Innovatrics: Penetrationstests für biometrische Identitätsprüfung

Aufgabenstellung

Innovatrics beauftragte uns mit einer unabhängigen Sicherheitsprüfung seines Identity Verification (IDV) Toolkits, einer Lösung zur digitalen Identitätsverifizierung. Ziel war es, die Widerstandsfähigkeit des Systems gegen fortgeschrittene Angriffe mit manipulierten biometrischen Daten sowie gegen Versuche zur Umgehung der Lebenderkennung (Liveness Detection) zu überprüfen.

In Abstimmung mit dem Kunden entschieden wir uns für einen Black-Box-Penetrationstest, der das Vorgehen eines realen Angreifers ohne Zugriff auf den Quellcode oder interne Dokumentation simuliert. Im Mittelpunkt der Prüfung standen die Android-Plattform, die Android Face Lite Library und deren Kommunikation mit dem Digital Identity Service (DIS).

Unsere Lösung

Während 16 Tagen intensiver Penetrationstests untersuchten wir die Sicherheit der Lösung mithilfe von Reverse Engineering, statischer und dynamischer Anwendungsanalyse sowie simulierten Angriffen durch das Einschleusen manipulierter biometrischer Daten.

Unsere Ethical Hacker versuchten mit verschiedenen Methoden, die Sicherheitsmechanismen zu umgehen. Dazu gehörten das Ersetzen des Live-Kamerabildes durch eine zuvor aufgezeichnete Videosequenz, die Manipulation biometrischer Daten direkt im Anwendungsspeicher und das Einschleusen von Bilddaten auf Ebene nativer Bibliotheken. Darüber hinaus analysierten wir die Netzwerkkommunikation, Authentifizierungstoken und die Schutzmechanismen der Anwendung.

Obwohl es uns gelang, einige der anfänglichen Schutzmechanismen zu überwinden und die Kontrolle über den Speicher der Client-Anwendung zu erlangen, führte keines der getesteten Angriffsszenarien zu einer erfolgreichen Umgehung der biometrischen Identitätsprüfung. Die mehrschichtige Sicherheitsarchitektur der Lösung erkannte Manipulationsversuche und wies gefälschte Daten zurück.

Die Testergebnisse lieferten Innovatrics eine unabhängige Bestätigung der Widerstandsfähigkeit seiner Lösung gegenüber den getesteten Angriffstechniken und stärkten das Vertrauen des Kunden in deren Sicherheit.

„Im Rahmen eines bedeutenden Kundenprojekts mussten wir die Widerstandsfähigkeit unserer Lösung zur Identitätsverifizierung gegen Angriffe mit manipulierten biometrischen Daten (Injection Attacks) unabhängig überprüfen lassen. Wir haben uns aufgrund der fachlichen Expertise, des guten Rufs und der Fähigkeit, die Tests innerhalb eines engen Zeitrahmens durchzuführen, für Citadelo entschieden. Die Ergebnisse der Sicherheitsprüfung bestätigten unabhängig die Widerstandsfähigkeit unserer Lösung und stärkten das Vertrauen unseres Kunden in deren Sicherheit.“

Viktor Bielko, Product Manager, IDV Toolkit, Innovatrics

Kunde

Innovatrics ist ein slowakisches Technologieunternehmen, das sich auf die Entwicklung biometrischer Lösungen zur Identitätsprüfung und Personenidentifizierung spezialisiert hat. Seine Technologien nutzen Gesichtserkennung, Fingerabdruckerkennung und weitere biometrische Verfahren zur Absicherung digitaler Identitäten. Die Lösungen des Unternehmens kommen im Finanzsektor, in der öffentlichen Verwaltung und in weiteren Branchen zum Einsatz, in denen eine zuverlässige und sichere Identitätsprüfung erforderlich ist.