'Play-Doh in staat om vingerscanners te misleiden'

Hoewel de toepassing van biometrische identificatie hand over hand toeneemt, is het gebruik ervan vooralsnog allesbehalve veilig, blijkt uit een studie die in opdracht van de Amerikaanse overheid wordt uitgevoerd. Als onderdeel van het onderzoek 'Biometrics: Performance, Security and Societal Impact' werd getest hoe veilig vingerafdrukken zijn, en de resultaten waren niet bepaald hoopgevend: negentig procent van de pogingen om een beveiliging met vervalste vingerafdrukken te omzeilen, slaagde. De identificatieapparatuur bleek niet in staat om namaakvingers van synthetische klei, vingers van lijken of zelfs afbeeldingen van vingerafdrukken van een normale - levende - vinger te onderscheiden.

Op grond van de ervaringen is inmiddels een vingerafdrukscanner ontwikkeld die de 'levendheid' van een vinger vaststelt aan de hand van het transpiratieproces, waarmee het percentage onterecht goedgekeurde vingers naar tien procent daalde. Professor Stephanie Schuckers van Clarkson University denkt echter dat het belangrijkste resultaat van haar onderzoek 'een gevoel van veiligheid' is. Volgens haar is het essentieel dat mensen het gevoel hebben dat hun privacy gewaarborgd is. 'Als dat gevoel er niet is, zullen biometrische systemen nooit doorbreken', denkt ze. Het lijkt echter waarschijnlijk dat de methoden om beveiligingssystemen te omzeilen, de innovatie in de systemen op de voet zullen volgen. Wie bijvoorbeeld dit overzicht van methoden om vingerafdrukken na te maken leest, weet dat zo'n beetje elke mogelijkheid al door James Bond en Judge Dredd aan het grote publiek is gepresenteerd.

Reacties (67)

[HenkEisDS]

Ik heb hier laatst nog over gediscuciëerd met een vriend van me.
Ik voorspelde een stijgende lijn in het aantal roofovervallen waarbij vingers worden afgehakt. Dit omdat vingerscanners niet de lichaamstemperatuur meten van de vinger of zoals in dit artikel staat het detecteren van zweet (wat nog beter minder goed is te vervalsen dan temperatuur).

Bij andere biometrische beveiliging zoals irisscan is het resultaat als je beroofd wordt nog gruwelijker, want dan ben je je oog kwijt. (Lees Deception Point van Dan Brown). Ik zou hier wel graag een controle zien met een lampje om het irisreflex te testen.

[Verwijderd]

Een dood oog komt niet door een iris scan heen gezien de spieren in het oog zullen ontspannen en dus een veel te grote pupil laten zien. Er is dan amper een iris te zien om te scannen.

Een irisscanner werkt vaak met een licht wat in het oog schijnt zodat de pupil zo klein mogelijk wordt en de iris dus zo groot mogelijk. Door de lichtsterkte in het oog constant te houden van scan tot scan kun je op een simpele en betrouwbare manier een iris scan doen.

Het is dus niet mogelijk op een afstand iemand's iris te scannen of een iris te scannen van een dood oog.

Oogtransplantatie (iets wat op het moment onmogelijk is) zou wel een oplossing zijn, maar het is dan veel eenvoudiger de persoon te dwingen je de gegevens te geven.

[djbe]

oogtransplant ^^ dan heb je nog oogreflexen
(Minority Report)

[bassio]

Wij hebben op het werk een handscanner die het aderpatroon van je hand scant. Je moet je hand onder het apparaat houden en je hand iets omhoog drukken tegen een pal. Na de klik wordt de bovenkant van je hand gescand en afhankelijk van het feit of je handscan al een keer geregistreerd is wordt je geaccepteerd of niet.

Dit heeft veel voordelen t.o.v. vingerafdruk b.v..
- Ieder aderpatroon in een hand is uniek
- Zodra je iemands hand afhakt is het bloed weg en heb je geen aderpatroon meer.

Werkt echt perfect.

[Bigbadkip]

Er zijn ook vingerprint scanners die de bloedvaten onder de huid scannen, als kenmerk. Ik neem aan die die niet zo makkelijk zijn te misleiden en ook niet gebruikt zijn in de ze test.

[ZyMoTiC]

Maar goed een combinatie van hartslag, transpiratie, aderafruk en vingerafdruk. Dan nog een pincode erbij een RFID pas en je IMEI nummer gekoppeld aan een GPS coordinaat, Kost wat, maar dan is het wel eenigsinds veilig...

