Krönika: Touch ID har inte hackats!

En av de största nyheterna med Iphone 5S var den inbyggda fingeravtrycksläsaren Touch ID. Genast började datasäkerhetsintresserade nördar försöka hitta fel i den nya #säkerhetslösningen, och det är precis så det ska fungera! Hela vår IT-värld förlitar sig på att nördar med goda intentioner försöker hitta fel i systemen som skyddar oss och vår data. Utan dem hade vi inte vetat vilka lösningar vi kan lita på och vilka vi bör undvika.

Vad vi däremot inte behöver är sensationalism. Just nu översvämmas nätet av rubriker som antyder att Touch ID i nya Iphone 6 och Iphone 6 Plus skulle ha hackats. Det stämmer inte!

Touch ID i Iphone 5S hackades aldrig. Däremot lyckades Marc Rogers på säkerhetsföretaget Lookout att lura Touch-ID med ett fejkat finger som han hade byggt från ett perfekt fingeravtryck (i hans ursprungliga blogginlägg beskriver han hur komplicerat det var). Det är stor skillnad på att kunna lura ett säkerhetssystem och att hacka det.

Att "lura" Touch ID med ett fejkat finger kan liknas vid att spionera och se vilken PIN-kod en Iphoneägare knappar in. Genom att sedan sno telefonen och skriva in samma PIN-kod, luras PIN-prompten att tro att tjuven är den rättmätige Iphoneägaren. Att däremot "hacka" Touch ID skulle innebära att, på mjukvarubasis, gå förbi säkerhetsfunktionen. Det skulle innebära att det fanns en bugg i Touch ID som gjorde att en mjukvara kunde få skärmlåset att släppa in en obehörig användare.

Skyddad enklav

En Iphoneägares fingeravtrycksinformation lagras i telefonens skyddade enklav, som är en dedikerad del av A7- och A8-systemchippen i Iphone 5S, Iphone 6 och Iphone 6 Plus (det vill säga alla IOS-enheter med fingeravtrycksläsare). En mjukvara (till exempel skärmlåset) som vill bekräfta användarens identitet, ber användaren att lägga sitt finger på fingeravtrycksläsaren. Den inlästa informationen skickas till den skyddade enklaven som antingen bekräftar att det är rätt fingeravtryck eller förkastar det som ett ej godkänt fingeravtryck.

Om Touch ID hade blivit hackat hade det inneburit att någon kunnat få den skyddade enklaven att godkänna fingeravtrycket, även om läsaren hade läst in ett icke överensstämmande fingeravtryck (eller inget fingeravtryck alls). Det hade också kunnat innebära att någon systematiskt hade lyckats ändra i den krypterade datan som skickas till och från den skyddade enklaven. I båda fallen hade det inneburit en möjlighet att gå förbi hela skyddsproceduren! Som tur är har detta inte hänt (inte vad någon känner till i alla fall).

Touch ID har alltså inte blivit hackat. Touch ID har blivit lurat. Att det skulle vara möjligt att lura en fingeravtrycksläsare kom inte som någon stor överraskning. Jag är väldigt glad att Marc Rogers tog sig tid att undersöka hur svårt det är att lura säkerhetsfunktionen i Iphone 5S, och sedan även upprepa det med Iphone 6 och Iphone 6 Plus.

Det är sådana initiativ som får användare att kunna lita mer på bra säkerhetslösningar, under förutsättning att media kommunicerar ut informationen på ett korrekt sätt. När medierna jagar webbsidesklick med missvisande rubriker får det rakt motsatt effekt, och jobbet som Marc Rogers gjort blir direkt kontraproduktivt. Medierna borde försöka få fler att använda Touch ID, inte tvärtom.

Touch-ID är den enskilt största anledningen till att jag funderar på att byta från Nexus 5 till Iphone 6 Plus. Touch ID ger inget Fort Knox-skydd, men det är faktiskt svårare att lura Touch ID än att lura PIN-prompten (det vill säga att se vilken PIN-kod som knappas in). Touch ID erbjuder en bra balans mellan säkerhet och enkelhet, och att hålla den balansen är oerhört viktigt. Utan att väga in enkelheten spelar det ingen roll hur säker lösningen är, eftersom ingen kommer att använda den!

Apple har både haft bra och dåliga säkerhetslösningar genom tiderna. De var till exempel sena med att lansera tvåfaktors-autentisering i Sverige, och nu använder de en egenutvecklad lösning istället för branschstandarden som fungerar i alla operativsystem. När det gäller just upplåsning av skärmlås är Touch ID dock den bästa lösningen jag har sett, så jag hoppas verkligen att inga missvisande rubriker får Iphoneägare att välja en mindre säker lösning.

Läs gärna Marc Rogers eget blogginlägg och Apples whitepaper om hur Touch ID och säkerheten i IOS 7 fungerar (Apple har inte uppdaterat informationen för IOS 8 ännu).