Sicherheit von Fingerprint-Lösungen

[DeChris]

Hallo zusammen,

mich würde einmal Eure Meinung interessieren, wenn es um die Sicherheit von Fingerprint-Lösungen geht - speziell Funk-basierte Systeme.
Derzeit haben wir ein Angebot für unsere Haustüre mit Motorschloss und "ENTRAsys FD". Diese Lösung wurde uns vom Verkäufer zunächst als kabelgebundene Fingerprint-Lösung verkauft - was grundsätzlich auch stimmt, da der Fingerpint via Kabel mit Strom betrieben wird. Allerdings erfolgt die Übermittlung von Daten gemäß Datenblatt über 868 MHZ.

Der Verkäufer argumentierte dann mit der besseren Sicherheit des Funk-Systems gegenüber einer kabelgebundenen Lösung, wie es im Übrigen auch der Hersteller des Systems auf seiner Homepage macht.

Zitat "
drahtgebundenes System kann über das Kurzschlussverfahren geöffnet werden"

Bei einem Garagentor hätte ich keine Schmerzen auf Funk zu setzen, aber bei der Eingangstüre?
Schließlich galten auch die funk-Schlüssel von Autos jahrelang als sicher, oder?

Hat jemand Erfahrungen mit kabelbasierten Fingerprint-Lösungen? Bisher kenne ich ansonsten nur "ekey"

Viele Grüße
C

[HundKatzeMaus]

Grundsätzlich sind alle biometrisch arbeitenden Systeme unsicher nach aktuellem Stand. Natürlich immer eine Frage wie viel Aufwand der "Einbrecher" treiben will. Ich kann dazu sehr diesen Vortrag hier beim CC Congress empfehlen. https://youtu.be/YE1EoxKV53w?t=149

Zitat "
drahtgebundenes System kann über das Kurzschlussverfahren geöffnet werden"

Das sollen die mal konkretisieren... meinen die damit, dass die Drähte vom Türöffner direkt nach draußen unter die Klingelplatte gehen? Wer das macht dem ist nicht zu helfen.

Funk muss nicht unsicherer sein als Kabel aber das ist eine Frage wie lange die Verschlüsselung, die verwendet jeweils verwendet wird, noch nicht gebrochen ist oder die Implementierung in genau diesem Gerät. Wie oft machste ein Update bei deinem Türschloss?

Was willst eigentlich erreichen? Geht es darum, ins Haus zu kommen wenn man den Schlüssel vergessen hat?

[DeChris]

Ja, ich kenne bereits die Probleme die es gibt, wie es im Video gezeigt wurde.
Das habe ich natürlich bei allen Dingen, die über Biometrie laufen (und auf den Faktor "Besitz" abzielen)
Andere Varianten wie Beispielsweise eine PIN-Eingabe die nur über den Faktor "Wissen" geht möchte ich nicht haben.

Mir ist natürlich auch klar, dass es zwischen Komfort und Sicherheit ein gewisses Spannungsfeld gibt.

Solange sich ein Einbrecher aber die Arbeit machen müsste meinen Fingerabdruck von einem Glas oder einem Bild zu kopieren, hätte ich damit kein Problem, da ich den Aufwand meinen physischen Schlüssel am Schlüsselbund zu kopieren als ähnlich hoch erachten würde...
Funk bietet Komfort, aber eben !aus meiner Sicht! auch das Risiko, dass die bösen Buben in naher Zukunft durch die Siedlung fahren und binnen Sekunden die Türen aufmacht. Und nein: Ich trage gerade keinen Alu-Hut während ich das tippe.

Das mit den Drähten habe ich mir übrigens auch gedacht. Die Drähte zu überbrücken und die Tür zu damit zu öffnen geht doch hoffentlich nur bei McGyver

[DeChris]

Was willst eigentlich erreichen? Geht es darum, ins Haus zu kommen wenn man den Schlüssel vergessen hat?

