Biometrisk ansiktssikkerhet brutt

[kilogram]

Vietnamesiske forskere kommer seg gjennom ansiktsgjenkjenningsteknologi ved å vise et bilde av eieren.

 

Les mer

[Carl Sagan]

Har mine tvil om at fingerprint-leseren egentlig er noe sterkere ...

[Lostfields]

Har mine tvil om at fingerprint-leseren egentlig er noe sterkere ...

ja, men iris/netthinne-scanning må vel være langt vanskeligere å etterlikne. Dog, det finnes jo ingen billige implementasjoner av dette enda vel.

[Anders Jensen]

Jeg tror ansiktsgjenkjenning kan bli ganske sikkert, men det er vel grunn til å tro at de første implementasjonene har sine feil. Ikke forkast en god idé på bakgrunn av en dårlig implementasjon mao. Det skjer alt for ofte.

[raWrz]

"Har mine tvil om at fingerprint-leseren egentlig er noe sterkere ..."

mener at mythbuster prøt seg inn i en slik ved og bare printe ut de stripene som du har på fingeren: http://www.youtube.com/watch?v=LA4Xx5Noxyo

 

edit: + at de som hadde laget den sa at det var umulig

Endret 18. februar 2009 av Submit

[ole_marius]

Har mine tvil om at fingerprint-leseren egentlig er noe sterkere ...

 

mythbuster brøt seg inn ved å lage en finger av gummi med fingeravtrykket fra eierens glass og adam klarte også dette bare at han kopierte den ut på at ark og festet fingeravtrykket på arket på sin egen finger og vips der var den sikkerheten brutt

 

 

edit: de kom seg inn på det som skulle være verdens sikreste fingerleser for privatpersoner og en pc

Endret 18. februar 2009 av ole_marius

[JKJK]

Submint: De stripene du har på fingeren (:! heter fingeravtrykk.

Jeg har testet en del fingeravtrykkslesere, og det er stort sett bare vissvass. På HP6715b har det ofte hendt at elever hos oss ikke kommer inn med sin egen finger, men når en av oss på jobb drar med vår finger, så kommer man ofte rett inn (vi har ikke lagt inn noen administratorbrukere opp mot denne leseren).

 

Og lenovo sin ... vell ... den er jo bare latterlig:

Endret 18. februar 2009 av JKJK

[zipuz]

hvordan kom de fram til skvulpe!?

[Gjest Slettet-Pqy3rC]

Det tar maks 3 min å resette administrator passordet på windows maskiner uansett så sikkerheten er relativt laber uansett hvilken innloggings mekanisme maskinen måtte benytte.

[Anders Jensen]

Det tar maks 3 min å resette administrator passordet på windows maskiner uansett så sikkerheten er relativt laber uansett hvilken innloggings mekanisme maskinen måtte benytte.

Hvis du har fysisk kontroll på en maskin så er det lite som hjelper bortsett fra full kryptering av disken, (nesten) uansett OS. Det er vel bare SourceT som gjør selvtest ved boot så sikkert at den vanskelig kan knekkes. Setter du BIOS passord og tvinger boot kun fra din disk så vil det imidlertid kreve litt jobbing å komme til. Så langt jeg vet er det i allefall ikke helt greit å knekke windows passordet fra innloggingsmenyen, slik alle tv-serie hackere gjør.

[Gjest Slettet-Pqy3rC]

Hvis du har fysisk kontroll på en maskin så er det lite som hjelper bortsett fra full kryptering av disken, (nesten) uansett OS.

jepp.

Setter du BIOS passord og tvinger boot kun fra din disk så vil det imidlertid kreve litt jobbing å komme til.

Det greieste i så tilfelle er vel å flytte disken til en annen egnet maskin.

Så langt jeg vet er det i allefall ikke helt greit å knekke windows passordet fra innloggingsmenyen, slik alle tv-serie hackere gjør.

He, he.. Hollywood hacker's er i stand til det utroligste.

[norlæning]

En boot-cd med Offline NT Pasword Recovery Editor gjør susen... Lister opp alle brukerkontoene på en pc, forfremmer hvemsomhelst til Administrator og blanker ut passordet for brukeren. Funker på alle Windows'ene til nå. Har selv testa den på NT4, XP og Vista, hvor innloggingspassordet enten var glemt, korrupt brukerprofil eller annet krøll som gjorde at man ikke fikk logget seg inn på maskina.

[DarkSlayer]

Ansiktsgjennkjenning er så grotesk i sin spede barndom at slik hacking kan overhode ikke kalles hacking. For 20år siden, ok, men ikke i dag.

