Sikkerhed ved Fingeraftryk på Din Mobil

Fingeraftryksscannere er blevet en uundværlig del af vores moderne smartphones. Fra Apples introduktion af Touch ID på iPhone 5s i 2013 til deres udbredte anvendelse på næsten alle Android-telefoner i dag, har de revolutioneret måden, vi låser vores enheder op på. De tilbyder en hidtil uset bekvemmelighed, hvor et hurtigt tryk er nok til at få adgang til vores digitale liv, uden besværet med at huske komplekse adgangskoder. Men bag denne lethed og intuitive brug gemmer sig et komplekst spørgsmål: Hvor sikre er disse fingeraftryksscannere egentlig? Kan de virkelig beskytte vores mest følsomme data mod de stadigt mere sofistikerede trusler fra cyberkriminelle? Svaret er mere nuanceret, end man umiddelbart skulle tro. Selvom fingeraftryksscannere generelt betragtes som mere sikre end traditionelle adgangskoder og endda ansigtsgenkendelse i visse scenarier, er de desværre ikke idiotsikre. Faktisk findes der adskillige metoder, som ondsindede aktører kan udnytte for at omgå dem og potentielt stjæle din identitet eller få adgang til dine personlige oplysninger. I denne artikel vil vi dykke ned i, hvordan fingeraftryksscannere fungerer, afsløre de mest fremtrædende metoder hackere bruger til at omgå dem, og vigtigst af alt, give dig konkrete råd til, hvordan du bedst beskytter dine fingeraftryksdata og styrker din digitale sikkerhed.

Lad os starte med at forstå den grundlæggende teknologi bag disse scannere, for at få en bedre indsigt i, hvor sårbarhederne potentielt kan opstå.

Hvad er fingeraftryksscanning, og hvordan fungerer den?

Fingeraftryksscanning er en biometrisk autentificeringsmetode, der bruger de unikke mønstre i en persons fingeraftryk til at bekræfte deres identitet. Når du indstiller dit fingeraftryk på din telefon, scanner enheden dit fingeraftryk flere gange fra forskellige vinkler for at skabe en detaljeret digital repræsentation. Denne repræsentation gemmes derefter sikkert på enheden. Når du forsøger at låse telefonen op, sammenlignes dit scannede fingeraftryk med den gemte repræsentation. Hvis der er et tilstrækkeligt match, gives der adgang.

Der findes primært to kerneteknologier bag fingeraftryksscannere i mobiltelefoner:

Optisk Scanner

Den optiske scanner er den ældste og mest enkle type. Den fungerer ved at tage et digitalt billede af dit fingeraftryk ved hjælp af et kamera og en lyskilde (ofte LED'er). Lyset reflekteres fra fingeren, og kameraet fanger mønstret af riller og dale. Softwaren sammenligner derefter dette todimensionale billede med det gemte fingeraftryksbillede. Da den primært er baseret på et visuelt billede, er denne type scanner relativt let at narre. Et højopløseligt billede af et fingeraftryk, printet med en god DPI-printer, kan potentielt være nok til at omgå denne type scanner. Dette gør den mindre sikker sammenlignet med den kapacitive scanner.

Kapacitiv Scanner

Den kapacitive scanner er mere avanceret og betragtes som mere sikker. I stedet for at tage et billede, bruger denne teknologi et array af små kondensatorer til at måle de elektriske ladninger, der ændrer sig, når en finger placeres på sensoren. Toppen af rillerne i fingeraftrykket er tættere på sensoren og skaber en højere kapacitans, mens dalene er længere væk og skaber en lavere kapacitans. Dette skaber et elektrisk kort over fingeraftrykket. En kompleks elektrisk kredsløb under sensoren fanger disse data, som derefter bruges til at sammenligne med det scannede fingeraftryk. Da den måler de fysiske egenskaber af fingeren (dens ledningsevne), er det langt sværere at narre den med et fladt billede. Samsung Galaxy S8 og mange moderne iPhones (før Face ID) har brugt denne teknik, hvilket gør dem mere modstandsdygtige over for simple forfalskninger.

Her er en hurtig sammenligning:

Er fingeraftryksscannere sikre?

Umiddelbart ville man tro, at da en fingeraftryksscanner bogstaveligt talt kræver dit fingeraftryk, kunne den ikke omgås. Men det ville være en fejlagtig antagelse. Selvom fingeraftryksscannere generelt er mere sikre end ansigtsgenkendelse og adgangskoder i nogle tilfælde, er de ikke idiotsikre. Faktisk er der flere måder, ondsindede aktører kan omgå dem for at stjæle din identitet eller få adgang til dine data.

