Gesichtserkennung ist einfach zu spielen
Bei einer Sicherheitsveranstaltung wurde bewiesen, dass die bei manchen Notebooks verwendeten Gesichtserkennungstechnologien sehr leicht getäuscht und umgangen werden können.
Kürzlich haben mehrere Notebook-Hersteller Laptops auf den Markt gebracht, die Gesichtserkennungsfunktionen verwenden, um die Anmeldung beim Betriebssystem und die Authentifizierung zu erleichtern. Diese Lösungen wurden entwickelt, um den Anmeldevorgang komfortabler zu gestalten, sodass der Benutzer nicht seinen Namen und sein Kennwort eingeben muss, um Windows zu verwenden. Dazu muss der Notebook-Besitzer lediglich in die integrierte Kamera blicken, die ein Foto aufnimmt und mit einem zuvor gespeicherten Foto vergleicht. Bei Übereinstimmung wird der Benutzer automatisch authentifiziert. Das heißt, diese Systeme sind wirklich bequem und schnell zu bedienen. Aber wie viel Sicherheit bieten sie? Nun, eine der interessanten Präsentationen auf der Black-Hat-Konferenz ist, dass die Situation nicht sehr rosig ist.
Nguyen Minh Duc, Forscher am Bkis (Bach Khoa Internetwork Security Center), hielt eine spezielle Präsentation, um auf die Schwächen von in Laptops integrierten Gesichtserkennungslösungen aufmerksam zu machen. Während der Präsentation testete der Experte das Veriface III-System von Lenovo, die ASUS Smart Logon-Software und die Toshiba-Gesichtserkennungstechnologie. Minh Duc wählte einen sehr einfachen Weg, um Gesichtserkennungslösungen zu durchbrechen, indem er gedruckte Bilder vor Kameras platzierte, die nicht zwischen echten und digitalisierten Gesichtern unterscheiden konnten, sodass sich Gelegenheitshacker problemlos bei Windows anmelden konnten. Darüber hinaus könnte ein System sogar durch Schwarz-Weiß-Fotografien getäuscht werden. Bei der Toshiba-Lösung musste ein kleiner Trick angewendet werden, da sie die Bewegung des Gesichts während der Authentifizierung überwacht. Um die Technik zu umgehen, musste Minh Duc jedoch beim Check-in nur ab und zu das Foto in der Hand bewegen.
Die Schwachstelle der in Laptops verbauten Gesichtserkennungssysteme liegt laut dem Experten in den Technologien dahinter und ist auf die Schwäche von Algorithmen zurückzuführen, die ein echtes Gesicht nicht von einem Foto unterscheiden können. Minh Duc behauptete, er habe die Hersteller bereits über das Problem informiert und sie ermutigt, die Verwendung der Gesichtserkennung für die sichere Anmeldung zu überdenken, bis die Fehler behoben werden könnten.
Ein Lenovo-Sprecher bestritt die Entdeckung des Minh Duc nicht. Benutzer sollten sich für eine bequeme und schnelle Gesichtserkennung entscheiden oder lieber bei Passwörtern bleiben, die ein höheres Maß an Sicherheit bieten – komplex und lang – und Fingerabdruckleser verwenden. Er fügte hinzu, dass VeriFace die Augenbewegungen überwacht, um ein echtes Gesicht von einem Foto unterscheiden zu können.