[Verwijderd]

DAT worden lange wachtrijen voor de pinautomaat!

[psyBSD]

Ja, als je dan teveel gezopen hebt kun je niet inloggen, want je aderen zijn verwijdt.

[jj71]

En misschien is het maar goed ook dat je dan niet kunt inloggen...

[StiGMaTa]

Het linkje:
Hitachi houdt laptop aan de pols

[PanMan]

Er zijn ook 'fakers' die de nep vingerafdruk op hun eigen huid plakken, op en dun vliesje plastic. Als je dat op zo'n scanner houdt, detect hij dus je eigen, echte, levende vinger, met die fake afdruk. Daar gaat je beveiliging....

[Mr.Aargh]

Niet de vingerafdruk wordt gebruikt, maar de lokatie van de bloedvaten en adertjes onder de huid.

[pstalman]

en niet te vergeten, welke vinger heb je gebruikt.

[mr_obb]

Ik heb hier laatst een lezing over gehad van Ton van der Putte van Atos Origin. Hij maakt er een sport van om elke vingerafdruk scanner te kraken.

Een van de door hem gebruikte methode is om een negatief van een vingerafdruk te printen op een sheet. Vervolgens deze afdruk etsen op een printplaat. Op die printplaat heb je dan dus een negatieve vingerafdruk. Vervolgens kan je deze vingerafdruk met klei of een ander leuk materiaal opnemen. Je hebt dan weer een positieve afdruk. Met deze afdruk lukt het hem om vrijwel elk systeem voor de gek te houden.

Doen ze iets lastigs met elektrische geleiding, om de transpiratie te meten, doop dan de klei even in een glaasje zout water en weer komt je namaakvinger door het proces.

Ton heeft dit o.a. ook gedaan met een vingerafdruk die eens tijdens een aflevering van Kassa op tv te zien was. Hij heeft via uitzending gemist de vingerafdruk binnengehaald, hier een stempel bij gemaakt en met deze stempel de vingerafdruk van de betreffende man op een "crime scene" achtergelaten.

Wie vindt vingerafdrukken nu nog veilig?

[marcelloh]

Volgens mij kan het best goed werken. Als er tijdens de scan ook voldoende stroom op het voorwerp wordt gezet om een gil te veroorzaken, kan zowel de scan gekoppeld aan voice-recognition een onkraakbaar resultaat hebben. Natuurlijk zal heet aantal vinger-napping overvallen met opname-apparatuur aanzienlijk stijgen. Misschien een 10 vingerige scanner, gekoppeld aan een irisscopie met gebitsverificatie waarbij gelijktijdig een neuspoliepencounter z'n werk doet. Schijnt ook onfeilbaar te zijn!

[Verwijderd]

nou leuk is dat voor degene die de dektop set van microsoft hebben aangeschaft.. nu heb je er totaal niets aan als je echt wil beveiligen.. en de vingerafdruk beveiliging op de laptops geldt hetzelfde...

was sinds vorig jaar weer een leuke foefje om geld te verdienen.

(HET GAAT HIERBIJ OM THUISGEBRUIK UITERAARD)

[Verwijderd]

nou, als er een vingerafdruk in klei nodig is om hem te misleiden, dan heb je voor 99% van de gevallen een goede beveiliging. Vor die afdruk heb je neem ik aan de originele vinger nodig, en die leen ik nooit uit.

@Michel_Habets:
als jij een vingeradfruk van een glas kan omzetten in een vingerafdruk in klei, dus met relief , dan ben je een knappe jongen.

[michel_habets]

dat je de originele nodig hebt is niet waar, denk maar aan een glas dat je vastpakt of de deurklink.

als je beetje creatief bent kan je zo overal een vingerafdruk vandaan halen van de gebruiker

[LuCarD]

Volgens mij zit er ook een vinger afdruk op de scanner

Die kan je wel gebruiken...

[Marc Veen]

Een vingerafdruk omzetten in iets "tastbaars" is niet zo heel moeilijk.
Werd een paar maanden geleden nog gedemonstreerd in een programma als NOVA/Netwerk. Een specialist kon binnen 15 minuten een vingerafdruk op een glas van de verslaggever omzetten in een plastic afdruk waarmee hij zoiets als een PC beveiliging kon omzeilen. Je kon er zelfs een soort stempel van maken waarmee je iemands vingerafdruk op allerlei objecten kon nalaten zonder dat de "rechtmatige eigenaar" van die afdruk het object ook werkelijk had aangeraakt.
De beveiligingspasjes van de medewerkers op Schiphol werken dan ook met een z.g.n. Iris-scan i.p.v. een vingerafdruk.