En interessant observation, som viser en potentiel sårbarhed, opstår under selve opsætningen af fingeraftryksscanneren. Forestil dig, at du indstiller dit fingeraftryk på en ny telefon, og en anden person, f.eks. en bror eller ven, bidrager med nogle af deres egne fingeraftryk under opsætningsprocessen – altså når telefonen beder dig om at løfte og hvile fingeren gentagne gange for at fange alle mulige vinkler. Det viser sig, at det i mange tilfælde er muligt at 'snyde' telefonen. Selvom telefonen kun registrerer ét fingeraftryk, vil begge personer kunne låse telefonen op. Dette skyldes sandsynligvis en fejl i, hvordan fingeraftryksindtrykkene indsamles og gemmes. I stedet for at sikre, at alle successive scanninger tilhører den samme finger, lagrer systemet måske blot en række uafhængige datapunkt. Når du derefter scanner en finger for at låse enheden op, sammenlignes scanningen med et 'array' af binære repræsentationer fra de fingre, der blev scannet under opsætningen. Hvis en af disse matcher, får du adgang. Dette indikerer en grundlæggende designfejl i, hvordan nogle systemer håndterer indsamling og lagring af biometriske data, og understreger behovet for mere stringent validering under opsætningsprocessen for at sikre, at alle registrerede scanninger faktisk stammer fra den samme unikke finger.

5 Metoder Hackere Bruger til at Omgå Fingeraftryksscannere

Hackere udvikler konstant nye og mere sofistikerede metoder til at omgå sikkerhedssystemer, herunder fingeraftryksscannere. Her er fem af de mest fremtrædende metoder, de anvender:

1. Masterprints og DeepMasterPrints

Hackere udnytter konceptet om "masterprints", som er fingeraftryk, der er konstrueret til at matche flere individers fingeraftryk. Forskere ved NYU Tandon har udviklet "DeepMasterPrints" ved hjælp af maskinlæring til at generere syntetiske fingeraftryk, der kan narre sensorer ved at efterligne almindelige fingeraftrækstræk. Disse kunstige aftryk kan matche med en betydelig procentdel af lagrede fingeraftryk, især på enheder med mindre strenge sikkerhedsindstillinger. Ideen er, at et fingeraftryk ikke er en perfekt match, men snarere et mønster, der falder inden for et acceptabelt område af lighed. Masterprints er designet til at overlappe med mange af disse acceptable områder, hvilket øger chancerne for et match. DeepMasterPrints tager dette et skridt videre ved at bruge avancerede algoritmer til at skabe fingeraftryk, der er 'ideelle' til at narre systemer, fordi de inkorporerer de mest sandsynlige træk, der genkendes af scannere. Selvom det lyder som science fiction, er denne metode en reel trussel, især mod ældre eller mindre avancerede scannere.

2. Forfalskede fingeraftryk med 3D-print

En anden metode hackere bruger er at fremstille falske fingeraftryk. De kan løfte aftryk fra overflader, du har rørt ved – f.eks. glasset på din telefon, et dørhåndtag eller en kop – og derefter bruge materialer som stoflim, gelatine eller endda avancerede 3D-printere til at skabe forme. Forskere fra Cisco Talos har f.eks. udført eksperimenter, hvor de brugte 3D-print til at skabe falske fingeraftryk og testede dem på forskellige enheder, herunder iPhone 8, Samsung S10, laptops som Samsung Note 9, Lenovo Yoga og HP Pavilion X360, samt smart-gadgets som hængelåse. I gennemsnit lykkedes det de falske fingeraftryk at narre sensorerne cirka 80% af tiden, og de var i stand til at få adgang mindst én gang. Dette viser, at selvom processen kræver fysisk adgang til et fingeraftryk og de rette materialer, er det en yderst effektiv metode, når den lykkes. Det understreger vigtigheden af at være opmærksom på, hvor du efterlader dine fingeraftryk.

3. Brute force-angreb via BrutePrint

Angribere har fundet en billig måde at bryde ind i smartphones på ved hjælp af brute force-autentificering af fingeraftryk. Metoden, kaldet BrutePrint, gør det muligt for angribere at omgå de sædvanlige begrænsninger, der forhindrer for mange mislykkede fingeraftryksforsøg. Den udnytter to tidligere ukendte fejl i fingeraftrykssystemet, kaldet Cancel-After-Match-Fail (CAMF) og Match-After-Lock (MAL). Disse fejl eksisterer på grund af svag beskyttelse af fingeraftryksdata på en del af hardwaren kaldet Serial Peripheral Interface (SPI).

