---

Hej

Jeg er ved at skrive en opgave, som bl.a. omfatter sikkerhed i kryptering.
Jeg har et spørgsmål, som jeg ikke har kunne finde et svar på noget sted.

Hvis man har en iris- eller fingeraftryksscanner koblet til en pc, og bruger
denne fx i forbindelse med NT-logon eller kryptering af filer, er det så
muligt på nogen måde at bryde denne kryptering/logon eller "snyde"
scanneren? Det jeg er interesseret i, er en sammenligning af sikkerheden ved
fx fingeraftryks- eller iris-scanning vs password. Umiddelbart skulle man jo
synes at det er umuligt at bryde, da man ikke som med password kan prøve sig
frem (eller sætte et program til det), men er der noget andet jeg overser?

Er der nogle der har et link til noget materiale som beskriver denne
sikkerhed, eller som kan fortælle noget om dette?

Mvh

Mads-Ole

---

"Mads-Ole" == Mads-Ole Bak <<mobak@wanadoo.dk>> writes:

[Om sikkerhed i biometrisk adganskontrol]

> Er der nogle der har et link til noget materiale som beskriver denne
> sikkerhed, eller som kan fortælle noget om dette?

Her er et link der fortæller hvordan det er lykkes at snyde flere
fingeraftrykslæsere ved hjælp af ret simple hjælpemidler:

<http://cryptome.org/gummy.htm>

--
/Wegge

---

Anders Wegge Jakobsen wrote:
> Her er et link der fortæller hvordan det er lykkes at snyde flere
> fingeraftrykslæsere ved hjælp af ret simple hjælpemidler:
> <http://cryptome.org/gummy.htm>

Endnu mere simple hjælpemidler gennemgåes hos c't,

http://www.heise.de/ct/english/02/11/114/


--
Christian E. Lysel, http://www.spindelnet.dk/

Kunst? http://www.firewallmonkeys.com/songs/

---

Mads-Ole Bak wrote:

> Hvis man har en iris- eller fingeraftryksscanner koblet til en pc, og bruger
> denne fx i forbindelse med NT-logon eller kryptering af filer, er det så
> muligt på nogen måde at bryde denne kryptering/logon eller "snyde"
> scanneren?

Er signalvejen mellem aflæser og PC sikker?

Er det muligt at narre computeren til at tro en "rigtig" finger/iris er
aflæst?

Hvad med replay? Altså hvor en tidligere, successfuld identificering
bliver gentaget for computeren.

Hvad med selve aflæseren? Kan et fingeraftryk "løftes" fra pladen og
bruges igen?

Hvad med PCen? Er dataene der bliver brugt til at identificere
fingeraftryk sikret godt nok?

Hvis dataene ligger i aflæseren, hvor sikker er den så?

Det var lige de ting jeg kunne komme på. Der er sikkert mange flere.

--
..signature

---

Mads-Ole Bak < wrote:
> Det jeg er interesseret i, er en sammenligning af sikkerheden ved
> fx fingeraftryks- eller iris-scanning vs password. Umiddelbart skulle man jo
> synes at det er umuligt at bryde, da man ikke som med password kan prøve sig
> frem (eller sætte et program til det), men er der noget andet jeg overser?

Det springende punkt er om scanneren kan erkende den præsenterede biometri som
levende. Ellers vil det blive meget populært at skære fingrene af folk, eller
hovedet hvis vi taler om Iris.




--
------------------------- Med Liberalistiske Hilsner --------------------------
Civilingeniør, Kjeld Flarup - Mit sind er mere åbent end min tegnebog
Ådalen 8, Mogenstrup, 7800 Skive, Tlf: 40 29 41 49, Fax: 96 95 74 48
Den ikke akademiske hjemmeside for liberalismen - www.liberalismen.dk

---

In article <3e25b26e$0$233$edfadb0f@dread15.news.tele.dk>, Mads-Ole Bak wrote:
> Hej
>
> Jeg er ved at skrive en opgave, som bl.a. omfatter sikkerhed i kryptering.
> Jeg har et spørgsmål, som jeg ikke har kunne finde et svar på noget sted.
>
> Hvis man har en iris- eller fingeraftryksscanner koblet til en pc, og bruger
> denne fx i forbindelse med NT-logon eller kryptering af filer, er det så
> muligt på nogen måde at bryde denne kryptering/logon eller "snyde"
> scanneren? Det jeg er interesseret i, er en sammenligning af sikkerheden ved
> fx fingeraftryks- eller iris-scanning vs password. Umiddelbart skulle man jo
> synes at det er umuligt at bryde, da man ikke som med password kan prøve sig
> frem (eller sætte et program til det), men er der noget andet jeg overser?

