Vet lek in vinger-ID Samsung S5

Vingerafdruk-ID's worden in toenemende mate toegepast voor het ontsluiten van smartphone-functies en voor het authenticeren van transacties. Paypal en Apple bijvoorbeeld accepteren vingerafdrukken als valide ID-check. Een groeiende lijst van bedrijven die aangesloten zijn bij de Fido Alliance bepleit biometrische technologie als alternatief voor de veelal als lastig en daardoor ook als kwetsbaar ervaren wachtwoorden.

Redactie AG ConnectMeer van deze auteur

Maar wie eenmaal de vinger-ID van een ander te pakken heeft, kan daarmee uit diens naam op allerhande plekken inloggen en transacties uitvoeren. Het is dus wel zaak dat zo'n biometrische ID's niet wordt gestolen of gekopieerd.

Onderscheppen

Android-telefoons slaan gevoelige gegevens zoals vingerafdruk-informatie op in een speciale 'vertrouwde zone' van het geheugen. Maar de onderzoekers Yulong Zhang en Tao Wei van beveiligingsbedrijf FireEye zagen kans biometrische identificatiegegevens te onderscheppen voordat Android ze in deze beveiligde omgeving had weggeschreven. Hun kunstje zou werken op alle telefoons met Android versie 5.0 of ouder. Wel is het nodig dat de aanvaller al een hoog niveau van toegangsrecht op de telefoon heeft weten te bemachtigen, behalve op de Samsung Galaxy S5 telefoons. Daarop bleek het al met standaardtoegang tot het geheugen mogelijk een vingerafdruk-ID te onderscheppen.

Samsung zegt de kwestie zeer serieus te nemen en de bevindingen van de onderzoekers te bestuderen.