Grundlæggende bruger BrutePrint et hardware-baseret 'man-in-the-middle'-angreb til at kapre fingeraftryksdata. Det placerer sig mellem fingeraftrykssensoren og telefonens sikre område (Trusted Execution Environment) og forsøger så mange fingeraftryksbilleder som nødvendigt, indtil det finder et match. Den 'lette' del er, at angriberen skal have fysisk adgang til telefonen, for at denne metode kan fungere. Dette er en sofistikeret angrebsmetode, der kræver specialudstyr og teknisk viden, men den viser, at selv hardware-baserede sikkerhedsforanstaltninger kan have sårbarheder, der kan udnyttes.

4. Side-channel-angreb med PrintListener

PrintListener er et side-channel-angreb, der fanger lyden af en finger, der stryger over en skærm, for at udtrække fingeraftrækstræk. Det lyder måske som noget fra en science fiction-film, men forskere har allerede bygget et 'proof of concept'. Ved at analysere friktionslydene kan angribere rekonstruere fingeraftryksmønstre, hvilket potentielt kan forbedre effektiviteten af masterprint-angreb. Hver gang en finger interagerer med en touchskærm, produceres der mikroskopiske vibrationer og lyde. Disse lyde varierer afhængigt af fingeraftrykkets unikke riller og dale. Ved at bruge følsomme mikrofoner og avancerede lydanalysealgoritmer kan forskere dechifrere disse lydmønstre og konvertere dem tilbage til en visuel repræsentation af fingeraftrykket. Selvom denne metode stadig er på forskningsstadiet, understreger den den brede vifte af kreative måder, hackere søger at omgå biometrisk sikkerhed på, og viser, hvor komplekst det er at beskytte data i den digitale tidsalder.

5. Udnyttelse af usikret fingeraftryksdatalagring

Nogle enheder eller systemer lagrer fingeraftryksdata uden tilstrækkelig kryptering. Hvis angribere får adgang til disse ubeskyttede data, kan de replikere fingeraftryk for at omgå autentificering. Et skræmmende eksempel fra 2024 var en forkert konfigureret server, der eksponerede næsten 500 GB følsomme biometriske data, herunder fingeraftryk, ansigtsscanninger og personlige oplysninger om ansøgere til retshåndhævelse. Dette er ikke et direkte angreb på scanneren, men snarere en udnyttelse af svagheder i datalagring og -håndtering. Hvis fingeraftryksdata stjæles fra en database, kan de bruges til at skabe falske fingeraftryk eller til at omgå systemer, der stoler på en direkte sammenligning med den kompromitterede data. Dette understreger vigtigheden af, at virksomheder og app-udviklere implementerer robuste krypteringsstandarder og sikre lagringspraksis for alle biometriske data, de indsamler og behandler.

Kan du stole på fingeraftryksscannere?

Fingeraftryksscannere gør det nemt og relativt sikkert at låse dine enheder op. Da alle har unikke fingeraftryk, behøver du ikke huske komplicerede adgangskoder. Et hurtigt tryk, og du er inde. De fleste moderne enheder gemmer dine fingeraftryksdata i sikre dele af systemet, ofte i en 'sikker enklave' (secure enclave) eller Trusted Execution Environment (TEE), som er isolerede hardware-områder, der er designet til at beskytte følsomme data. De bruger også funktioner som 'liveness detection' for at sikre, at nogen ikke forsøger at narre scanneren med en falsk finger eller et billede. Dette indebærer ofte at tjekke for puls, blodgennemstrømning eller andre tegn på et levende fingeraftryk.

Alligevel er ingen sikkerhedsmetode perfekt. Dygtige angribere har fundet måder at komme forbi fingeraftryksscannere på ved hjælp af højopløselige fotos, 3D-printede fingre eller ved at udnytte fejl i, hvordan scanneren kommunikerer med resten af enheden. Risikoen afhænger virkelig af, hvor godt scanneren er designet, og hvor meget indsats nogen lægger i at bryde den. For de fleste mennesker er fingeraftryksautentificering hurtig, nem og sikker nok til daglig brug. Men hvis du håndterer meget følsomme oplysninger, er det måske ikke den bedste idé kun at stole på biometri. Den store forskel mellem fingeraftryk og adgangskoder er, at en kompromitteret adgangskode kan ændres, mens dit fingeraftryk er permanent. Dette gør det afgørende at supplere biometrisk autentificering med andre sikkerhedslag, især for kritiske applikationer.

