Apps vragen om toegang tot vingerafdruk

[Verwijderd]

Ik heb een iPhone 5S en gebruik touch ID voor het unlocken.

Steeds meer apps (paypal, my t-mobile) vragen om toegang tot mijn vingerafdruk om zo geen wachtwoord meer in te hoeven voeren.

Is dit veilig? Als ik mijn vingerafdruk voor Paypal invoer, en deze worden ook gebruikt voor my t-mobile etc. Baart me ook een beetje zorgen dat apple claimt dat de vingerafdrukken encrypted worden opgeslagen in een deel van de hardware van de iphone en deze niet kunnen worden opgeslagen of worden uitgelezen.

Maar een appje van tmobile kan hem blijkbaar wel gewoon uitlezen.

[Jeroenneman]

Developers vragen dus toegang om de data te mogen gebruiken.

Als jij de app vertrouwt, geef je ze toegang.
Anders niet.

Wat is daar zo moeilijk aan?

[Whatson]

Nee, Apple geeft een app geen toegang tot je vingerafdruk. Ze controleren zelf via een stukje hardware in de telefoon of de vingerafdruk klopt. Daarna geven ze het resultaat door aan de app.

Touch ID bewaart geen beelden van uw vingerafdruk. De functie bewaart alleen maar een wiskundige voorstelling van uw vingerafdruk. Niemand kan het beeld van uw echte vingerafdruk verkrijgen vanaf deze wiskundige voorstelling. De chip van het apparaat bevat ook een geavanceerde beveiligingsarchitectuur, genaamd Secure Enclave, die is ontworpen om de toegangscode en de gegevens van de vingerafdruk te beveiligen. De gegevens van de vingerafdruk zijn gecodeerd en beveiligd met een sleutel die alleen voor de Secure Enclave beschikbaar is. De gegevens van de vingerafdruk worden alleen door de Secure Enclave gebruikt om te controleren of uw vingerafdruk overeenkomt met de gegevens van de bewaarde vingerafdruk. De Secure Enclave is afgezonderd van de rest van de chip en van de rest van iOS. Daarom hebben iOS en andere apps nooit toegang tot de gegevens van uw vingerafdruk, wordt deze nooit bewaard op de Apple-servers en er wordt ook nooit een reservekopie van bewaard in iCloud of op een andere locatie. Alleen Touch ID kan deze afdruk gebruiken en deze kan niet worden gebruikt voor vergelijking met databases met andere vingerafdrukken.

[ Voor 75% gewijzigd door Whatson op 07-07-2015 14:45 ]

[Verwijderd]

Ik zou het in elk geval niet vertrouwen, voor wat het waard is.

[Verwijderd]

Whatson schreef op dinsdag 07 juli 2015 @ 14:42:
Nee, Apple geeft een app geen toegang tot je vingerafdruk. Ze controleren zelf via een stukje hardware in de telefoon of de vingerafdruk klopt. Daarna geven ze het resultaat door aan de app.


[...]

ok dus er kan nix (never say never, ik weet het) misgaan, bijvoorbeeld via de tmobile app kan mijn vingerafdruk niet achterhaald worden om voor mijn paypal app te gebruiken?

[Verwijderd]

Verwijderd schreef op dinsdag 07 juli 2015 @ 14:44:
Ik zou het in elk geval niet vertrouwen, voor wat het waard is.

Goed onderbouwd ook

Verwijderd schreef op dinsdag 07 juli 2015 @ 14:47:
[...]


ok dus er kan nix (never say never, ik weet het) misgaan, bijvoorbeeld via de tmobile app kan mijn vingerafdruk niet achterhaald worden om voor mijn paypal app te gebruiken?

In principe kan er niets mis gaan, mits er een kwetsbaarheid in het toestel gevonden wordt wat misbruikt kan worden. Maar dan nog staat je fingerprint niet klaar voor misbruik, deze is totaal encrypted opgeslagen, en zal dus eerst gedecrypt moeten worden voordat iemand er iets mee kan. Tot op heden zijn er nog geen kwetsbaarheden gevonden en zal waarschijnlijk ook niet gebeuren maar zoals je al aangeeft: never say never. Apple zegt zelf dat je fingerprint geheel encrypted op een apart stukje hardware staat waar zelfs Apple geen toegang tot heeft. Enkel het resultaat van de fingerprint verificatie zal worden doorgestuurd naar de App die daar om vraagt. Gezien Apple betalingen verricht via Apple pay geloven ze zelf in ieder geval wel in de veiligheid van het ding. Een wachtwoord heeft i.m.o. een grotere kans om misbruikt te worden dan de vingerafdrukscanner.

[ Voor 81% gewijzigd door Verwijderd op 07-07-2015 15:05 ]

[MarcoC]

Verwijderd schreef op dinsdag 07 juli 2015 @ 14:47:
[...]


ok dus er kan nix (never say never, ik weet het) misgaan, bijvoorbeeld via de tmobile app kan mijn vingerafdruk niet achterhaald worden om voor mijn paypal app te gebruiken?

Dat kan inderdaad niet. T-Mobile-app vraagt aan iOS of vingerafdruk klopt, iOS zegt ja of nee, T-Mobile doet at met deze ja of nee.

[Deveon]

Is het niet zo dat Apple geen toegang geeft tot de vingerafdruk, maar slechts tot de API om via vingerafdruk te kunnen verifiëren? In andere woorden: ING besteed de verificatie uit aan Apple.

[GerardVanAfoort]

Whatson schreef op dinsdag 07 juli 2015 @ 14:42:
Nee, Apple geeft een app geen toegang tot je vingerafdruk. Ze controleren zelf via een stukje hardware in de telefoon of de vingerafdruk klopt. Daarna geven ze het resultaat door aan de app.
[...]

