Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › Einigung auf EU-Ebene…

Speichert einfach nicht die Fingerabdrücke

  1. Thema

Neues Thema Ansicht wechseln


  1. Speichert einfach nicht die Fingerabdrücke

    Autor: Sh3rlock 19.02.19 - 20:49

    Es werden ja eh nie direkt die Fingerabdrücke gespeichert sondern nur irgendwelche Hashes mit denen der richtige Finger auch abgeglichen wird

    Wieso macht man mit Fingerabdrücken nicht einfach dasselbe wie mit Passwörtern?

  2. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: Kubus 19.02.19 - 21:18

    >Wieso macht man mit Fingerabdrücken nicht einfach dasselbe wie mit Passwörtern?

    Versucht man. Nennt sich Template Protection und ist nicht trivial bzw. noch nicht verlässlich genug. Daher der Umweg über Verschlüsselung.

  3. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: /mecki78 19.02.19 - 21:34

    Sh3rlock schrieb:
    --------------------------------------------------------------------------------
    > Es werden ja eh nie direkt die Fingerabdrücke gespeichert sondern nur
    > irgendwelche Hashes mit denen der richtige Finger auch abgeglichen wird

    Es werden Bilder vom Fingerabdruck gespeichert, aus einen ganz einfachen Grund:

    Damit auch computergestützte Systeme diese Daten nutzen können, werden die Rohdaten mit mathematischen und statistischen Verfahren abstrahiert, sodass die wesentlichen, charakteristischen Merkmale als sogenannte Referenzmuster oder Templates vorliegen. Ein Fingerabdruck zum Beispiel wird so aufbereitet, dass man trotz Schmutzpartikeln die Rillen der Fingerkuppen gut erkennen und damit auch gut vergleichen kann. Auf dem ePass werden allerdings nicht direkt solche Templates gespeichert, sondern die Rohdaten, weil sich die Berechnungsverfahren international stark unterscheiden.

    https://de.wikipedia.org/wiki/Biometrischer_Reisepass#Erstmalige_Erfassung

    Man hätte sich erst international auf ein gemeinsames Verfahren einigen müssen, mit Rohdaten kann aber jedes Verfahren arbeiten, außerdem kann man so das Verfahren jederzeit wechseln und bekommt somit z.B. automatisch auch bessere Templates aus den gleichen Rohdaten.

    Das was auf den Pass gespeichert ist, sieht faktisch so aus:



    /Mecki

  4. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: My1 19.02.19 - 23:58

    was mir persönlich aber wichtig wäre wäre dass die nicht direkt auslesbar sind (also man mit dem pass nur eine ja/nein abfrage machen darf)

    Asperger inside(tm)

  5. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: Metallrouter 20.02.19 - 01:14

    My1 schrieb:
    --------------------------------------------------------------------------------
    > was mir persönlich aber wichtig wäre wäre dass die nicht direkt auslesbar
    > sind (also man mit dem pass nur eine ja/nein abfrage machen darf)

    Man muss Fingerabdrücke auch auch nicht auslesen. Du hinterlässt die einge tausend mal am Tag auf beliebigen Gegenständen. Wenn man den Abdruck will, bekommt man ihn.
    Und jeder der dein Fingerabdruck hat, kann sich als du ausgeben. SUPER doll viel Sicherheitsgewinn dadurch!

  6. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: devman 20.02.19 - 20:13

    My1 schrieb:
    --------------------------------------------------------------------------------
    > was mir persönlich aber wichtig wäre wäre dass die nicht direkt auslesbar
    > sind (also man mit dem pass nur eine ja/nein abfrage machen darf)

    Aber das funktioniert ja nicht. Man sieht es die ganze Zeit: die Online Plattformen, das indische Gov, die schweizer Banken.
    Wo gespeichert wird, wird auch früher oder später veröffentlicht. Das muss aufhören, das ist nicht sicher.