[miw]

Ook die iris scan is makkelijk te omzeilen met een foto van een iris. Net zo veilig dus als een vingerafdruk.

[michel_habets]

ik weet niet of de scanners van tegenwoordig naar het relief kijken, ik denk eerder puur naar de vorm van de afdruk...

mochten ze wel naar relief kijken dan heb je natuurlijk gelijk

[WiXX]

Tuurlijk kijken ze niet naar relief, anders zou een plaatje van een vinger afdruk niet geaccepteerd worden.

[MAX3400]

@rreiniertc: dat je je vinger nooit uitleent; ligt er maar net aan hoe belangrijk jij bent in de ogen van degenen die misbruik van jouw afdruk willen maken.

In het gunstigste geval geef je toe en mag je je vinger houden. In het meest ongunstige geval...bedenk dat zelf maar.

[bastv]

die set werkt niet in een domein. alleen met lokaal inloggen. heeft niet veel zin om dat te gebruiken in het bedrijfsleven etc.
Leuk voor thuis/hobby

dus ook niet de moeite waard om in het systeem in te breken op die manier

[i-chat]

euh, zijn daar dan nog geen plannen voor, in vista en vista server????? ik zou toch hopen van wel (ook al is het niet perfect, - dat zijn veelgebruikte wachtwoorden als: 'qwerty' of ''p@sw0rd' immers ook niet,

en ik denk dat vingerafdruk beveiligingen, gewoon 'handiger' zijn passwords, echte belangrijke bestanden en privacy gevoelige bestanden zou je dan altijd nog extra kunne beveiligen met passwords. - maar niemand zit er serieus om te springen om, zoveel werk te doen om als een ander in te kunne loggen, als alle belangrijke zaken dan alsnog niet voor hande is...

[Verwijderd]

Wat een brilliant plaatje! Ik moet die usb-stick hebben!

[drZymo]

Check de nieuwslink van vandaag http://gadgets.fosfor.se/...weirdest-usb-drives-ever/

[Verwijderd]

99% is dus te weinig, want 1 op 100 kan het wel schudden als hij geld wilhalen uit de pinautomaat, 10 op de 1000, 100 op de tienduizend, 1000 op de 100000 mensen die dus zonder geld zullen zitten of verkeerd herkent worden etc etc, dus zolang het geen 100% is, kunnen we het beter maar vergeten om in te voeren.

[Saturnus]

Ik rond niet af naar 100% omdat het nooit 100% kan zijn...het zou waarschijnlijk iets van 99,999enz...enz zijn, maar als je op 100% afrond zou het NIET te kraken moeten zijn en dat kan niet.

[imp4ct]

Jups, vind ik ook. Als het om je eigen spullen gaat, je geld, je auto, what ever, dit moet 100% waterdicht zijn vind ik. Geef mij dan toch maar m'n code die ik alleen in mijn hoofd heb en dat zal eeuwig veilig blijven.. of zijn ze ook al aan een geheugen - breinlezen bezig misschien ?

[Verwijderd]

Volgens haar is het essentieel dat mensen het gevoel hebben dat hun privacy gewaarborgd is. 'Als dat gevoel er niet is, zullen biometrische systemen nooit doorbreken', denkt ze

Klopt als een bus... Maar dat geld natuurlijk niet alleen voor biometrische systemen, maar net zo goed voor andere nieuwe security systemen.

[michel_habets]

als ze zo een artikelen naar buiten brengen kan je nog lang w8en op het gevoel van veiligheid

[Rekcor]

Sterker nog, volgens mij is er niets erger dan achteraf te ontdekken dat 'het gevoel hebben dat [de] privacy gewaarborgd is' geheel onterecht was. Wat kun je dan nog wel vertrouwen?

[Verwijderd]

Ik denk dat het gebruik van biometrische systemen ons gewoon door de strot wordt geduwd. Het biometrisch paspoort komt er ook, of we nu voor of tegen zijn.

[michel_habets]

@FatihSolak68

er staat als je de software installeerd een uela waarin bovenaan met grote letters staat dat je dit soort apparatuur niet voor privacy gevoelige middelen moet gebruiken