Willkommen bei WCM
Um alle Funktionen dieser Website nutzen zu können müssen Sie sich Einloggen oder Registrieren. Die Registrierung ist unverbindlich und dauert nur einen Moment.
Notebooks mit Fingerabdruckscanner unsicher
Veröffentlicht am 10.09.2012 22:19:34
Moskau/Melbourne, Florida - Dem russischen Sicherheitspezialisten ElcomSoft http://elcomsoft.com zufolge haben viele Notebooks, die ein Login per Fingerabdruck-Scan unterstützen, ein Sicherheitsproblem. Dafür verantwortlich sind laut Unternehmensblog die von einem guten Dutzend Herstellern genutzten Scanner der Marke UPEK beziehungsweise die zugehörige Software ProtectorSuite. Diese lege Windows-Passwörter "beinahe als Klartext" in der Windows-Registry ab, sodass sie leicht auszulesen seien.
Bei AuthenTec http://authentec.com, das UPEK vor rund zwei Jahren in einem Merger übernommen hat, gibt man sich ob etwaiger Sicherheitslücken besorgt, aber skeptisch. "Jede Version von ProtectorSuite, alt oder aktuell, nutzt AES-Verschlüsselung für die gespeicherten Passwörter. Die Behauptung, Nutzerpasswörter wären 'kaum verschleiert', ist also falsch", erklärt Brent Dietz, Leiter der Öffentlichkeitsarbeit bei AuthenTec, gegenüber pressetext. Man wolle den Vorwürfen aber genauer nachgehen.
>UPEK war lange der einzige Anbieter von Fingerabdruck-Scannern für Notebooks, sodass diese in Geräten diverser Hersteller von Acer über Dell und Lenovo bis hin zu Sony zum Einsatz kommen. Nutzer brauchen so nur den Finger über den Sensor ziehen, um sich in Windows einzuloggen. Dazu muss freilich das Windows-Passwort im Computer gespeichert sein und genau da ortet ElcomSoft eine Schwachstelle: Die Passwörter seien in der Windows-Registry abgelegt und das in wenig sicherer Form. Mit physischem Zugang zu PCs sei es daher in Tests möglich gewesen, für alle Accounts mit Fingerabdruck-Login das zugehörige Passwort auszulesen.
Gegen den Vorwurf der fehlenden Verschlüsselung hat sich AuthenTec verwehrt. Ein komplett unverschlüsseltes Speichern von Passwörtern käme weder bei der ProtectorSuite noch der bei aktuellen Sensor-Modellen zum Einsatz kommenden TrueSuite infrage. "Neben der AES-Verschlüsselung kann ProtectorSuite auch konfiguriert werden, Embedded Security für den Scanner selbst zu nutzen. Das macht selbst lokale Attacken ineffektiv, da die kryptografischen Schlüssel dem Host nicht zur Verfügung stehen", betont der Unternehmenssprecher Dietz.
Allerdings will der Hersteller die Vorwürfe nicht einfach abtun. Dietz zufolge dürfte ElcomSoft eine ältere Version der ProtectorSuite getestet haben. Man habe beim Sicherheitsspezialisten um Details zu den Tests angefragt, aber noch nichts erhalten. "Wir werden alles, was wir vom ElcomSoft-Team bekommen, einer genauen Analyse unterziehen", versichert der AuthenTec-Sprecher. Sollte tatsächlich eine Sicherheits-Schwachstelle gefunden werden, werde man möglichst umgehend einen Patch für betroffene Kunden bereitstellen.
Veröffentlicht am 10.09.2012 22:19:34
Moskau/Melbourne, Florida - Dem russischen Sicherheitspezialisten ElcomSoft http://elcomsoft.com zufolge haben viele Notebooks, die ein Login per Fingerabdruck-Scan unterstützen, ein Sicherheitsproblem. Dafür verantwortlich sind laut Unternehmensblog die von einem guten Dutzend Herstellern genutzten Scanner der Marke UPEK beziehungsweise die zugehörige Software ProtectorSuite. Diese lege Windows-Passwörter "beinahe als Klartext" in der Windows-Registry ab, sodass sie leicht auszulesen seien.
Bei AuthenTec http://authentec.com, das UPEK vor rund zwei Jahren in einem Merger übernommen hat, gibt man sich ob etwaiger Sicherheitslücken besorgt, aber skeptisch. "Jede Version von ProtectorSuite, alt oder aktuell, nutzt AES-Verschlüsselung für die gespeicherten Passwörter. Die Behauptung, Nutzerpasswörter wären 'kaum verschleiert', ist also falsch", erklärt Brent Dietz, Leiter der Öffentlichkeitsarbeit bei AuthenTec, gegenüber pressetext. Man wolle den Vorwürfen aber genauer nachgehen.
>UPEK war lange der einzige Anbieter von Fingerabdruck-Scannern für Notebooks, sodass diese in Geräten diverser Hersteller von Acer über Dell und Lenovo bis hin zu Sony zum Einsatz kommen. Nutzer brauchen so nur den Finger über den Sensor ziehen, um sich in Windows einzuloggen. Dazu muss freilich das Windows-Passwort im Computer gespeichert sein und genau da ortet ElcomSoft eine Schwachstelle: Die Passwörter seien in der Windows-Registry abgelegt und das in wenig sicherer Form. Mit physischem Zugang zu PCs sei es daher in Tests möglich gewesen, für alle Accounts mit Fingerabdruck-Login das zugehörige Passwort auszulesen.
Gegen den Vorwurf der fehlenden Verschlüsselung hat sich AuthenTec verwehrt. Ein komplett unverschlüsseltes Speichern von Passwörtern käme weder bei der ProtectorSuite noch der bei aktuellen Sensor-Modellen zum Einsatz kommenden TrueSuite infrage. "Neben der AES-Verschlüsselung kann ProtectorSuite auch konfiguriert werden, Embedded Security für den Scanner selbst zu nutzen. Das macht selbst lokale Attacken ineffektiv, da die kryptografischen Schlüssel dem Host nicht zur Verfügung stehen", betont der Unternehmenssprecher Dietz.
Allerdings will der Hersteller die Vorwürfe nicht einfach abtun. Dietz zufolge dürfte ElcomSoft eine ältere Version der ProtectorSuite getestet haben. Man habe beim Sicherheitsspezialisten um Details zu den Tests angefragt, aber noch nichts erhalten. "Wir werden alles, was wir vom ElcomSoft-Team bekommen, einer genauen Analyse unterziehen", versichert der AuthenTec-Sprecher. Sollte tatsächlich eine Sicherheits-Schwachstelle gefunden werden, werde man möglichst umgehend einen Patch für betroffene Kunden bereitstellen.
« Riverbed und VMware mit Lösungsansätzen für Software-Defined Networks · Notebooks mit Fingerabdruckscanner unsicher
· Polimer-Photosensibilität erhöht Speicherkapazität »