7 måder at beskytte dine fingeraftryksdata på

At beskytte dine biometriske data er afgørende i en verden, hvor identitetstyveri er en konstant trussel. Her er syv essentielle sikkerhedsforanstaltninger, du kan implementere for at beskytte dine fingeraftryksdata og styrke din digitale privatlivsbeskyttelse:

1. Vælg betroede telefonmærker

Hvis du køber en telefon, hold dig til velkendte mærker som Apple, Samsung eller Google. Disse virksomheder tager ekstra skridt for at beskytte dine fingeraftryksdata ved at gemme dem i sikre områder af telefonen, der er sværere at få adgang til. De investerer massivt i forskning og udvikling af sikker hardware og software, og de har et omdømme at opretholde. Billigere eller mindre kendte mærker har muligvis ikke de samme beskyttelser, hvilket gør det lettere for angribere at stjæle dine data. Kvaliteten af sensoren, krypteringsmetoderne og den samlede sikkerhedsarkitektur varierer betydeligt mellem producenter.

2. Hold din telefon opdateret

Telefon opdateringer handler ikke kun om nye funktioner. De retter også sikkerhedsproblemer, som hackere potentielt kan udnytte til at bryde ind i din enhed. Hvis din telefon beder dig om at installere en opdatering, så gør det. De fleste telefoner giver dig også mulighed for at slå automatiske opdateringer til, så du ikke behøver at bekymre dig om at huske det. Regelmæssige sikkerhedsopdateringer lukker kendte sårbarheder og beskytter din enhed mod de seneste trusler. At holde din software opdateret er en af de nemmeste og vigtigste måder at forblive beskyttet på.

3. Brug stærk antivirussoftware

Installer stærk antivirussoftware for at opdage malware, der kan kompromittere lagring af biometriske data. God antivirussoftware tilbyder realtids trusselsdetektion, anti-phishing og privatlivsfunktioner for at blokere uautoriseret adgang til fingeraftryksdata. Den bedste måde at beskytte dig mod ondsindede links, der installerer malware og potentielt får adgang til dine private oplysninger, er at have stærk antivirussoftware installeret på alle dine enheder. Denne beskyttelse kan også advare dig om phishing-e-mails og ransomware-svindel, hvilket holder dine personlige oplysninger og digitale aktiver sikre.

4. Stol ikke kun på dit fingeraftryk

At bruge et fingeraftryk til at låse din telefon op er praktisk, men det bør ikke være dit eneste forsvar, især for følsomme apps som bank- eller e-mail-apps. Indstil altid en PIN-kode, adgangskode eller mønster som en backup på både din iPhone og Android-telefon. På denne måde, selvom nogen skulle lykkes med at kopiere dit fingeraftryk, har de stadig brug for et andet stykke information for at komme ind. Dette kaldes flerfaktorautentificering og tilføjer et ekstra lag af sikkerhed, der gør det betydeligt sværere for uautoriserede brugere at få adgang.

5. Vær forsigtig med, hvem der håndterer din telefon

Hvis en anden person bruger din telefon, især en fremmed eller en person, du ikke kender godt, kan de potentielt kopiere dit fingeraftryk fra skærmen. Det er sjældent, men det sker. For at reducere denne risiko skal du undgå at give din telefon til folk unødvendigt og tørre din skærm af lejlighedsvis for at fjerne eventuelle tydelige fingeraftryk. Overflader som touchskærme er ideelle til at efterlade spor, der kan udnyttes.

6. Brug kun fingeraftrykslogin med betroede apps

Ikke alle apps, der beder om dit fingeraftryk, er troværdige. Det er sikrest at bruge fingeraftrykslogin kun med apps fra kendte og pålidelige virksomheder, såsom din bank, telefonproducent eller e-mail-udbyder. Hvis en ukendt app beder om fingeraftryksadgang, er det bedre at springe det over og bruge din adgangskode i stedet. Ukendte eller mistænkelige apps kan have sårbarheder, der kan udnyttes, eller de kan endda være designet til at stjæle dine biometriske data. Læs altid app-anmeldelser og -tilladelser, før du giver adgang til følsomme data.

7. Overvej en service til fjernelse af personlige data

Selv fingeraftryksscannere kan omgås, og store mængder personlige og biometriske data er blevet eksponeret i databrud. Brug af en service til fjernelse af personlige data hjælper med at reducere din risiko ved at fjerne dine følsomme oplysninger fra offentlige databaser og data mæglerwebsteder, hvilket gør det sværere for hackere at sammensætte detaljer, der kan bruges til at stjæle din identitet. Disse tjenester scanner internettet for dine personlige oplysninger og arbejder med datamæglere for at få dem fjernet, hvilket reducerer din 'digitale fodaftryk' og den information, der er tilgængelig for potentielle angribere.

