iPhone 5S sormenjälkitunnistus murrettu

[securapple]

Hei!

Varoituksena iPhone 5S -hankintaa harkitseville perheellisille : http://i.huffpost.com/gen/1346914/thumb ... -570.jpg?5

-Securapple

[Mailia]

Itse odotan innolla, että joku lapsi saa muutaman tuhannen dollarin in-app ostokset sormenjälkitunnistuksella. Eihän se ole kuin ajan kysymys.

[Viizei]

Itse odotan innolla, että joku lapsi saa muutaman tuhannen dollarin in-app ostokset sormenjälkitunnistuksella. Eihän se ole kuin ajan kysymys.

Mitä saat siitä? Onhan noita uutisia ollut jo ihan nykyiselläkin (salasana) systeemillä riittämiin jokaisella alustalla.

[Raikka]

Varoitus on hyvä asia ja tuollaiset asiat tulee otta huomioon, vaan onko sitä sormenjälkitunnistusta pakko ottaa käyttöön ollenkaan?
Kuka tuon tietää ja osaa kertoa meille?

[mika_t]

No eihän sitä pakko ole ottaa käyttöön, sen kuin vain valitsee valikosta off -tilan kahdesta kohtaa.

[nolifer]

Itse odotan innolla, että joku lapsi saa muutaman tuhannen dollarin in-app ostokset sormenjälkitunnistuksella. Eihän se ole kuin ajan kysymys.

Eihän tässä maailmassa voisi tehdä mitään jos kaikelta pitäisi suojautua. Muutaman tuhannen dollarin in-appit on puoli-ilmaista sen lapsen tekemisen (ja kasvattamisen) hintaan nähden

[Mailia]

Mitä saat siitä?

Vähintäänkin naurut.

[Hepo]

Itse odotan innolla, että joku lapsi saa muutaman tuhannen dollarin in-app ostokset sormenjälkitunnistuksella. Eihän se ole kuin ajan kysymys.

Osto vaiheessako se sormenjälki pitää uudelleen skannata?

[Infant]

Mielenkiintoista nähdä miten käyttöehdoissa huomioidaan sormenjälki salasanan sijasta. Mistä kaikesta käytöstä ollaan vastuussa. "Sormien omistaja on vastuussa etteivät sormet tai sormenjäljet joudu asiattomien haltuun"

[atheos]

Koko sormenjälkitunnistushan on vain mukavuustekijä ja lisäoptio. Ei sitä ole pakko käyttää ja jos käyttääkin niin järki käteen. Vastuu järjellisestä käytöstä pitäisi olla muutenkin aina käyttäjällä, jos se on laitevalmistajalla niin lopputuloksena on vain yksinkertaisten käyttäjien paimentamista ja pakotettua kädestä pitämistä.

[apsev]

Vastuu on mielenkiintoinen (yleis)kysymys ja käytännössähän firmat eivät vastaa ohjelmien toimivuudesta mitään - lupaavat toki tehdä parhaansa, mitä se sitten lieneekään.
On tietysti mielenkiintoista nähdä tuleeko erillistä mainintaa sormenjälki-ominaisuuden käytöstä - minusta tämä on ihan relevantti asia/kysymys. Eikä se poista ns. talonpoikaisjärjen käytön 'pakollisuutta'.

[securapple]

Hei!

Sormenjälkitunnistus näyttää olevan osa suuremman luokan Applen suunnitelmia, jossa Applen ja ARM:in suunnitteleman A7 -sirun tietoturvaominaisuudet mahdollistavat uusia mobiilimaksamisen ulottuvuuksia.

Muutenkin A7 siru näyttää olevan teknisesti sekä tietoturvallisuuden näkökulmasta melkoinen harppaus eteenpäin. Sitä on ilmeisesti suunniteltu jo vuodesta 2008 (Steve Jobs VIHASI salasanoja!)

Apple not only has developed one of the most accurate mass produced biometric security devices, they have also solved critical problems with how the data from this device will be encrypted, stored and secured.

Tämä oli todella positiivinen yllätys!!!!!

Lähde : http://www.quora.com/Apple-Secure-Encla ... F2&share=1

-Securapple

[apsev]

Sormenjälkikopio toimii(vai -ko?): http://www.ccc.de/en/updates/2013/ccc-b ... le-touchid

[Kelinci]

Täällainen uutinen osui silmään.

http://www.digitoday.fi/tietoturva/2013 ... 1313187/66

Tämä pistää kyllä miettimään tämän uuden sormenjälkitunnistuksen luotettavuutta. Olisiko applen sittenkin kannattanut pitäytyä pelkästään vanhassa pin-koodissa ja kohdentaa sormenjälkiteknologiaan käytetyt resurssit johonkin muuhun uudistukseen?

