Die Handvenenerkennung gilt als eines der sichersten Methoden biometrischer Zutrittskontrollsysteme, die von Hackern nur mit sehr viel Aufwand zu überwinden ist.
Foto: PCS Systemtechnik GmbH, München

Biometrie

Wie sicher ist die Handvenenerkennung?

Die als sicher geltende Handvenenerkennung wurde von Hackern geknackt. Was bedeutet das für die Sicherheit biometrischer Zutrittskontrollsysteme allgemein?

Biometrische Erkennungsmethoden wie die Handvenenerkennung werden vielerorts als vergleichsweise sicheres Verfahren zur Identifikation insbesondere bei Zutrittskontrollsystemen genutzt. Die Einzigartigkeit individueller Merkmale bei Finger-, Iris- oder Venenerkennung bieten gegenüber nicht-biometrischen Lösungen viele Vorteile. Gleichzeitig beweisen jüngere „Hacks“: Auch solche Systeme sind nicht unüberwindbar. Die Frage ist hierbei, welcher Aufwand ist unter welchen Bedingungen für das „Knacken“ einer solchen Lösung notwendig?

Hacker überwinden mit Wachsattrappen als sicher geltendes biometrisches Zutrittskontrollsystem

Als Ende letzten Jahres zwei Hacker vom Chaos Computer Club öffentlich demonstrierten, wie sie die Erkennung von Finger- und Handvenen als biometrisches Identifizierungssystem überwinden konnten, war die mediale Aufmerksamkeit groß. Das bislang als äußerst sicher geltende Verfahren schien durch vergleichsweise einfache Mittel zu überlisten zu sein und Einrichtungen, wie etwa der BND, die das System angeblich nutzen, galten durch die Berichterstattung zumindest gefühlt als doch nicht mehr ganz so sicher.

Konkret geht es um das berührungslose System Palmsecure von Fujitsu, das ein Handvenenmusterabbild einer Person mittels Nahinfrarotlicht erstellt und dieses zwecks Identifizierung mit einem zuvor registrierten Muster abgleicht. Das sauerstoffarme Hämoglobin in den Handvenen absorbiert das Nahinfrarotlicht, wodurch sich die Reflexion verringert und die Venen als schwarzes Muster erscheinen. Im Gegensatz zur Iris- oder Fingerabdruckerkennung liegt das zu prüfende biometrische Merkmal im Innern des Körpers und ist damit vergleichsweise fälschungssicher. Die beiden Hacker konnten dennoch das System überlisten, indem sie mit einer umgebauten Spiegelreflexkamera mit entferntem Filter Aufnahmen von Händen und Fingern erstellten, diese ausdruckten, mit Wachs überzogen und damit eine Attrappe schufen. Damit ein identifizierbares Venenmuster verfügbar war, mussten sie allerdings mehrere hundert Fotos einer Hand schießen. Insgesamt wurde der Aufwand für die Überwindung des als sicher geltenden Systems vom CCC als vergleichsweise gering angesehen.

Vermeintlich geringer Aufwand zur Überwindung der Handvenenerkennung erweist sich als Trugschluss

Auch da das Palmsecure-System von Fujitsu damit eindeutig medienwirksam überlistet werden konnte, stellt sich die Frage, wie alltagstauglich sowohl das Verfahren zur Überwindung des Systems als auch die Anwendung unter realen Bedingungen sind. Denn die Hacker nutzten für ihre Demonstration eine veraltete Demosoftware von Fujitsu. „Eine solche Anwendung soll nur die drei grundlegenden biometrischen Funktionalitäten (Registrierung, Verifizierung, Identifikation) demonstrieren, die nur ein Bestandteil der kompletten Palmsecure-Technologie sind.

Die für die Vorführung verwendete Version ist daher nicht vergleichbar mit einem vollständigen Produktivsystem, bei dem eine zentrale Registrierung unter kontrollierter Aufsicht durchgeführt wird und würde so nie zum live-Einsatz verwendet werden“, erläutert Thomas Bengs, Head of Biometrics CE und EMEIA bei der Fujitsu Technology Solutions GmbH.

Hacker nutzten veraltete Demoversion der Handvenenerkennung von Fujitsu

Zusätzlich wird bei jeder Lösung, die von verschiedenen Lösungsanbietern auf Basis von Palmsecure entwickelt wurde, der Abgleich der biometrischen Vorlagen mit einem definierten Sicherheitsgrad bewertet. Laut Angabe des Unternehmens Biosec, das die Palmsecure-Technologie in seinen Zutrittslösungen nutzt, bestätigen die Systeme die Authentifizierung nur dann, wenn das Abgleichverfahren zu einem Höchstmaß an Übereinstimmung führt, andernfalls wird der Versuch abgelehnt. „Die gezeigte künstliche Hand erzeugt einen sehr niedrigen Wert der Übereinstimmung, ein Wert der unterhalb des akzeptablen und empfohlenen Sicherheitsniveaus liegt.

Selbst dabei wurden nur wenige Versuche in der Demo-Umgebung mit dem niedrigsten Sicherheitsniveau akzeptiert‘, wie die CCC-Live-Demo gezeigt hat“, so Bengs. Ferner ist anzumerken, dass mehrere Versuche nötig gewesen sind, bis das System das Venenmuster der künstlichen Hand überhaupt akzeptiert hat. Unter realen Bedingungen hätte das System nach einer bestimmten Anzahl von Versuchen den Vorgang abgebrochen und eine gescheiterte Identifizierung gemeldet. Ebenso gilt für dieses wie auch für andere biometrische Verfahren, dass es am besten mit einer Zwei-Faktor-Authentifizierung genutzt wird, also etwa in Kombination mit einer Pin-Abfrage oder Smartcard. Hierdurch wird die Sicherheit insgesamt nochmals deutlich erhöht.

PCS Systemtechnik hält Gefahr von erfolgreichen Hacks im Realbetrieb für äußert gering

Auch PCS Systemtechnik hält die Anwendung des Hacks im Realbetrieb für unrealistisch. „Wir sichern Gebäudebereiche nur mit mehrschichtigen und in sich geschützten Sicherheitssystemen ab. Dazu wird die Palmsecure- Sensortechnologie in hochsicheren Bereichen ausschließlich in Kombination mit RFID- Ausweisen und/oder PIN-Eingabe zur Verifikation genutzt“, erklärt Caroline Elsner, Leiterin Marcom & Digital Marketing. Ein unberechtigter Zutritt wird durch die Mehr-Faktoren-Authentifizierung, die dauerhafte Überwachung auf mögliche Manipulationen und die organisatorischen und technischen Maßnahmen ausgeschlossen.

Insgesamt sehen Hersteller und Anwender der Palmsecure-Technologie nach derzeitigem Kenntnisstand keinen Grund zur Besorgnis was die Überwindung eines Systems unter realen Bedingungen angeht. Gleichwohl nimmt bei Fujitsu den Erfolg der beiden Hacker bei der Überwindung der Demoversion zum Anlass, bestimmte Features noch einmal zu prüfen und gegebenenfalls anzupassen. Insofern sind solche „Hacks“ auch immer eine Gelegenheit, die eigene Technologie zu optimieren.