  7. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: /mecki78 21.02.19 - 21:33

    My1 schrieb:
    --------------------------------------------------------------------------------
    > was mir persönlich aber wichtig wäre wäre dass die nicht direkt
    > auslesbar sind

    Du kannst deinen Ausweis in eine Schutzhülle aus Aluminium packen, dann ist er nicht auslesbar, selbst wenn man das Lesegerät direkt dran halten würde:

    https://www.ebay.de/itm/OPTEXX-RFID-NFC-1x-Schutzhulle-Finn-TUV-gepruft-zerifiziert-Kreditkarte/283365420993

    Sonst auch nur auf vielleicht 15 cm. Allerdings wird zum auslesen der Daten immer ein Passwort benötigt. Die PIN geht als Passwort, aber die kennst ja nur du, die PUK kennst auch nur du, aber mit der kann man nur die PIN entsperren, wenn die zu oft falsch eingegeben wurde. Ansonsten geht noch die CAN (die steht rechts neben dem Ablaufdatum, 6 stellige Ziffer) und dann lässt sich noch ein Passwort aus der MRZ auslesen (auf der Rückseite, diese komischen Textzeilen unten).

    Sofern also jemand deine PIN nicht kennt, braucht er sowieso Sichtkontakt um ein Passwort zu erhalten, sonst kann er gar nichts auslesen. Geräte beim Zoll haben eine Kamera, die können entweder die CAN oder den MRZ erkennen und einlesen, wenn man einen Ausweis davor hält. Somit weißt du also immer, wann jemand deinen Ausweis ausliest, denn es ist nicht möglich das im geheimen zu machen, ohne dass du davon etwas mitbekommst. Gut, du weißt dann natürlich nicht, was genau er ausließt, aber im Zweifel ist das halt immer alles.

    Lustig ist halt, dass du dir Sorgen machst, dass er deine Fingerabdrücke auslesen könnte, dabei ist doch das eine von den Dingen, die du sowieso nicht verbergen kannst. Schau, angenommen du schnappst jemanden, der hat keinen Ausweis dabei und verweigert jegliche Aussage. Dann kannst du nicht heraus finden wie er heißt oder wie er alt er ist oder wo er wohnt, aber an eines kämst du auf jeden Fall ran: An seine Fingerabdrücke. Wenn man unbedingt diese Abdrücke haben will, dann kommt man immer dran und sei es unter Anwendung von Gewalt, aber du kannst das nicht verhindern. Das also auf dem Ausweis dein Wohnort steht ist z.B. ein viel größeres datenschutzrechtliches Problem als dass da deine Fingerabdrücke stehen, denn an deinen Wohnort kommt man in Zweifel unmöglich ran, da du selbst unter Folter die Aussage verweigern könntest (hält wohl kaum jemand durch, aber in der Theorie könntest du). Aber darüber hat sich noch nie jemand aufgeregt.

    /Mecki

  8. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: My1 21.02.19 - 21:39

    ich meine das mit dem "nicht auslesen können" generell, also dass auch bspw behörden oder so den fingerabdruck nicht direkt auslesen können EGAL wie viele PINs, CANs oder whatever die haben, sondern nur man legt dem ausweis einen abdruck vom fingerabdruckleser vor und der sagt ja oder nein. im idealfall würde dieser nicht mal den rohabdruck speichern sondern nur eine art hash, der zur erkennung reicht, aber nicht reichen würde zur rekonstruktion des abdrucks.


    sodass man bspw wenn man bei der behörde die PIN resetten will bspw finger auflegt zum identität prüfen, die behörde via CAN und behördenzertifikat die prüfung freigibt, und der ausweis dann eben ja/nein antwortet, um dafür zu sorgen dass ähnlich aussehen nicht genug ist.

    Asperger inside(tm)

  9. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: /mecki78 21.02.19 - 22:28

    My1 schrieb:
    --------------------------------------------------------------------------------
    > im
    > idealfall würde dieser nicht mal den rohabdruck speichern sondern nur eine
    > art hash, der zur erkennung reicht, aber nicht reichen würde zur
    > rekonstruktion des abdrucks.

    Wie gesagt, dazu hätte man sich international auf ein einheitliches Hash System einigen müssen. Denn was hast du davon, wenn aus dem Ausweis dein Abdruck nach VerfahrenA gespeichert ist, weil das in Deutschland das übliche Verfahren ist, die Liste der Terrorverdächtigen in Frankreich aber nur in VerfahrenB Form vorliegt, weil dass das dort übliche Verfahren ist? Wenn müssen dann natürlich alles das gleiche Verfahren einsetzen, damit so etwas funktioniert.

    Und umgekehrt, den Fingerabdruck an den Ausweis senden, der dann selber den Hash errechnet und dann mit den internen abgleicht, das ist nicht machbar, dafür reicht die Leistung bei weiten nicht aus, hier liegt der Chip im Ausweis um den Faktor 1000 drunter.