Ja. De fleste Biometriske fidelihutter har i dag en ret høj
sandsynlighed for at lave falske positiver. Og en irisscanner kan
vel snydes med et billede/video.
>
> Er der nogle der har et link til noget materiale som beskriver denne
> sikkerhed, eller som kan fortælle noget om dette?

Den er i dag ikke tilstrækkelig, og jeg tvivler på om den
bliver det.

Det er langt bedre med eksempelvis en Aladdin eKey eller
en RSA SecurID token anvendt sammen med password.

--
To get blacklisted please mail to listme@listme.dsbl.org
Writing to the above address will blacklist your mailserver.
Hvis du skriver til ovenstående e-mail bliver din mailserver blacklistet.

---

"Povl H. Pedersen" wrote:
>
> RSA SecurID token anvendt sammen med password.

Er der egentlig nogen her, der ved hvordan sådan en
token virker? Jeg har læst på RSAs hjemmeside, at der
genereres et pseudotilfældigt tal med klokkeslet og
nøgle som seed, og serveren generer et tal på samme
måde og sammenligner. Men hvordan kan uret i token
og server holdes synkroniseret?

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
for(_=52;_;(_%5)||(_/=5),(_%5)&&(_-=2))putchar(_);

---

Kasper Dupont wrote:
> Er der egentlig nogen her, der ved hvordan sådan en
> token virker? Jeg har læst på RSAs hjemmeside, at der

Var der ikke noget med et patent der forhindre folk i at finde ud af
hvordan det virker.

Der findes vist nok nogle der lavede reverse engineering på software
klienten. Dog kan kan jeg ikke finde det på google mere.

Prøv evt. at kikke denne tråd igennem,

http://groups.google.com/groups?selm=fL587.8557%24LP2.835633%40bgtnsc06-news.ops.worldnet.att.net

> genereres et pseudotilfældigt tal med klokkeslet og
> nøgle som seed, og serveren generer et tal på samme
> måde og sammenligner. Men hvordan kan uret i token
> og server holdes synkroniseret?

Det kan de heller ikke, og i virkeligheden går de to enheder ikke lige
præsist.

Heldivis er der nogle brugere der brugere deres token op imod serveren
:) Serveren kan derved ved brugervalideringen synkronisere sin tid i
forhold til det enkelte token.



--
Christian E. Lysel, http://www.spindelnet.dk/

Kunst? http://www.firewallmonkeys.com/songs/

---

> > RSA SecurID token anvendt sammen med password.
>
> Er der egentlig nogen her, der ved hvordan sådan en
> token virker? Jeg har læst på RSAs hjemmeside, at der
> genereres et pseudotilfældigt tal med klokkeslet og
> nøgle som seed, og serveren generer et tal på samme
> måde og sammenligner. Men hvordan kan uret i token
> og server holdes synkroniseret?
>

Det behøver nu ikke være så pokkers præcist.. en SecureID token skifter 1
gang i minuttet - og i teorien, kan serveren sagtens "se" om de tal der
indtastes er en periode for tidligt, eller sent, og derved korrigere tiden.
En gang i mellem oplever man, at de kommer ud af sync, og systemet beder om
at få NÆSTE visning indtastet, når tallet skifter - og vupti - systemet er
igen i sync.

/Morten

---

Kasper Dupont <kasperd@daimi.au.dk> writes:

> "Povl H. Pedersen" wrote:
> >
> > RSA SecurID token anvendt sammen med password.
>
> Er der egentlig nogen her, der ved hvordan sådan en
> token virker? Jeg har læst på RSAs hjemmeside, at der
> genereres et pseudotilfældigt tal med klokkeslet og
> nøgle som seed, og serveren generer et tal på samme
> måde og sammenligner.

Se også:
http://www.atstake.com/research/reports/acrobat/initial_securid_analysis.pdf

--
Thomas Bjorn Andersen - tbaNOSPAM200211@gen-v.net
+++ATH

---

Povl H. Pedersen wrote:
> Ja. De fleste Biometriske fidelihutter har i dag en ret høj
> sandsynlighed for at lave falske positiver. Og en irisscanner kan
> vel snydes med et billede/video.

Sjovt nok er det ikke det producenterne fortæller til deres kunder.

> Det er langt bedre med eksempelvis en Aladdin eKey eller
> en RSA SecurID token anvendt sammen med password.

Det jeg har læst om Aladdin eKey virker ikke overbevisende (måske har
jeg dog ikke læst nok), men kan en komprimiteret klient maskine ikke
afslører nøglen?

Min største anke imod RSA er patentet og at de er forprogrammeret, og du
ingen indflydelse har på hvordan krypterings nøglen ser ud.

--
Christian E. Lysel, http://www.spindelnet.dk/

Kunst? http://www.firewallmonkeys.com/songs/