Kommentar: iPhone X – Face ID für sicheres Entsperren? Bullshit!

Mit seinem neuen Flaggschiff iPhone X führt Apple die Face ID ein. Das System gleicht das Gesicht des Nutzers mit gespeicherten Informationen ab und gewährt dann Zugang zum Gerät. Apple hält das für sicherer als die Fingerabdruckkontrolle Touch ID: Die Chance, auf eine Person mit identischen Gesichtsmerkmalen zu stoßen, betrage 1 zu 1 Million und sei damit erheblich geringer als ein gleicher Fingerabdruck.

Bullshit!

Das entscheidende Kriterium, ob eine Entsperrfunktion sicher ist, liegt nicht in der Wahrscheinlichkeit, dass es zu zufälligen Kollisionen der verwendeten Merkmale kommt. Meines Wissens wurde kein einziges iPhone jemals entsperrt, indem jemand seinen Finger auf den Sensor eines fremden iPhones legte und der Abdruck zufällig mit dem des Besitzers übereinstimmte. In dieser Hinsicht war also schon Touch ID gut genug.

Eine Analyse von Jürgen Schmidt

Jürgen Schmidt - aka ju - ist leitender Redakteur von heise Security und Senior Fellow Security bei heise. Von Haus aus Diplom-Physiker, arbeitet er seit über 15 Jahren bei Heise und interessiert sich auch für die Bereiche Netzwerke, Linux und Open Source.

Kalkulierbares Risiko

Das entscheidende Kriterium, ob eine Entsperrfunktion sicher ist oder nicht, ist die Frage:

Wie wahrscheinlich ist es, dass jemand anderes als ich das Gerät ohne oder sogar gegen meinen Willen entsperrt?

Da war Touch ID ganz gut. Abgesehen von einigen spektakulären Demonstrationen, in denen Hacker die Erkennungsfunktion ausgetrickst haben, sind mir keine Fälle bekannt, in denen das passiert ist. Das heißt nicht, dass es die nicht gab. Es heißt aber, dass das keine allzu große Gefahr ist. Es war zumindest eine, mit der ich gut leben konnte.

Auch wenn man viel leichter an Bilder von iPhone-Besitzern kommt, als an brauchbare Fingerabdrücke, gestehe ich Apple noch zu, dass das Austricksen mit nachgemachten Gesichtern mindestens so schwer sein wird, wie bei Touch ID. Da mag auch Face ID noch gut genug sein.

Neue Spielregeln

Die neue Gesichtserkennung ändert jedoch die Spielregeln. Denn es gibt andere, viel einfachere Methoden, das iPhone gegen meinen Willen zu entsperren. Was hindert den Grenzbeamten, der mein Handy aus dem Körbchen für die Durchleuchtung nimmt, mir mein Gerät kurz vor das Gesicht zu halten, um dann ungehindert meine Mails zu inspizieren? Selbst ein Taschendieb könnte das vom Cafe-Tisch geklaute Handy noch kurz vor meinem überraschten Gesicht platzieren, bevor er mit seiner Beute davon rennt. In beiden Fällen kann ich kaum etwas gegen den Datenraub unternehmen.

Schon nach diesen einfachen Überlegungen bezweifle ich ernsthaft, dass Face ID seiner Aufgabe, das Gerät gegen missbräuchliche Verwendung abzusichern, wirklich gewachsen ist. Aber natürlich habe ich es noch nicht in Aktion gesehen. Vielleicht hat Apple ja noch etwas in der Hinterhand, das mich überzeugt? (ju)