    Vor allem willst du ja selten nur einen Abdruck abgleichen. Selbst wenn man sich auf ein Verfahren geeinigt hätte, würde der Abgleich daher nicht auf dem Ausweis erfolgen, weil sonst dauert es Jahre um ein paar tausend Abdrücke abzugleichen. Selbst dann würde der Ausweis die Hashdaten herausgeben und der Abgleich würde auf einen super schnellen Rechner durchgeführt werden.

    /Mecki

  10. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: My1 21.02.19 - 22:42

    /mecki78 schrieb:
    --------------------------------------------------------------------------------
    > Wie gesagt, dazu hätte man sich international auf ein einheitliches Hash
    > System einigen müssen. Denn was hast du davon, wenn aus dem Ausweis dein
    > Abdruck nach VerfahrenA gespeichert ist, weil das in Deutschland das
    > übliche Verfahren ist, die Liste der Terrorverdächtigen in Frankreich aber
    > nur in VerfahrenB Form vorliegt, weil dass das dort übliche Verfahren ist?

    und wo interessiert das. theoretisch könnte sogar jeder einzelne ausweis das anders hashen solange der das verfahren sicher reproduzieren kann, wäre sogar noch besser da niemand rainbowtables bauen kann, dazu sind gute hashes sowieso gesaltet.

    der sinn der idee ist dass es eben keine rainbowtables oder abgleiche geben soll, sondern nur dass das lesegerät das bild an den ausweis sendet und unter der eingabe der CAN ein ja oder nein antwortet.

    > Wenn müssen dann natürlich alles das gleiche Verfahren einsetzen, damit so
    > etwas funktioniert.

    eben nicht. ein einfaches "abdruck ist gleich/ist nicht gleich" verfahren geht egal welche verfahren der ausweis zur speicherung nutzt. dazu sollte der ausweis auch gleich bruteforcing verhindern, sodass bspw nur 5 mal am Tag oder so ein abruf geht, und der ausweis nen signierten zeitserver fragt, wegen zeit und logischerweise die letzte verwendete zeit speichert um rückläufe zu sperren.

    > Und umgekehrt, den Fingerabdruck an den Ausweis senden, der dann selber den
    > Hash errechnet und dann mit den internen abgleicht, das ist nicht machbar,
    > dafür reicht die Leistung bei weiten nicht aus, hier liegt der Chip im
    > Ausweis um den Faktor 1000 drunter.

    das hängt doch sicher vom hash aus und man könnte doch in neueren ausweisen bessere chips reinwerfen.

    ansonsten könnte auch wenn der speicher sicher ist und es so viel schneller geht der ausweis auf den fingerabdruck so bekommen aber der abgleich nach wie vor im ausweis stattfinden

    > Vor allem willst du ja selten nur einen Abdruck abgleichen. Selbst wenn man
    > sich auf ein Verfahren geeinigt hätte, würde der Abgleich daher nicht auf
    > dem Ausweis erfolgen, weil sonst dauert es Jahre um ein paar tausend
    > Abdrücke abzugleichen.

    JA EBEN, das ist ja der sinn der sache, das eben nicht irgendwelche idioten das einfach missbrauchen können, ausschließlich zur prüfung, dass man der legitime ausweisinhaber ist und eben nicht nur gleich aussieht.

    > Selbst dann würde der Ausweis die Hashdaten
    > herausgeben und der Abgleich würde auf einen super schnellen Rechner
    > durchgeführt werden.

    dann gehört der hash aber sicher gemacht bspw durch etwas rechenintensives bspw einem äquivalent für argon2. eine minute für nen abdruckcheck in ner behörde wäre nicht der tod.

    Asperger inside(tm)

  11. Re: Speichert einfach nicht die Fingerabdrücke

    Autor: plutoniumsulfat 22.02.19 - 13:43

    /mecki78 schrieb:
    --------------------------------------------------------------------------------
    > Lustig ist halt, dass du dir Sorgen machst, dass er deine Fingerabdrücke
    > auslesen könnte, dabei ist doch das eine von den Dingen, die du sowieso
    > nicht verbergen kannst. Schau, angenommen du schnappst jemanden, der hat
    > keinen Ausweis dabei und verweigert jegliche Aussage. Dann kannst du nicht
    > heraus finden wie er heißt oder wie er alt er ist oder wo er wohnt, aber an
    > eines kämst du auf jeden Fall ran: An seine Fingerabdrücke. Wenn man
    > unbedingt diese Abdrücke haben will, dann kommt man immer dran und sei es
    > unter Anwendung von Gewalt, aber du kannst das nicht verhindern.