 

Men at slike ting skulle vært markert som "leketøy" er jo åpenbart.

 

Du skal ha en meget avansert fingeravtrykksleser for å forhindre tull. De mest avanserte har jo temperaturmåler og annet knæsj.

 

Men til syvende og sist:

 

Skal man ha god sikkerhet, så MÅ det inneholde "noe du har" OG "noe du vet". Visakort + pin kode er et eksempel. Bankid kalkulator + passord, rsa kalkulator + passord ... etc.

 

Når man KUN bruker fingeravtrykk, tryne, iris, whatever legeme på din kropp. Så ser man fort at kun den ene delen er oppfylt. Nemlig noe du har.

Men det dumme her er jo at finger, tryne, iris er jo ikke noe som kan byttes ut om noen "stjeler" det. Og det er lett....

[cyclo]

Biometrisk identifisering vil _aldri_ bli noe annet enn et suplement til tradisjonell passord- eller sertifikatbeskyttelse.

 

Passord- eller sertifikatbeskyttelse har 0% false negatives og 0% false positives. Alle biometriske mekanismer har høye verdier her, den ene høyere enn den andre. Den som ligger best an er fingeravtrykk med bare henholdsvis 0.4 og 0.1 prosent [kilde: Scientific American September 2008] (merk. Dette betyr at man statistisk sett 1 av 1000 ganger vil man slippe uvedkommende inn på systemet). Man vil nok klare å redusere disse tallene etterhvert som man utvikler bedre utstyr, men ingenting tyder på at noe biometrisk system noensinne vil nå null.

 

Det neste er at det skal særdeles lite til for å "miste" det man identifserer seg med når man bruker biometri. Et lite uhell med en kokende gryte vann, og vips kan man ikke bruke fingeravtrykk på en god stund. Et uheldig fall på isen, og vips kan man ikke bruke ansiktsgjennkjenning på rimelig lenge. Og så videre. Passord eller sertifikat derimot kan man ta kopi av på en sikker måte, slik at man ikke kan miste muligheten for å identifisere seg.

 

Om man bruker biometrisk identifisering, uten å samtidig kreve passord eller sertifikat har man lagd et meget usikkert system. Slikt burde absolutt ikke forekomme (kanskje med unntak av beskyttelse av pornoen på gutterommet )

[ole_marius]

tror noe av det sikreste er å ha passord i biosen , et alternativt OS som linux (siden linux er generelt lite er det ikke så mange som orker å prøve å hacke den), forskjellige passord enn det som er i biosen til oppstart og påkrevd fingeravtrykk etter korrekt passord

[arnbju]

Passord i bios omgås jo lett ved å resette bios.

[Anders Jensen]

En boot-cd med Offline NT Pasword Recovery Editor gjør susen... Lister opp alle brukerkontoene på en pc, forfremmer hvemsomhelst til Administrator og blanker ut passordet for brukeren. Funker på alle Windows'ene til nå. Har selv testa den på NT4, XP og Vista, hvor innloggingspassordet enten var glemt, korrupt brukerprofil eller annet krøll som gjorde at man ikke fikk logget seg inn på maskina.

Bruker denne selv med jevne mellomrom i jobbsammenheng. Typisk en unmanaged PC som noen har glemt passordet på. Hvis du setter BIOS passord enten på boot eller mot BIOS setting + tvinger boot fra disk så må du få slettet eller gjettet dette passordet før du kommer videre. Det krever typisk at du åpner maskina og dermed er det ikke noe du kan gjøre uten å ha full kontroll på den. Det vil videre være ganske åpenbart at noen har brutt seg inn. Samme med bruk av den CDen forøvrig.

[War]

Mytebusterene brukte en "hemmemig" ingrediens i blandingen.

Noen som fant ut hva det var?

 

De ville ikke si det så alle som så på kunne bryte seg inn like lett.

[GullLars]

De fant ut at i de fleste tilfeller var alt du trengde å skrive ut fingeravtrykket i svart-hvitt (2d mønster), feste det på tommelen (for varme og puls), og slikke på arket for elektrisk lederevne tilsvarende hud. Dette kracket "den sikreste fingeravtrykkleseren for private personer". For en fingeravtrykkleser for PC måtte de til med 3D avstøpsel siden den leste av kontaktflatemønster, som egentlig også var en smal sak å få til for de med rette redskaper.

Hvis du virkelig skal beskytte noe på en disk er det full disk kryptering som er nøkkelen ja, og da helst med et tilfeldig generert passord på 20+ siffer med spesialtegn for å forhindre brute force.

[War]

Utsette brute force ja.

Kan jo brute wpa2 på 10min nå med en vanlig pc.