeleuchtung verschattet wurde, funktionierte die Täuschung.

Der Hack hat gezeigt, dass biometrische Systeme grundsätzlich überwunden werden können. Dies entspricht einem gültigen Grundsatz, der besagt, dass es eine 100-prozentige Sicherheit de facto nicht gibt. Und dass biometrische Merkmale nachgebildet werden können, ist auch schon lange bekannt.

Auch wenn diese Attacke prinzipiell als Erfolg zu bezeichnen ist, so muss dennoch der beim Chaos Communication Congress demonstrierte Angriff kritisch hinterfragt werden. So haben z. B. die ungarische BioSec Group (Entwickler biometrischer Lösungen) und natürlich auch Fujitsu schon einige Tage nach Veröffentlichung des Angriffs auf einige Fehler bei diesem Hack hingewiesen. So bestand laut BioSec der Versuchsaufbau aus einer veralteten Vorgängerversion einer Demoanwendung, die im Wesentlichen die für Demonstrationszwecke erforderlichen Funktionen Registrierung, Verifizierung und Identifikation abbilden konnte. Insofern war die Grundlage des Versuchsaufbaus der beiden Berliner Sicherheitsforscher nicht vergleichbar mit einem vollständigen Produktivsystem mit aktueller Software.

Ferner wurde bemängelt, dass normalerweise bei jeder technischen Lösung, die auf PalmSecure basiert, der Abgleich der biometrischen Vorlagen mit einem definierten Sicherheitsgrad bewertet wird. Liegt der Sicherheitsgrad hoch, muss der Abgleich der biometrischen Vorlage eine sehr hohe Übereinstimmung bzw. Präzision mit der im System hinterlegten Referenz abbilden. Liegt der Wert des erkannten Handvenenmusters unterhalb dieses Sicherheitsgrades, weist das System dieses zurück. Die im Hack verwendete Wachshand wurde somit in einer Demoumgebung, die nur über niedrige Sicherheitsparameter verfügt, eingesetzt. Parallel kann eine solche Handattrappe, laut Meinung der Experten von BioSec, einen für produktive Systeme erforderlichen hohen Sicherheitswert nicht produzieren.

Ein weiterer Punkt, der nach wie vor die Sicherheit der Handvenen als biometrisches Identifikationsmerkmal unterstreicht, ist der Aufwand, mit dem dieser Angriff nachgebildet wurde. Für den Ende Dezember 2018 demonstrierten Hack mussten die Sicherheitsforscher ca. 2.500 Versuche und 30 volle Arbeitstage aufbringen, bis der Angriff gelang
– wohlgemerkt alles unter Laborbedingungen. In der Realität müssen somit mehrere
Dinge zusammentreffen, um einen Angriff erfolgreich durchzuführen.

Die erste große Hürde ist der „Diebstahl“ des Handvenenmusters einer zutrittsberechtigten Person. Dies könnte, wie z. B. bei der Präsentation des Hacks gezeigt, durch die Manipulation von Händetrocknern, wie man sie auf vielen Toiletten von Gastronomiebetrieben findet, geschehen. Dabei werden Minikameras eingebaut, die schließlich die Handinnenfläche beim Trocknen abfotografieren. Die Sicherheitsforscher bauten dazu ein Infrarot-Kameramodul eines Raspberry Pi Minicomputers ein. Dieses oder ähnliche gelagerte Angriffsszenarien begründen wiederum mehrere Voraussetzungen:

1. Man muss wissen, wann und wo die angegriffene Person die Innenseite ihrer Hand in Richtung Infrarot-Kamera hält.
2. Das erzeugte Bild muss der angegriffenen Person dann auch zugeordnet werden können.
3. Das erzeugte Bild muss mit wahrscheinlich nur einem möglichen Versuch ein in Auflösung, Schärfe und Blickwinkel präzises Abbild des in einem Zutrittskontrollsystem hinterlegten Musters liefern.

Insbesondere der letzte Punkt dürfte die größte Hürde darstellen. Nicht ohne Grund muss beim Enrolment einer Hand bzw. der Handvenen diese mehrmals auf den Scanner gelegt werden, um das Minutenmuster (Verzweigungen eines Fingerabdrucks) zu präzisieren bzw. zu verifizieren.

Der referierende Sicherheitsforscher erweckte bei seiner Demonstration des Hacks auf dem Chaos Communication Congress den Anschein, das Gesamtsystem an sich sei unsicher. Dabei wurden jedoch wesentliche Eckpunkte einer Sicherheitsstrategie wohlwissend nicht erwähnt.
Der Hinweis, dass der Bundesnachrichtendienst (BND) auch Systeme der betroffenen Hersteller in seiner neuen Berliner Zentrale im Einsatz hat, konnte so interpretiert werden, man könne dort mit einer erstellten Handattrappe mit Handvenenmuster am nächsten Tag einfach so hereinmarschieren.

Fazit:

Die Wahrheit ist, dass es in den allermeisten Fällen nicht ausreicht, die alleinige Identifikation über die Handvenenbiometrie durchzuführen, da diese Technik meist für hochsichere Umgebungen eingesetzt wird. Hier ist neben dem Einsatz der Biometrie („unveränderliches persönliches Merkmal“) auch der Einsatz eines zweiten Faktors, z. B. eines Zutrittsmediums bzw. Ausweises (sogenannter „Besitz“) teilweise mit zusätzlicher Abfrage einer PIN (sogenanntes „Wissen“) erforderlich.

Auch blieben bei der Betrachtung des Hacks weitere Einflussfaktoren wie die Sicherheitszonierung eines zu schützenden Objektes unberücksichtigt. Bei einem Anwendungsfall, bei der Biometrie im Rahmen der Zutrittskontrolle eingesetzt werden soll oder muss, sollte die Sicherheitszonierung im Vorfeld durchdacht werden, sodass weitere zutrittskontrollierte Übergänge und Kontrollmaßnahmen vor dem eigentlichen Betreten der kritischen oder sensiblen Bereiche umgesetzt werden.