Biometrie als beveiliging momenteel niet betrouwbaar

Op Heise.de komen we een Engelse vertaling tegen van een artikel uit de Duitse versie van het tijdschrift C'T. Dit artikel test elf verschillende biometrieproducten, zoals een toetsenbord en een muis met een geïntegreerde vingerafdrukscanner tot webcams met bijbehorende software voor gezichtsherkenning. Al in het begin van het onderzoek kan men de hamvraag of biometrische producten veilig genoeg zijn, negatief beantwoorden. Een ongeautoriseerde gebruiker kan namelijk toch toegang worden verleend doordat de producenten bij het bepalen van de foutmarges al de verkeerde keuze hebben gemaakt en door de toepassing van goedkope en kwalitatief slechte sensorchips en/of slecht ontwikkelde software de foutafhandelingsprocedure niet waterdicht is. Wel moet worden toegevoegd dat deze producten geen high-level beveiligingsproducten zijn. De producten zijn bedoeld voor kantoor- en eventueel thuissituaties.

Tijdens het testen is er gebruik gemaakt van drie verschillende procedures om de biometrische producten te omzeilen: bij de eerste is de bedoeling om met behulp van valse gegevens het apparaat te misleiden (gekopieerde vingerafdrukken). De tweede procedure worden de gegevens van het apparaat gebruikt om toegang te verkrijgen (sniffer-procedure). De laatste aanval is gericht op de database waar de herkenningsgegevens staan opgeslagen. Het tijdschrift is na het testen dan ook met de volgende conclusie gekomen:

If the industry does not want to gamble away the trust in biometric technology right from the start, the line of business should not treat the security needs of its customers quite so thoughtlessly. As long as adequate security cannot be guaranteed through biometric solutions the use of these products should always be coupled when possible with the assigning of additional PINs or passwords: For most of the solutions doing so is a standard option. When capacitive fingerprint scanners are being used the sensors' surfaces should be cleaned after every use to prevent possibly present latent images from being reactivated. Moreover, anyone using biometric access protection procedures in a Windows 98 or Windows ME environment, should immediately block all avenues whereby regular enrollment might be bypassed.

Na onder andere Mission Impossible en verschillende James Bond films bekeken te hebben, was Anoniem: 26494 op zoek naar manieren om biometrische apparatuur te omzeilen. Zie hier het eerste resultaat

Reacties (28)

[Pogostokje]

Tsja, het staat er al: hier is geen gebruik gemaakt van high-end (lees: industrieel) apparatuur.
De vraag is of je voor thuis gebruik wel echt een super-veilige oplossing nodig hebt. Voor vliegvelden zal je dat wel nodig hebben en die maken dan niet gebruik dan dit hui-tuin-en-keuken spul.
Dit onderscheid zie je zo vaak in de techniek: goed gereedschap is nu eenmaal duur en goedkope varianten daarvan voor thuisgebruik werken minder.

De topic is wel een beetje misleidend, het gaat hier niet om biometrie in het algemeen maar om een klein marktsegmentje daarvan.

[Anoniem: 1159]

Beste,

Zelf ben ik werkzaam in de biometrie, en vind deze titel zeer storend. Het nivo van de geteste hardware staat in geen vergelijk met de hardware die op industrieel nivo gebruikt wordt. Deze is nl. zeer betrouwbaar hedentendage.

[AlterEgo]

D.A.R.R.Y.L.,

heb jij, als deskundige, links naar artikelen die wel een reeel beeld geven van de betrouwbaarheid en beschikbaarheid van biometrie

Dan kan ik mijn beeld zelf bepalen.

[Lord-M]

Het volledige artikel is ook (in het Nederlands) te lezen in de C'T van afgelopen maand.

[AleXtc]

Idd, niet veilig.

Maak een kopie van het gezicht (contouren) door middel van een modepop en wat klei en je bent klaar, pruikie niet te vergeten.

Vingeafdrukken? Duw vinger in de klei, laat het hard worden (kan natuurlijk ook met ander kopieermateriaal) en bespuit het met siliconen. Ook laten harden en plak het op je vingers.

Genoeg truken om dit te omzeilen..........of heb ik teveel films gezien ??

[Anoniem: 52502]

en dan.... heb je je eigen vingerafdruk gecloned!

kun je daarmee dan iemand anders zijn compu binnen ofzo? dacht het niet!

[Anoniem: 47550]

Dat klei gebeuren neen maar er was laatst een of andere gast die van een glas vingerafdrukken af haalde met speciale lijm of zo (vingerafdrukken lijm) maakt er een foto van...verhoog het contrast in photshop...printe het uit op een doorzichtige sheet.
En gebruikte deze sheet op een light gevoelige printplaat...fotoprint...deze heeft die toen ge-etst...en toen hield ie een perfecte vingerafdruk mal over...daarna heeft hij van gelatine een nep-vinger gemaakt en deze op de PCB-mall gezet en 3/4 van de vinger afdruk automaten lieten hem door.
Behalve de automaten die ook hartslag meten...want ja dat heeft een snoep(gelatine)-vinger niet

[Skull_One]

'vingerafdrukken lijm' is eigenlijk gewoon cyanoacrylaat lijm, oftewel superlijm...
Wordt door de mensen van de misdaadbestrijding veel gebruikt... mag vast niet van de arbo.