Yup, enige juiste antwoord. Je vingerafdruk blijft dus onbekend bij derden.

[Verwijderd]

Thx voor de reacties! nu is het helemaal duidelijk voor me en weet ik dat ik gewoon toegang kan geven

[Verwijderd]

Verwijderd schreef op dinsdag 07 juli 2015 @ 14:54:
[...]
Goed onderbouwd ook

Als je de afgelopen vier jaar niet onder een steen geleefd hebt dan zou je heel misschien wel kunnen verzinnen waarom ik dat zeg...

[GerardVanAfoort]

De informatie en spionage diensten krijgen toch wel wat ze willen, althans dat is mijn aanname en wat ik mezelf dan maar voorhoudt. (Dan valt het ooit misschien mee als ze NIET alles van je weten )

Commerciële partijen krijgen deze gegevens echt niet uit je foon!

[johnkeates]

De afdruk zit in de scanner, niet ergens op het moederbord dacht ik. De hardware kan alleen maar een paar basale dingen met die scanner doen, zoals:

- Hoeveel geheugenplekken zijn er vrij/bezet
- Start scannen
- Stop scannen
- Wis geheugenplek
- Train geheugenplek voor nieuwe vinger

Er is geen 'download vingerafdruk naar App' commando.

Verder is in iOS geen API beschikbaar voor Apps om met de vingerafdruk scanner te communiceren. Er is een authenticatie API, en daar kan de App dan aan meegeven dat vingerafdrukken toegestaan zijn, waarna iOS alles verder afhandelt qua requests naar de afdrukscanner. Dus het is ook niet voor een App mogelijk om alle opgeslagen geheugenplekken te legen, of om de allemaal opnieuw in te stellen of iets dergelijks.

Los van dit alles is het vast wel mogelijk om met wat low-level hacking (lees: vingerafdrukscanner uit je iPhone halen, helemaal slopen, in een zuurbadje de chip die blootleggen) data uit de chip te krijgen die je er normaal niet uit zou moeten krijgen, maar ook dan is het niet zo dat er een 'foto' van je vingerafdruk in zit, je kan het meer als een hash zien die ook nog eens uit beperkte data bestaat. Op z'n best kan je dus na al die moeite wat herkenningspunten achterhalen van een afdruk.

[iAR]

Verwijderd schreef op dinsdag 07 juli 2015 @ 14:44:
Ik zou het in elk geval niet vertrouwen, voor wat het waard is.

Verwijderd schreef op dinsdag 07 juli 2015 @ 15:14:
Als je de afgelopen vier jaar niet onder een steen geleefd hebt dan zou je heel misschien wel kunnen verzinnen waarom ik dat zeg...

Ik heb niet onder een steen gelegen, maar tast in het duister.

Je kunt het wel vertrouwen. Apple heeft aangegeven dat de afhandeling van de vingerafdrukscanner hardwarematig afgehandeld wordt. Als een app vraagt om een Touch ID herkenning zie je de naam van de app in het venster. De app krijg vervolgens van iOS akkoord of niet akkoord door.

Overigens is het in de US zo, en misschien doelt dbhuis daarop, dat een biometrische toeging anders is dan een wachtwoordelijke toegang. Met andere woorden de politie mag je vragen je telefoon te unlocken door je vinger erop te doen maar niet om je wachtwoord in te vullen.
Een reboot verhelpt dat probleem (bij Apple) aangezien je dan altijd je wachtwoord in moet vullen.

[Verwijderd]

iAmRenzo schreef op dinsdag 07 juli 2015 @ 16:08:
[...]


[...]


Ik heb niet onder een steen gelegen, maar tast in het duister.

Je kunt het wel vertrouwen. Apple heeft aangegeven dat de afhandeling van de vingerafdrukscanner hardwarematig afgehandeld wordt. Als een app vraagt om een Touch ID herkenning zie je de naam van de app in het venster. De app krijg vervolgens van iOS akkoord of niet akkoord door.

Overigens is het in de US zo, en misschien doelt dbhuis daarop, dat een biometrische toeging anders is dan een wachtwoordelijke toegang. Met andere woorden de politie mag je vragen je telefoon te unlocken door je vinger erop te doen maar niet om je wachtwoord in te vullen.
Een reboot verhelpt dat probleem (bij Apple) aangezien je dan altijd je wachtwoord in moet vullen.

Waar het mij om gaat is dat het ondertussen wel duidelijk is dat de VS alles wat los en vast zit bespioneren en opslaan, en dat overal een backdoor in zit. Ja, ook in iOS. Dan kan Apple nog zo vrolijk roepen dat het hardwarematig niet mogelijk is, maar ik geloof het simpelweg niet meer. De VS zouden zo'n mooie kans om vingerafdrukken te verzamelen niet voorbij laten gaan. Er zullen best wat mensen zijn die dat paranoïde vinden klinken, maar hee- mijn mening, vind ervan wat je wilt.

[Apache4u]

Mocht je ooit in de US zijn geweest dan hebben ze je vingerafdruk al lang. Trouwens, volgens mij wordt tegenwoordig in de nieuwe NLse paspoorten ook biometrische informatie opgeslagen waaronder je vingerafdruk. Die info zal ook vast wel, vrijwillig of onvrijwillig, gedeeld worden met onze vrinden aan de overkant van de plas.
En dan heeft Barack je vingerafdruk..en dan?..
Voor mij is dit alles geen reden om de vingerafdrukscanner op de iphone niet te gebruiken. Zeker niet ten opzichte van het gemak wat het brengt.