[MacFinn]

No, tuosta murtovideosta saa sellaisen käsityksen, että se kopio pantiin sen sormeen, jonka jälki iPhonessa jo oli. Eli pantiin tarralla kopio oikeasta sormenjäljestä oikean sormenjäljen päälle... voin olla väärässä mutta sellainen kuva tuosta videosta tulee. Lisäksi siinä puhelimen näytössä oli asteen verran selvemmät sormenjäljet kuin esim. mun puhelimessa/tabletissa koskaan.

Ja sanon vielä senkin, että en usko, etteikö Apple ole tuota metodia testannut ennen sormenjälkilukijan julkaisua.

[Delli]

Täällainen uutinen osui silmään.

http://www.digitoday.fi/tietoturva/2013 ... 1313187/66

Tämä pistää kyllä miettimään tämän uuden sormenjälkitunnistuksen luotettavuutta. Olisiko applen sittenkin kannattanut pitäytyä pelkästään vanhassa pin-koodissa ja kohdentaa sormenjälkiteknologiaan käytetyt resurssit johonkin muuhun uudistukseen?

Jos noita on ennenkin murrettu niin en usko että Apple siitä murtamattoman on pystynyt tekemään.

[securapple]

Hei!

Aikaisemmat sormenjälkilukijat ovat murtuneet mm. ikkunassa olleesta sormenjäljestä teetettyä vahasormea käyttäen. Nyt sentään tarvitaan hyvä tulostin, läpinäkyvää ohutta paperia sekä oikeat jauheet/soosit sekä eritysesti oikea sormi!!!

En löytänyt kommenttia voidaanko tämä sama tehdä sormenjäljestä. Liene mahdollista mutta vaatinee monta kertaluokkaa kalliimmaat pelit ja vehkeet.

-Securapple

[Fakap]

Hei!
En löytänyt kommenttia voidaanko tämä sama tehdä sormenjäljestä.

En taida ymmärtää pointtiasi. Siis tuo valesormi tehtiin nimenomaan sormenjäljestä.

Jos tuo uutinen pitää sellaisenaan paikkansa, eli sormenjäljen kopioiminen onnistuu, jos vain haluaa, niin onhan se noloa kun miettii esittelytilaisuuden antamaa kuvaa tietoturvan jättimäisestä parannuksesta. Mutta se nyt ei olisi ensimmäinen kerta, kun digivitkuttimen käytännön toimivuus ei vastaakaan julkaisutilaisuuden ylistyksiä.

Jossain IS:n gallupissa 90 % ei luottaisi sormenjälkitunnistukseen. Ensimmäisenä mulle tuli mieleen vastakysymys "luotatko salasanaan?" Millainen luottojakauma siitä gallupista syntyisi? Nelinumeroinen turvakoodi on helppo kurkkia olan yli, mutta sormenjäljen kopioimisessa menee enemmän aikaa vaivaa, mikä nostaa kynnystä rikokseen ja antaa omistajalle paremman mahdollisuuden kaukotyhjentää laite. Väitän, että tavallinen taskuvaras urkkii mieluummin koodin kuin kopioi sormenjälkiä.

Itse pidän murrettavaakin sormenjälkitunnistusta parempana turvana lock screenin avaamiselle kuin nelinumeroista koodia, sekä helppouden että tietoturvan kannalta. En ehkä haluaisi antaa sillä tehdä ihan kaikkea, kuten muuttaa tietoturva-asetuksia tai tyhjentää laitetta. Mutta esim. iTunes-shoppailu sormenjäljellä, miksipä ei.

On suorastaan typerää käyttää turvavälineenä jotain sellaista, mitä ei voi muuttaa ja jota jätetään joka päivä kaikkialle.

..siteerataan Digitodayn jutussa. Ihmiset näpyttelevät turvakoodejaan paikoissa, joissa on muitakin silmiä, ja harvat muuttavat koodiaan jatkuvasti. Sama asia.

[Mikael K.]

En löytänyt kommenttia voidaanko tämä sama tehdä sormenjäljestä. Liene mahdollista mutta vaatinee monta kertaluokkaa kalliimmaat pelit ja vehkeet.

Operaatio on melko helppo. Siitä oli esimerkki Myytinmurtajissa. Se ei vaadi kovin ihmeellisiä välineitä. Oikeasti sopivan sormenjäljen löytäminen taas voi olla jo hankala juttu ellei omistajaa kolkata.