[Rembert]

En wat als je die nepvinger als soort van condoom bouwt en die gewoon over je vinger aantrekt? Er zit dan wel een hartslag in.

[spook]

Helaas staat er meestal niet bij welke apperatuur getest is.
Maar een klei copy maken werkt lang niet altijd Fujitsu-Siemens maakt bv gebruik van vinger print scanners die ook temeratuur en hardslag meten.

Met deze manier werkt een klei mal niet maar ook een silecone laag tussen je vinger en de scanner niet.

Ik moet zeggen dat ik persoonlijk alleen een vinger scan niet veilig genoeg vind een combinatie met een sartcard of wachtwoord of zo lijkt mij een stuk beter.

[Janoz]

Sterker nog, het werkt niet eens waneer je de vinger van een geautoriseerd persoon afhakt en op de scanner drukt omdat er geen bloedsomloop meer is .

[Anoniem: 38519]

bah, soldeerbout erin en water doorpompen, kan zo moeilijk niet zijn

[Anoniem: 56429]

Vingerafdruksensoren zijn belachelijk makkelijk voor de gek te houden. Met enkele tientjes aan goed verkrijgbaar materiaal en wat normale keuken/hobby apparatuur is het een Japanner gelukt om 11 industriele sensoren in 80% van de gevallen voor de gek te houden. Zie onderstaande link voor een artikel van Bruce Schneider hierover:

http://www.counterpane.com/crypto-gram-0205.html#5

Check ook eens de link naar de slides, het is vrij onthutsend om te zien hoe simpel het is:

http://www.itu.int/itudoc/itu-t/workshop/security/present/s5p4.pdf

[StGermain]

Het is wel interessant wat er op die slides staat maar toch ben ik niet echt geneigd om iets als een betrouwbare bron te nemen wanneer op de eerste pagina van een presentatie het logo van de star-trek federatie staat

[Vorlon]

Hehe, ja nou je het zegt Het is een presentatie van een eindscriptie door een student volgens mij. Volgens mij is dat in powerpoint gemaakt met een startrek layout als template Was misschien niet zo slim....

Voor de rest is het gepresenteerd op een workshop van de ITU en de pdf staat dus ook op een server van de ITU. En dat is toch wel een behoorlijk degelijke club. Lijkt me wel redelijk om dan toch aan te nemen dat het wel degelijk bruikbaar is.

[Anoniem: 56429]

Was mij nog niet opgevallen, maar ik nu snap ik ook ineens waarom die borders mij zo bekend voorkomen: dat is gewoon een soort van L-Cars interface

Blijkbaar is er iemand een Star Trek fan... Niet echt professioneel om dat dan in presentaties voor je werk te tonen, maar hoeft niets af te doen aan de betrouwbaarheid van de inhoud.

[freaky]

Jammer dat d'r geen high-end producten tussen staan. Vraag me echt af of ze allemaal zo beroerd werken.

[Standeman]

High-end producten bestaan daadwerkelijk wel, ze zijn alleen niet hier getest. Dit waarschijnlijk omdat ze errug duur zijn en / of omdat het vrij moeilijk is om er aan te komen. Zeer waarschijnlijk een combinatie van beide.

Er zijn bijvoorbeeld ook apparaten die zowel een vinger als een voice print nodig hebben om toegang te geven. Die dingen zijn echt niet makkelijk te omzeilen.

[Anoniem: 36897]

In de Computer en techniek van afgelopen maand ned versie stond er een artikel over stand van bio beveiliging, uit onderzoeken blijkt dat bio beveiling helemaal niet zo perfect is als wordt voorgeschoteld door de industrie, er zijn namelijk een hoop factoren van invloed alleen al het weer kan een hoop roet in het eten gooien. B.V het is erg warm en vochtig en je wordt opeens niet mer herkend

[Anoniem: 43468]

Biometrie an sich kan dan misschien niet alles bereiken, maar gecombineerd met een populatie-verkleinend middel (bijvoorbeeld een chip die je bij je moet dragen) zien veel overheden het best zitten om biometrie te gebruiken ipv de huidige tijdrovende paspoort controle.

Ik vind de titel nogal suggestief. Het lijkt me verstandiger om te vermelden dat goede biometrie nog niet te betalen is voor thuisgebruik of iets dergelijks.

[I-1]

Ik wil niet echt lullig doen maar deze test slaat echt helemaal nergens op ...
ik zou even kijken naar www.biolinkusa.com
Dat is een van de produkten die ze niet getest hebben ...

[Anoniem: 16876]

wat kost een beetje goede apparatuur, ben namelijk op stage en ben daar met een klein uren registratie projectje bezig, heb drie offertes gekregen van systemen, eentje (veruit de duurste) bied voor € 2500 een biometrische "tijdklok" Mijn gevoel was al dat dit bagger zou zijn, maar is dit ook zo volgens jullie