Biometrie: Spanisches Forscherteam trickst Iris-Scan aus

Javier Galbally, Leiter eines Forschungsteams der Universidad Autonoma de Madrid hat letzte Woche auf der Black Hat Konferenz zur Informationssicherheit eine neue Möglichkeit vorgestellt, wie sich Iris-Scanner austricksen lassen. Zwar wurde schon vor Jahren gezeigt, wie sich ein Iris-Erkennungssystem durch die auf Druckerpapier gesprühte Photographie eines Auges überlisten lässt, aber den Spaniern gelang erstmals ein vollständiges "Reverse Engineering" der Regenbogenhaut.

Auf zuvor gespeicherten Daten eines Iris-Scans basierend, wurden künstliche Bilder erschaffen, die genau jene 5.000 Datenteilchen enthalten, anhand derer das Erkennungssystem die Identität feststellt – eine Technologie, die sich bestens für Identitätsdiebstähle eignet.

Die Wissenschaftler um Galbally haben somit nicht nur eine Sicherheitslücke in kommerziellen Iris-Erkennungssystemen offen gelegt, sondern auch die Aussagen von weltweit marktführenden Anbietern wie BI2 Technologies widerlegt. Die bekannte Firma stattet unter anderem das FBI aus und wirbt auf ihrer Website damit, dass biometrische Templates fälschungssicher seien, weder rekonstruiert, entschlüsselt noch anderweitig manipuliert werden könnten. Es sei nicht möglich, aus dem aufbewahrten Muster die dahinter stehenden Identitätsmerkmale zu rekonstruieren, ohne den entsprechenden Körperschlüssel.

Tatsächlich hatte das Forscherteam die künstlichen Iris-Bilder jedoch aus den Daten echter Augen-Scans am Computer erschaffen und mit Hilfe eines genetischen Algorithmus modifiziert. Nach 100 bis 200 Durchgängen waren die erstellten Bilder ausreichend ähnlich, um die Scanner zu überlisten. Laut Dalbally bestanden etwa 80 Prozent der kreierten Bilder, mit einer Erfolgsquote von wiederum 80 Prozent, den Test VeriEye-Erkennungssystem der Firma Neurotechnology, das momentan in etwa 35 Scannern integriert sein soll.

Menschliche Experten der Biometrie ließen sich hingegen nur in 8 Prozent der Fälle von den künstlichen Bildern der Forscher täuschen. [unwatched / heise / EFF]

Kurz URL zu diesem Artikel: http://unurl.org/isP
Bild: Cpl. Spencer M. Murphy/Wikimedia