Windows Touch-ID: Hersteller-Integration mit massiven Schwachstellen

Apple hat zwar kein Monopol auf das Entsperren von Geräten mit dem Fingerabdruck, wie es scheint, leben Apple-Nutzer damit aber ein ganzes Stück sicherer, als dies unter Windows der Fall ist. Sicherheitsforscher haben auf Notebooks von Lenovo und Dell sowie auf einem Microsoft Surface Pro eklatante Schwachstellen im Zusammenhang mit den darin verbauten Fingerabdrucksensoren nachgewiesen.

Die Sicherheitsforscher von Blackwing Intelligence haben die Untersuchung im Auftrag von Microsofts Sicherheitsteam MORSE durchgeführt und dabei gleich mehrere Schwachstellen aufgedeckt, mit deren Hilfe sie die „Windows Hello“-Anmeldung auf allen drei Geräten umgehen konnten.

Bei den untersuchten Geräten handelt es sich um Notebooks vom Typ Dell Inspiron 15 und Lenovo ThinkPad T14 sowie die Microsoft-Tastatur „Surface Pro Type Cover“, deren Fingerabdruck-Technologie laut Microsoft nicht nur für mehr Komfort, sondern insbesondere auch für ein Plus an Sicherheit sorgen soll.

System gut – Umsetzung schlecht

Wenn man den getesteten Touch-ID-Systemen etwas zugute halten will, dann muss man die Tatsache erwähnen, dass sich der Hack nicht mal eben aus dem Ärmel schütteln ließ, sondern drei Monate Forschungsarbeit in Anspruch genommen hat. Allerdings hilft dies angesichts des abschließenden Erfolgs des „Angriffs“ nichts, denn die Arbeit resultierte den Sicherheitsforschern zufolge in drei absolut zuverlässigen Wegen, um die Authentifizierung mit Windows Hello zu umgehen.

Die Schwachstellen seien allerdings nicht der Software-Implementierung von Microsoft, sondern vielmehr der Umsetzung durch die Gerätehersteller geschuldet. Microsoft selbst habe bei der Entwicklung des zugrundeliegenden Secure Device Connection Protocol (SDCP) sehr gute Arbeit geleistet.

Die gute Nachricht für Windows-Nutzer ist dementsprechend, dass derartige Untersuchungen dazu führen sollten, dass die Implementierung der softwareseitig vorgesehenen Sicherheitsfunktionen durch Drittanbieter zukünftig ernster genommen und dann hoffentlich auch die Sicherheit bietet, die damit assoziiert wird.