Authentifizierung per Fingerabdruck mit Linux - Keine gute Idee!
Biometrie zur Authentifizierung greift immer mehr um sich. Smartphones sind heutzutage obligatorisch mit Fingerabdruck oder Gesichtserkennung entsperrbar. Viele Notebooks, vor allem im Business-Segment, bieten ebenfalls Fingerabdruckleser. Anders als bei MacBooks halte ich deren Verwendung für keine gute Idee.
Biometrische Authentifizierungsverfahren sind eine komplizierte Abwägungsgeschichte. Grundsätzlich sind sie nicht so sicher wie viele Anwender glauben (siehe auch: (Un-)Sicherheit per Fingerabdruck & Biometrische Daten zur Authentifizierung sind unsicher!). Zudem halte ich den Gewöhnungseffekt für sehr gefährlich, da die technischen Geräte es für uns selbstverständlich machen, biometrische Daten zu hinterlegen (siehe: Kommentar: Die Macht der Gewohnheit - Biometrische Daten). Andererseits nutzten vor dem Aufkommen solcher Verfahren viel zu wenige Anwender sichere PINs oder Passwörter für ihre mobilen Geräte. Entweder schützte man diese gar nicht oder mit simplen Wischmustern. Fingerabdruck oder Gesichtserkennung bieten hier durchaus einen Mehrwert.
Trotzdem sollte man sich der grundsätzlichen Gefahr immer bewusstsein. Ein kompromittierter Dienst und ein gehacktes Passwort sind ärgerlich, aber dann erzeugt mal halt ein neues Kennwort (dank Passwortverwaltung hat man schließlich individuelle Kennwörter pro Dienst). Gerät ein Fingerabdruck in die falschen Hände, ist diese Authentifizierungsmöglichkeit verbrannt. Schließlich kann man sich schlecht einen neuen Finger verschaffen. Die Individualität und Unveränderbarkeit biometrischer Merkmale wird hier zum Nachteil.
Den oben beschriebenen Mehrwert biometrischer Merkmale gegenüber gar keiner oder einer schlechten Sicherung gibt es aber nur, wenn das Gerät sicher ist. Weder Android noch die Apple-Systeme iOS / macOS speichern den Abdruck einfach als Bild auf der Festplatte. Biometrische Merkmale werden in einem besonders geschützten Bereich verarbeitet. Bei iOS wird dies als Secure Enclave bezeichnet, bei Android erfolgt die Verarbeitung im TEE. Keine App erhält durch die ausgefeilten Berechtigungssysteme direkten Zugriff auf den Fingerabdruck. Ein weiterer Grundsatz ist, keine Bilder der Fingerabdrücke zu speichern, sondern Hash-Werte derselben. Diese Maßnahmen hat Apple ebenfalls in seine MacBooks mit dem T2 Co-Prozessor übernommen.
Alle diese Sicherheitsvorkehrungen gibt es für Linux auf dem Desktop nicht. Gängige Software wie fprint oder fingerprint-gui speichern den Fingerabdruck als Bild im System, z. B. unterhalb von /etc. Wenn man nun noch bedenkt, dass das Linux-Berechtigungskonzept für Applikationen ein wenig in die Jahre gekommen ist, viele Distributionen Benutzern via sudo Systemverwalterrechte einräumen und die Kennwörter vieler Benutzeraccounts nicht gerade den Ansprüchen an sichere Passwörter genügen, sollte die ganze Misere klar sein.
Kurzum: Finger weg von biometrischen Verfahren unter Linux (bis hier ganz grundlegend was geändert wird).
Die ganze Sache ist übrigens ein schönes Beispiel für die falsche Sicherheit, die Open Source manchmal verschafft. Linux gilt als sicheres System, Open Source als vertrauenswürdig. Google und Apple genießen diese Vorschusslorbeeren nicht und mussten deshalb bei der Einführung biometrischer Verfahren viel Kritik einstecken und die technischen Sicherheitsmaßnahmen genau darlegen. Bei Linux guckt sich das keiner so genau an, denn es ist ja schließlich ein sicheres und vertrauenswürdiges System.
Bilder:
Einleitungsbild und Beitragsbild von von mohamed Hassan via pixabay
Tags: Sicherheit, Linux, Fingerabdruck, Biometrisch
Ergänzungen zum Artikel
Weitere Informationen können den Nutzungsbedingungen entnommen werden.
sehr schöner Artikel, ich konnte wieder was lernen, vielen Dank! In der letzten Woche habe ich einen YubiKey erworben, in der Hoffnung damit etwas mehr Sicherheit bei der Authentifizierung zu verschiedenen Diensten und Systemen zu erhalten. Da ich kein IT-Experte bin, habe ich so einige Probleme beim Verständnis, also wie arbeitet das System eigentlich - der Hersteller bietet zwar viele Informationen, aber wie gesagt als IT-Leihe, fühlt man sich da erschlagen. Ich muss zugeben, ich habe mich da nicht ausreichend im Vorfeld informiert. Aktuell nutze ich eine Linux Distribution und man muss verschiedenen Dinge installieren und dann vertrauen, das alles seine Ordnung hat. Um Linux zu entsperren nutze ich den Key jetzt erstmal noch nicht, ich habe Sorge, das ich durch falsche Konfiguration, das System komplett sperre. Jetzt nutze ich den Key nur für ein paar Dienste um Erfahrungen zu sammeln. Auf der einen Seite verspricht ein solches System mehr Sicherheit und einen bequemen Umgang bei der Authentifizierung, aber auf der anderen Seite muss man vertrauen das die Hardware richtigt arbeitet, die Software Komponenten unter den verschiedenen Betriebssystemen keine Lücken hat usw. Vielleicht ist ein Passwort Manager mit dem man über lange Zeit Erfahrungen gesammelt hat dann doch die besserer Lösung.
Viele Grüße
Peter
Als kleiner Tipp für dich. Man kann in LUKS mehrere Schlüssel hinterlegen. So könntest du zusätzlich zum YubiKey-Verfahren noch einen Wiederherstellungsschlüssel hinterlegen.
Ich halte den Fingerabdruck auch bei Apple für ungeeignet sensible Daten zu sichern. Schließlich hinterlassen wir ständig überall Fingerabdrücke (= Sicherheitsmerkmal), im Zweifelsfall direkt auf dem Smartphone oder Notebook. Das kann man schwer durch technische Maßnahmen umgehen.
Mir geht es dezidiert nicht darum, ob biometrische Daten zur Absicherung taugen (darüber kann man wirklich trefflich streiten), sondern wie diese Daten geschützt werden.
Ob der Abdruck auf dem Wasserglas schlechter ist, wäre zu überprüfen. "Wertvoll" wäre mein Fingerabdruck in einer Datenbank nur, wenn eine Authentifizierung per Fingerabdruck im Web eingerichtet würde. An solchen Diensten werde ich aber nicht teilnehmen, u.a. wegen des "Wasserglasproblems".
Ein Passwort über das ich die Kontrolle verliere, ändere ich und dann ist die Information schon wertlos für Angreifer.
Zweitens: Deine Hoffnung in ehren, aber der Trend geht in eine andere Richtung.
So und so: Wenn Apple oder Google mit diesen "Sicherheitsvorkehrungen" Fingerabdrücke speichern würden, wäre das Geschrei riesig.
Abonnieren
Report absenden
Meine Ergänzungen