Würde ganz gerne meinen Haustürschlüssel auch mal drin liegen lassen können. Durch Kombination von Fingerprint mit E-Motorschloss wäre das auch versicherungstechnisch kein Problem

[Stef73]

Also ein drahtgebundenes System als unsicher zu bezeichnen, weil man es "kurzschliessen" kann und damit das Motorschloss oder die Falle betätigt ist schon etwas Chuzpe. Wer diese "Drähte" außen liegen hat, kann die Tür auch offen lassen. Aber das ist ja nicht der Normalfall.
Sinnvollerweise sollte man die Sicherheit gegen Fälschung (also false positive) vergleichen. Das muss man nun leider mühsam bei den Herstellern zusammensuchen, sofern es da überhaupt Zahlen gibt. Frag doch mal den Verkäufer, wie so die false-positive-Rate ist. :-)

Gruß Stef

[DeChris]

Also ein drahtgebundenes System als unsicher zu bezeichnen, weil man es "kurzschliessen" kann und damit das Motorschloss oder die Falle betätigt ist schon etwas Chuzpe. Wer diese "Drähte" außen liegen hat, kann die Tür auch offen lassen. Aber das ist ja nicht der Normalfall.
Sinnvollerweise sollte man die Sicherheit gegen Fälschung (also false positive) vergleichen. Das muss man nun leider mühsam bei den Herstellern zusammensuchen, sofern es da überhaupt Zahlen gibt. Frag doch mal den Verkäufer, wie so die false-positive-Rate ist. :-)

Gruß Stef

Das hat der gute Verkäufer sich tatsächlich nicht selbst ausgedacht, sondern den Hersteller zitiert. Musste über die Aussage auch schmunzeln.

Sicherheit durch verschlüsseltes Funksystem
Das Zutrittssystem bietet maximale Sicherheit vor Hackern durch 128-bit-AES-Verschlüsselung mit Rollingcode. Eine Abwärtskompatibilität der Sender zum Funksystem Somloq Rollingcode ist immer gegeben. Es ist kein Kurzschließen oder Überbrücken wie bei drahtgebundenen Systemen möglich.
https://www.sommer.eu/de/entrasys-plus.html

[Cybso]

Den Fingerabdruck hinterlässt man ständig und überall... mir geht nicht in den Kopf, wieso sich von allen möglichen biometrischen Merkmalen ausgerechnet dieser als Zugangssystem etablieren konnte.

[Gardasee24]

Ich bin da immer recht spektisch. Selbst wenn WIR selber ggf kein Tor finden. Da gibts in meinen Augen immer eines irgendwo und dann?

LG
Agnes
von Gardasee24

[BadSmiley]

Laut ekey eigener Aussage hat der ccc seit dem Erscheinen der FS2.0 Muster der Fingerscanner bekommen und bis heute wurde nicht veröffentlicht, daß sie es geknackt hätten.

[Cybso]

Bei solchen Aussagen bin ich immer etwas skeptisch... der CCC und die Hacker aus dessen Umfeld sind weder Stiftung Warentest noch ehrenamtlichen Security-Consultants. Die beschäftigen sich in ihrer Freizeit mit dem Kram, und wenn mir ein Hersteller ein Produkt zuschicken würde und darauf wartet, dass ich - am besten noch unentgeldlich - meine Meinung dazu äußere, würde ich keinen Finger krum machen.

[gbglace]

Zugangssystem etablieren konnte

Bequem, einfach ähnlich wie Knopf drücken >> Tür auf. Und angeblich ja so sicher.

[DeChris]

JEDES System könnte mit ausreichend Aufwand geknackt werden. Damit kann ich tatsächlich leben.

Ich sehe aber die Gefahr, dass in Zukunft möglicherweise das Funksignal manipuliert werden könnte und Einbrecher ziemlich einfach diese Art von Türen öffnen könnte. Daher hätte ich gerne einen Fingerprint mit Kabellösung.

- Hat hier jemand Erfahrungen mit bestimmten Systemen gemacht die er empfehlen könnte?

[Wormser]

Bei Fingerprint fängt es doch schon damit an, dass überall auf dem Weg zur Tür oder an der Tür, eine schöne Edelstahloberfläche zu finden ist. Sei es Geländer oder Griffleiste oder sonst etwas. Daran findet man genügend verwertbare Abdrücke. Wenn ein Kriminelles Individuum, welches durch die Eingangstür kommen will, solch einen „Schlüssel unter dem Stein“ findet, hat auch das Technische Know How um diesen „Schlüssel unter dem Stein“ zu verwenden.