[apsev]

Arstechnican juttu aiheesta: http://arstechnica.com/security/2013/09 ... tells-ars/ kera videon.
Ja ymmärrän että sormenjälkitunnistus on vain yksi pala tietoturvassa, mutta miten kannettavan laitteen tietoturva paranee jos pin-koodia muutetaan esim. kuukausittan (muuttelu tunneittain/päivittäin ei ole käytännössä mahdollista): kun ulkopuolinen saa laitteen ja alkaa arpomaan pin-koodia, niin tapahtumahan on riippumaton siitä milloin pin-koodi asetettu ja riippumaton pin-koodin laadusta (onnistuminen sitten lienee laatu-riippuvainen). Vrt esim. luotto-/pankkikortti, ei siinä muuteta pin-koodia vaan koko kortti (ja entinen kuolletetaan): etätyhjennys/-lukitus kännyköissä yms.laitteissa.
Mutta onko joku saanut Applen ko. 'sopimuksen/yksipuoliset käyttöehdot', sanotaanko siellä mitään Applen vastuusta sormenjälkitunnistuksessa - vai onko kännyköiden ja muidenkin softa-kuluttujatuotteiden tuotevastuu edelleen täysin kuollut kirjain?

[Tzei]

Tällä samalla ajatustavalla voidaan ajatella myös, että jokaisen suomalaisen asunnon abloy lukko on murrettu. Ei tarvitse kuin etsiä avain ja kopioida se. Tadaa! Lukko on murrettu! Olisi jonkin asteinen uutinen jos sormenjälkitunnistus olisi murrettu kopioimatta sormenjälkeä...

[securapple]

Hei!
En löytänyt kommenttia voidaanko tämä sama tehdä sormenjäljestä.

En taida ymmärtää pointtiasi. Siis tuo valesormi tehtiin nimenomaan sormenjäljestä.

Tästä TouchID -murrosta näemmä julkaistu useampikin video, itse katsoin CCC:n viedota joka ei ollut niin hyvä kuin ars techincan. CCC:llä esim. videossa valesormenjälkeä painettiin lukijaan auktorisoidulla sormella josta tuo sekaannukseni että tarvitaan "oikea sormi". Ars techincan videossa vieras sormi painaa tuota valesormenjälkeä.

-Securapple

[apsev]

Tällä samalla ajatustavalla voidaan ajatella myös, että jokaisen suomalaisen asunnon abloy lukko on murrettu. Ei tarvitse kuin etsiä avain ja kopioida se. Tadaa! Lukko on murrettu! Olisi jonkin asteinen uutinen jos sormenjälkitunnistus olisi murrettu kopioimatta sormenjälkeä...

Onhan noissa erojakin; avaimesta ei jää jälkeä ja avaimen/lukkopesän voi vaihtaa (sarjoittaa). Ja hieman mietintään; vaikka Apple onkin tehnyt työtä sormenjälkitunnistuksen eteen, niin onko vain ajan kysymys kun siihen joku saa tehtyä man-in-the-middle hyökkäyksen eli saisi sormenjäljen selväkielisenä esille. Ja onhan sormenjälkitietokantoja, onko ne miten turvallisia tai miten turvallinen on bio-passimme sormenjäljen osalta?

[juhhyto]

Apple on tehnyt toimivan varmuuskopioinnin pilveen jossa puhelimen sisältö säilyy ajantasaisena. Sillä punaisella sekunnilla kun huomaan separoituneeni puhelimesta, teen sen netissä toimintakyvyttömiksi. Siis jos todella epäilen sen joutuneen varkaille jotka sitä aikovat hyödyntää. Kun tuota kokonaisuutta miettii (sormenjälkilukija vaivattomaan käyttöön, iCloud bäckuppi sekä Find my iphone), ei näistä pinmurto ja sormenjälkikopioinneista ole yhtikäs haittaa. 100% tietoturvallisuus romahduttaa käytettävyyden ja saatavuuden tasan nollaan, tämän vuoksi asioilla on puolensa.

Itse tallennan vielä oneSafeen lompakkotiedot, salasanat jne. Jolloin ne kaikista tärkeimmät tiedot ovat kohtuu hyvin suojassa. Ja jos NSA niistä jotain hyötyy niin siitä vaan (sillä edellytyksellä että salaukset murretaan em. ohjelmista). Taskuvarkaat eivät noilla tiedoilla tee yhtään mitään, ja käteenkin jää vain puhelimenraato jos sen vievät.