Smartphones: Fettrückstände verraten Passwörter

Fettrückstände auf Smartphone-Bildschirmen können dazu benutzt werden, die Passwörter der Handys zu knacken. Mithilfe von einfachen Fotografien der Touchscreens konnten Wissenschaftler der University of Pennsylvania die Bewegungsabfolge der Finger nachvollziehen, mit denen die richtige Zahlenkombination für die PIN-Nummern eingegeben worden ist. Bei 96 Prozent der Fälle konnten große Fragmente der Passwortkombinationen wiederhergestellt werden, bei weiteren 68 Prozent das komplette Passwort.

Die Wissenschaftler fotografierten in dem Experiment die Touchscreens zweier HTC-Android-Handys (G1 und Nexus1) aus verschiedenen Perspektiven und analysierten die Bilder daraufhin mit üblicher Fotobearbeitungs-Software. Die Untersuchung dieser Bilder ergab, dass die natürlichen Fettrückstände der Haut Rückschlüsse über die eingegebenen Daten erlauben.

Auch bei Geldautomaten möglich

„Es ist erstaunlich schwierig, die Fettrückstände auf den Touchscreens zu verwischen oder unkenntlich zu machen“, so die Wissenschaftler in ihrer Analyse. Aus diesem Grund sei ein sogenannter „Smudge Attack“ („Schmierfleck-Angriff“) auch als Gefahr für die Sicherheit der Handydaten anzusehen.

Einfallsreiche Angreifer könnten mithilfe dieser einfachen Technik neben Handypasswörtern auch andere Informationen stehlen, die über Touchscreens weitergegeben werden. Die Wissenschaftler sprechen hierbei beispielsweise von Geldautomaten, E-Voting-Geräten und den in Amerika üblichen Bildschirmen bei Supermarktkassen.

Die im Experiment verwendeten HTC-Handys sind mit dem Android-Betriebssystem ausgestattet. Um das Telefon freizuschalten, müssen die Nutzer aus einem 3×3 Zahlen umfassenden Keypad ihr Passwort festlegen. Aufgrund mehrerer Restriktionen gibt es insgesamt 389.112 mögliche Zahlenkombinationen, weshalb die Wissenschaftler dieses System als besonders gefährdet ansehen.

Das Forschungspapier der Penn University ist unter http://www.usenix.org/events/woot10/tech/full_papers/Aviv.pdf als PDF abrufbar.