Biometrische Gesichtserkennung bei Notebooks wurde geknackt

Die wohl gängigste Methode um den eigenen PC vor Unbefugten zu schützen ist ein Benutzername mit Passwort. Andere Systeme die mittels Fingerabdruck arbeiten oder auch Webcams, die das Gesicht anhand biometrischer Daten scannen, sollen die Anmeldung am PC erleichtern.

Wer seinen Rechner vor Unbefugten schützen möchte, wählt in der Regel Benutzernamen und Kennwort. Doch diese jedesmal eingeben zu müssen, stört viele Nutzer. Seit einiger Zeit sind daher Computer mit Sensoren für Fingerabdrücke auf dem Markt. Doch die Systeme funktionieren oft nicht reibungslos, weil die Finger beispielsweise schmutzig sind. Leicht und sicher soll hingegen die Anmeldung per integrierter Webcam gehen: Einfach vor dem Rechner sitzen, ins Objektiv schauen und schon fährt der Computer hoch. Doch diese Methode hat ihre Lücken. Denn Mitarbeitern des vietnamesischen IT-Sicherheitsanbieters BKIS ist es kürzlich nach eigenen Angaben gelungen, die Gesichtserkennung von Notebooks zu knacken.

Cnet-Blogger Dong Ngo war bei einer Präsentation des Unternehmens dabei. Seinem Bericht zufolge wurde die Methode mit einem Lenovo-Notebook gezeigt. Zunächst nahm die Webcam des Rechners Ngos Gesicht aus verschiedenen Winkeln auf, damit er danach nicht besonders auf seiner Position vor dem Rechner achten musste. Anschliessend brauchte das Notebook weniger als eine Sekunde um ihn zu identifizieren und den Startvorgang einzuleiten.

Mit einem BKIS-Techniker begab sich Dong Ngo daraufhin in einen Skype-Videochat, in dem ein Screenshot von seinem Gesicht erstellt wurde, der ausgedruckt und der Webcam erneut präsentiert wurde. Ohne zu zögern fuhr der Rechner hoch. BKIS zeigte das Ganze auch mit einem Asus- sowie einem Toshiba-Laptop.

Laut Duc Minh Nguyen von BKIS muss das ausgedruckte Bild keine besonders hohe Qualität haben, um die Webcam täuschen zu können. Das Programm orientiere sich unter anderem an den Abständen zwischen diversen Gesichtsteilen, die bei jedem Menschen verschieden sind. Aus Sicherheitsgründen gab das Unternehmen bislang keine weiteren Details bekannt. Asus, Toshiba und Lenovo haben sich bislang nicht öffentlich zu der Sicherheitslücke geäussert.

Kriminelle könnten beispielsweise in einer Videokonferenz unbemerkt einen Screenshot ihres Opfers erstellen. Dann könnten sie diesem den Rechner stehlen und sich mit Hilfe des Fotos binnen Sekunden anmelden. Dadurch hätten sie leicht Zugriff auf private Daten.