    Genau deshalb ist es ja ein Problem, dass das Teil in eine zentrale Datenbank wandert: Ein Abgleich funktioniert dann notfalls mit Zwang immer, währenddessen du alle anderen Merkmale ändern kannst. Selbst wenn es eine DB mit Wohnorten gibt, kannst du das verschleiern, in dem du den eben änderst oder nicht preisgibst.

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Viega Holding GmbH & Co. KG, Attendorn
  2. AES Aircraft Elektro/ Elektronik System GmbH, Bremen
  3. Bundesamt für Wirtschaft und Ausfuhrkontrolle, Eschborn
  4. BFFT Gesellschaft für Fahrzeugtechnik mbH, Ingolstadt

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. (-70%) 17,99€
  2. 2,49€
  3. 32,95€
  4. 4,99€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Geforce GTX 1660 im Test: Für 230 Euro eine faire Sache
Geforce GTX 1660 im Test
Für 230 Euro eine faire Sache

Die Geforce GTX 1660 - ohne Ti am Ende - rechnet so flott wie AMDs Radeon RX 590 und kostet in etwa das Gleiche. Der klare Vorteil der Nvidia-Grafikkarte ist die drastisch geringere Leistungsaufnahme.

  1. Nvidia Turing OBS unterstützt Encoder der Geforce RTX
  2. Geforce GTX 1660 Ti im Test Nvidia kann Turing auch günstig(er)
  3. Turing-Grafikkarten Nvidias Geforce 1660/1650 erscheint im März

Galaxy S10+ im Test: Top und teuer
Galaxy S10+ im Test
Top und teuer

Mit dem Galaxy S10+ bringt Samsung erstmals eine Dreifachkamera in eines seiner Top-Smartphones. Die Entwicklung, die mit dem Galaxy A7 begann, hat sich gelohnt: Das Galaxy S10+ macht sehr gute Bilder, beim Preis müssen wir aber schlucken.
Ein Test von Tobias Költzsch

  1. Samsung Gesichtsentsperrung des Galaxy S10 lässt sich austricksen
  2. Samsung Galaxy S10 Europäer erhalten weiter langsameren Prozessor
  3. Galaxy S10 im Hands on Samsung bringt vier neue Galaxy-S10-Modelle

Fido-Sticks im Test: Endlich schlechte Passwörter
Fido-Sticks im Test
Endlich schlechte Passwörter

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

  1. E-Mail-Marketing Datenbank mit 800 Millionen E-Mail-Adressen online
  2. Webauthn Standard für passwortloses Anmelden verabschiedet
  3. Studie Passwortmanager hinterlassen Passwörter im Arbeitsspeicher

  1. Linke: 5G-Netzplanung mit Steuergeldern
    Linke
    5G-Netzplanung mit Steuergeldern

    Der Staat will dort 5G aufbauen, wo es sich für Konzerne nicht lohnt. Mit Steuergeldern sollen nach Ansicht der Fraktion die Linke die Funklöcher gestopft werden, mit denen die Mobilfunkbetreiber nicht genug Geld verdienen können.

  2. Readyink: Epson liefert neue Tintenpatronen direkt nach Hause
    Readyink
    Epson liefert neue Tintenpatronen direkt nach Hause

    In Kooperation mit einem Lieferdienst bringt Epson neue Tintenpatronen bis vor die Haustür, wenn eine Farbe ausgeht. Der Dienst erfordert kein Abo, umfasst aber ausschließlich die meist teureren Originalpatronen.

  3. SSH-Software: Kritische Sicherheitslücken in Putty
    SSH-Software
    Kritische Sicherheitslücken in Putty

    In der SSH-Software Putty sind im Rahmen eines von der EU finanzierten Bug-Bounty-Programms mehrere schwerwiegende Sicherheitslücken entdeckt worden. Der verwundbare Code wird auch von anderen Projekten wie Filezilla und WinSCP verwendet.


  1. 18:37

  2. 17:39

  3. 17:17

  4. 16:57

  5. 16:43

  6. 15:23

  7. 15:08

  8. 14:58