Lenovo gesteht Sicherheitslücken im Fingerprint Manager ein
Zusammenfassung
Lenovo räumte im Januar 2018 Lücken in seiner Software Fingerprint Manager Pro ein, die auf Rechnern mit Windows 7, 8 und 8.1 biometrische Daten verwaltete. Die Software nutzte einen schwachen Verschlüsselungsalgorithmus, enthielt ein fest eingebautes Passwort und war für lokale Benutzer ohne besondere Rechte zugänglich. Windows 10 war nicht betroffen, weil dort Windows Hello die Funktion übernimmt.
Ideen
- Ein hartcodiertes Passwort macht jede Verschlüsselung wertlos.
- Biometrische Daten wurden für Webseiten und Anmeldungen auf dem Gerät gespeichert.
- In das Betriebssystem integrierte Funktionen ersetzten Herstellersoftware.
Einsichten
- Zusatzsoftware von Geräteherstellern ist oft schwächer abgesichert als das Betriebssystem.
- Bei Biometrie wiegen Lecks schwerer, weil Fingerabdrücke nicht austauschbar sind.
Fakten
- Entdeckt hat die Lücken Jackson Turaisamy von Security Compass.
- Lenovo nannte den verwendeten Algorithmus nicht.
- Lenovo empfahl ein Update auf Version 8.01.87 oder neuer.
Referenzen
Kritik
- Die Meldung sagt nicht, ob gespeicherte Anmeldedaten nach dem Update neu verschlüsselt oder gelöscht werden mussten.
Empfehlungen
- Entferne vorinstallierte Herstellersoftware, deren Funktion das Betriebssystem selbst bietet.
- Speichere biometrische Daten nur in dafür vorgesehener Sicherheitshardware des Geräts.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.