Touch ID

Es wurde kurz nach Einführung der Touch ID am iPhone herausgefunden, daß der Fingerabdruck-Sensor überlistet werden kann, wenn man einen brauchbaren Fingerabdruck finden und verwerten kann. Der normale Straßendieb ist jedoch weder in der Situation, sich auch noch einen geeigneten Fingerabdruck des Users zu besorgen, noch ist er in der Lage, anschließend daraus den nötigen Kunstfinger zu erstellen. Apples Touch ID gilt zudem als einer der besten Finger-Scanner.

Dennoch gehört es ins Repertoire des gemeinen Apple-Hassers, über Touch ID abfällige Bemerkungen zu machen. Inzwischen benutze ich selbst ein Gerät mit Touch ID und kann etwas dazu sagen.

Daumen drauf

Der größte Feind von Sicherheitsfunktionen ist die Bequemlichkeit des Anwenders. Wenn etwas umständlich zu benutzen ist, dann wird es nicht verwendet. Vielen ist Komfort wichtiger als Sicherheit. Laut Sophos benutzten im Jahr 2011 zwei von drei Usern kein Paßwort für ihr Mobiltelephone.

Bei iOS-Usern sah es etwas besser aus, weil fast jeder zweite sein Gerät mit einem Paßwort geschützt hatte, bevor Apple Touch ID einführte, aber auch das sind einfach viel zu wenige.

Natürlich ist ein langes Paßwort oder ein vierstelliger PIN sicherer als ein Fingerabdruck. Nicht nur wegen Fälschungssicherheit, sondern auch bezüglich direktem Mißbrauch. Man kann Dich zwingen, Deinen Finger auf dein iPhone zu legen, aber man kann Dich nicht so leicht dazu bewegen, Dich an Dein Paßwort zu erinnern. Matthew Green ist zum Beispiel einmal aufgewacht, weil sein 7-jähriges Kind seinen Finger auf den Touch ID Sensor gelegt hat.

Man muß in Betracht ziehen, daß Touch ID Paßworte und PINs nicht zwingend ablösen soll. Der Sinn von Touch ID ist, den restlichen Usern, die ihre Geräte bislang überhaupt nicht gesichert haben, eine bequeme Möglichkeit zu bieten, ihre Geräte nicht völlig ungesichert herumliegen zu lassen.

Drücken besser als rutschen

Bei Apples Touch ID kann man seine registrierten Finger in jedem Winkel auf das Gerät drücken und man wird erkannt. Notebooks und Smartphones anderer Hersteller haben üblicherweise Sensoren, bei denen man den Finger über den Scanner ziehen muß in einer geraden Linie und in genau einer Richtung. Das ist lange nicht so einfach und zuverlässig zu benutzen wie Apples Variante. Es gibt sogar Smartphones, die ihren Fingerscanner auf der Rückseite des Gerätes haben. Sehr unpraktisch.

Touch ID ist im Vergleich zu anderen Fingerabdruck-Scannern auch intuitiver zu bedienen, weil man im Vergleich zum völlig ungesicherten Gerät keine Aktion zusätzlich aufgebrummt bekommt, denn man berührt so oder so den Home-Button, um auch ein ungesichertes Gerät wieder aufzuwecken. Mit Touch ID identifiziert man sich auch gleich noch nebenbei. Echt umständlich ist das bei Geräten, die den Fingerscanner als separates Bauteil im Smartphone integrieren.

Abgesichert

Die Fingerabdrücke selbst werden nicht gespeichert, sondern nur eine Art Hashwert davon. Man könnte also, selbst wenn man darauf Zugriff hätte, keine Fingerabdrücke daraus zurückberechnen. Diese Daten liegen verschlüsselt in der Secure Enclave und sie sind so abgeschirmt, daß iOS und Apps darauf keinen direkten Zugriff haben.

Um das Überlisten des Fingerscanners zu erschweren, muß man nach Neustarts oder nach zwei Tagen Nichtbenutzung seinen Passcode eingeben. Das muß man auch, wenn man in die Einstellungen von Touch ID und Passcode gehen will. Apple schreibt, man müsse sein Apple ID Paßwort beim Neustart eingeben oder wenn man einen Finger registriert oder deaktiviert, aber das war bei mir mit iOS 8.1.2 nicht so, denn ich brauchte nur meinen Passcode beim Betreten des Menüpunktes eingeben bzw. beim Neustart. Ich habe Apple informiert und hoffe, sie korrigieren die Dokumentation.

---