Während sich Sicherheitsunternehmen darum bemühen, bekannte strukturelle Schwachstellen in der Sicherheitstechnologie auszumerzen, steigt die Zahl letzterer kontinuierlich an. Aktuell thematisierten Sicherheitsexperten der Universität Glasgow ein Verfahren, dass bereits jetzt von Kriminellen in der Praxis angewandt werden kann und deine Passwörter sowie PINs mit hoher Genauigkeit identifiziert. Unabhängig davon, ob diese auf der handelsüblichen QWERTZ-Tastatur, einem Display oder dem Eingabefeld eines Geldautomaten eingetippt werden.
Wärmebildkameras gefährden digitale Sicherheit
Man stelle sich folgendes Szenario vor: Du gibst deine PIN am Geldautomaten ein, hebst 20 Euro ab und setzt deinen Weg fort. Kurz darauf betritt ein Krimineller ausgestattet mit einer Wärmebildkamera die Bühne und schießt ein Wärmebild von dem Eingabebereich. Ist die Zeit zwischen der Eingabe des PINs und der Erstellung des Wärmebilds gering, lassen sich Hitzespuren auf den einzelnen Tasten erkennen. Aufgrund des Temperaturunterschieds werden früher betätigte Taste dunkler dargestellt, was Aufschluss über die Reihenfolge der Zeichen gibt. Laut Sicherheitsexperte Mohamed Khamis können selbst Laien anhand dieser Bilder die eingetippte PIN oder das eingetippte Passwort erfolgreich identifizieren. Einzige Voraussetzung: Diese müssten in einem Zeitraum von 30 bis 60 Sekunden nach der Eingabe aufgenommen worden sein.
Das Forschungsteam um Khamis ging einen Schritt weiter und setzte maschinelles Lernen, um eine Software mit der Bezeichnung ThermoSecure zu entwickeln. Diese soll die Gefahren, die von Wärmebildkameras ausgehen, verdeutlichen. Aus einer entsprechenden Studie ging hervor, dass ThermoSecure in der Lage ist, 86 Prozent der Passwörter erfolgreich zu identifizieren, sofern die dazugehörigen Wärmebilder innerhalb von 20 Sekunden nach der Eingabe erstellt wurden. Selbst längere 16-stellige Passwörter drückten den Wert auf lediglich 67 Prozent herunter. Bei Passwörtern mit nur sechs Zeichen betrug die Erfolgsrate indes bis zu 100 Prozent.
„Der Zugang zu Wärmebildkameras ist erschwinglicher denn je – sie sind für weniger als 200 Pfund Sterling erhältlich – und auch maschinelles Lernen wird immer zugänglicher. Das steigert die Wahrscheinlichkeit deutlich, dass Menschen auf der ganzen Welt ähnliche Systeme wie ThermoSecure entwickeln, um Passwörter zu stehlen“, so Khamis. Laut dem Sicherheitsforscher sei es daher wichtig, dass Computer-Sicherheitsforschung mit diesen Entwicklungen Schritt hält und neue Wege zur Risikominderung findet.
So schützt du dich
Nutzer können sich nur bedingt wirkungsvoll gegen die Wärmebildkamera-Masche schützen. Längere Passwörter können das Risiko zumindest etwas minimieren. An Geldautomaten empfiehlt es sich derweil, einige Sekunden mehr als notwendig vor Ort auszuharren, damit die Hitzesignatur abnimmt. Auch Handschuhe oder das Auflegen der flachen Hand auf die gesamte Tastatur können eine Lösung darstellen. Ferner produzieren beleuchtete Tastaturen eigenständig Hitze und erschweren somit die Erstellung präziser Wärmebilder. Zudem können biometrische Sicherheitsverfahren Abhilfe schaffen. Diese bringen allerdings eigene Schwachstellen mit sich. Zu guter Letzt bleibt noch die sogenannte Zwei-Faktor-Authentifizierung. Diese ist stets empfehlenswert – auch unabhängig von der thermalen Betrugsmasche.