Verschlüsselt Android Ihren Fingerabdruck lokal?

Ich habe mir ein Nexus 6P mit einem schicken Fingerabdruckscanner zugelegt. Bisher bin ich etwas zurückhaltend, es zu verwenden, weil ich keine Informationen darüber finden kann, wie Android Marshmallow diese Fingerabdrücke speichert. Sind sie gehasht (als SHA2 oder was auch immer) oder sind sie in Klartext gespeichert? Bleiben die Fingerabdruckdaten auf dem Gerät oder werden sie an die Cloud gesendet?

Antworten (2)

Sieht so aus, als ob die Antwort in Googles Kompatibilitätsanforderungen für Android 6.0 , Abschnitt 7.3.10, zu finden ist:

  • MUSS über eine hardwaregestützte Keystore-Implementierung verfügen und den Fingerabdruckabgleich in einer Trusted Execution Environment (TEE) oder auf einem Chip mit einem sicheren Kanal zur TEE durchführen.
  • MÜSSEN alle identifizierbaren Fingerabdruckdaten verschlüsselt und kryptografisch authentifiziert sein, sodass sie nicht außerhalb der Trusted Execution Environment (TEE) erfasst, gelesen oder geändert werden können, wie in den Implementierungsrichtlinien auf der Android Open Source Project-Website [Resources, 96] dokumentiert.
  • MUSS das Hinzufügen eines Fingerabdrucks verhindern, ohne zuvor eine Vertrauenskette aufzubauen, indem der Benutzer mithilfe des TEE, wie im Android Open Source-Projekt implementiert, vorhandene Anmeldeinformationen (PIN/Muster/Passwort) bestätigen oder neue hinzufügen muss.
  • DÜRFEN Anwendungen von Drittanbietern NICHT ermöglichen, zwischen einzelnen Fingerabdrücken zu unterscheiden.

Soweit ich es verstehe, werden die Fingerabdrücke nicht in der Cloud gesichert - wenn sie es wären, hätte es sicher jemand bemerkt und einen Artikel darüber geschrieben und es als ein enormes Sicherheitsrisiko bezeichnet, als ob Hacker Ihre persönlichen Daten erhalten würden , sie hätten auch deinen Fingerabdruck. Bei der Sicherheitsmethode bin ich mir nicht sicher, aber ich bezweifle, dass sie unverschlüsselt bleiben würde - das würde ein Sicherheitsrisiko darstellen, aber selbst wenn sie unverschlüsselt bleiben würde, wäre es sehr schwierig, tatsächlich darauf zuzugreifen (aber höchstwahrscheinlich nicht unmöglich).