Afsluttende tanker

Fingeraftryksscannere tilbyder en fantastisk balance mellem bekvemmelighed og sikkerhed for de fleste brugere. De er hurtige, intuitive og eliminerer behovet for at huske lange, komplekse adgangskoder for hver eneste interaktion med din enhed. Men det er afgørende at anerkende, at ingen sikkerhedsforanstaltning er ufejlbarlig, og biometri er ingen undtagelse. Selvom de er sværere at gætte end en simpel adgangskode, er de – modsat en adgangskode – permanente. Hvis dit fingeraftryk kompromitteres, kan du ikke blot ændre det, som du ville med en adgangskode. Derfor er den bedste tilgang en kombination af teknologier og gode vaner. Brug af flerfaktorautentificering, hvor biometri suppleres af en stærk PIN-kode eller adgangskode, er den mest robuste strategi. Hold altid dine enheder opdaterede, vælg betroede mærker og vær opmærksom på, hvem der har adgang til din telefon. Ved at forstå både fordelene og begrænsningerne ved fingeraftryksscannere kan du træffe informerede beslutninger og beskytte dine digitale aktiver mod de stadigt udviklende cybertrusler.

Ofte Stillede Spørgsmål (FAQ)

Er fingeraftryksscannere mere sikre end adgangskoder?

Generelt er fingeraftryksscannere sværere at omgå end simple adgangskoder eller PIN-koder, da de udnytter unikke biometriske data. Dog er de ikke idiotsikre, og der findes avancerede metoder til at forfalske eller omgå dem. Den primære fordel ved adgangskoder er, at de kan ændres, hvis de kompromitteres, hvilket ikke er tilfældet med biometri.

Hvad er en 'masterprint'?

En 'masterprint' er et syntetisk eller specifikt valgt fingeraftryk, der er designet til at matche med et stort antal forskellige, ægte fingeraftryk. Forskere har brugt maskinlæring (DeepMasterPrints) til at skabe sådanne aftryk, der kan narre en betydelig procentdel af fingeraftryksscannere, især dem med lavere sikkerhedsstandarder.

Kan min fingeraftryksdata ændres, hvis den kompromitteres?

Nej, i modsætning til en adgangskode kan dit fingeraftryk ikke ændres. Hvis dine biometriske data kompromitteres, er det en permanent risiko. Dette understreger vigtigheden af at sikre, at dine fingeraftryksdata opbevares sikkert på din enhed og i ethvert system, der bruger dem.

Hvad er fordelene ved at bruge fingeraftryk til oplåsning?

De primære fordele er bekvemmelighed og hastighed. Det er hurtigere at placere en finger på en sensor end at indtaste en adgangskode. Det eliminerer også behovet for at huske komplekse koder og reducerer risikoen for, at adgangskoder bliver gættet eller stjålet gennem metoder som keylogging.

Hvorfor er det vigtigt at opdatere min telefon?

Softwareopdateringer indeholder ofte vigtige sikkerhedsrettelser, der lukker sårbarheder, som hackere ellers kunne udnytte. Regelmæssige opdateringer beskytter din enhed mod nye trusler og sikrer, at dit operativsystem og dine apps kører med de seneste sikkerhedsforanstaltninger.

Hvad er forskellen mellem en optisk og en kapacitiv fingeraftryksscanner?

En optisk scanner tager et 2D-billede af dit fingeraftryk og er lettere at narre med et falsk billede. En kapacitiv scanner måler de elektriske ladninger fra din finger og er mere sikker, da den kræver en fysisk, levende finger for at fungere korrekt. De fleste moderne smartphones bruger kapacitive eller mere avancerede ultralydsscannere.

Skal jeg bruge en PIN-kode eller adgangskode ud over mit fingeraftryk?

Ja, det anbefales kraftigt. At have en PIN-kode, adgangskode eller et mønster som backup giver et ekstra sikkerhedslag. Hvis dit fingeraftryk af en eller anden grund ikke virker, eller hvis det kompromitteres, har du stadig en anden metode til at beskytte din enhed. Dette er en form for flerfaktorautentificering, som øger din samlede sikkerhed betydeligt.

Hvis du vil læse andre artikler, der ligner Sikkerhed ved Fingeraftryk på Din Mobil, kan du besøge kategorien Teknologi.