Passive RFID Karten/Chips/Coins sind mit Abstand noch sicherer wie Fingerprint.

Der CCC hat ja schon bei Apple/Samsung und co den Fingerprint überlistet. Was es an der Haustür nicht viel schwieriger macht. Dazu noch eine Funkstrecke ist echt schwach selbst wenn verschlüsselt. 3-4mal gescannt und schon kann man einen Angriff starten.

[mistaburns]

Derartige Pauschalaussagen in Punkto Sicherheit kann ich ehrlich gesagt nicht lesen ohne was hier reinzupinnen. Generell sollte jeder Artikel, jede Vorführung und jede Art der "Überwindung" ganz genau verfolgt werden um überhaupt eine Aussage zu deren Realitätsnähe treffen zu können. Machen wir mal ein Beispiel. Mit der Veröffentlichung der ersten elektronische Gesundheitsakten - im konkreten Fall nenne ich hier mal "vivy" - war ich dabei als durch verschiedene Gruppen veröffentlicht wurde, dass diese "gehackt" wurde. Bevor überhaupt ein normal denkender Mensch überprüft hatte was die betroffenen "Experten" und Gruppen eigentlich gemacht haben, kam es zu einem enormen medialen Aufschrei und das Thema wurde quer durch die Bank verteilt und ausgeschlachtet. Als ich mir das erste Mal die "Angriffe" anschaute war bereits klar das dies weder praktisch noch theoretisch möglich wäre mit einem normalen System. Ein paar Honks hatten sich einen Heilberufsausweis geholt und mit diesem dann Manipulationen durchgeführt und so Zugriffe getätigt die normal gar nicht möglich gewesen wären - das hat aber keinen mehr interessiert. Die Attacke als solches war in etwa so, als ob einer zuerst in das Haus einbricht, dann am Ekey Steuergerät den Programmiermodus öffnet, dann rausklettert und sagt "hey ich bin mit irgendeinem Token reingekommen".

Was ich sagen will ist, dass die allermeisten Angriffe auf solchen Konferenzen auf nicht nachvollziehbaren Systemen gezeigt werden. Immer mit dem Hintergrund das man ja keine Wegbereiter für Nachahmer sein möchte, aber in vielen Fällen auch weil es mit einem normalen Zugang gar nicht geht.

Wer sich mit der Kryptologie im Funk - und Netzwerkverkehr auskennt, dann wieder klassisch mit entsprechender Rechenpower bei mir vor der Haustür sitzt und dann versucht xxxx Byte große Schlüssel zu hacken ... jaaaa, das mag irgendwann gehen. Da mache ich mir aber sicherlich mehr Gedanken über den Hirngeschädigten der mit einer Flex meine Kellertür aufflext oder mit dem Brecheisen Kellerfenster aufbricht. Man sollte bei alle den Diskussionen nicht den Bezug zur Realität verlieren. Es gibt nichts was (auf Dauer) immer sicher bleibt, geht es nur um eine Reduzierung der Chance und eine Ausweitung der dafür notwendigen Zeit. Dazu kommt, dass jeder der ggf. auch hier dann sagt "kann gehackt werden" oder "ist leicht zu manipulieren" zunächst mal fachkundig und nicht abstrakt sagen soll wie konkret das geht. Dann wird es vermutlich hier gar keinen mehr geben der sich so äußert.

Wer mal genau hinsieht wird feststellen das Firmen aus der Industrie ebenso wie Banken mit Abermillionen von Werten auf derartige Sicherungsmechanismen setzen. Aber Otto-Normal-Sepp für seine private Haustür hat Angst ????

[vento66]

So ist es, ein Kastenschloss galt schließlich auch für ein paar 100 Jahre als sicher. Das knacken von Türschlössern ist sicher einfacher, als das hacken des Fingerprints. Auch kann ein Türschloss ohne erkennbare Beschädigungen geöffnet werden.