Fingerprint op telefoon; Kan deze in eigen app gebruikt worden?

[RMeul]

Beste allemaal,

 

Ik ben bezig om een idee voor een nieuwe applicatie uit te werken. Hiervoor zou het voor mij ideaal zijn om de fingerprint scanner van de telefoon te gebruiken om data aan de fingerprint te koppelen en weg te schrijven in een eigen externe (cloud)database.

 

Een applicatie zoals de ING, PayPal, etc. gebruiken de fingerprint die op de telefoon is opgeslagen om in te loggen, ik zou hiermee dus nog een stapje verder willen gaan door daadwerkelijk de fingerprint voor 'eigen gebruik' in te zetten.

 

Losgezien van alle wet- en regelgeving omtrent dit onderwerp, is het uberhaupt mogelijk? Of zijn alleen de fingerprints te gebruiken die op de telefoon worden opgeslagen?

 

Ik hoor graag wat jullie er van weten.

 

RMeul

 

[TwaBla]

Een applicatie zoals de ING, PayPal, etc. gebruiken de fingerprint die op de telefoon is opgeslagen om in te loggen, ik zou hiermee dus nog een stapje verder willen gaan door daadwerkelijk de fingerprint voor 'eigen gebruik' in te zetten.

Hoezo is dat een stap verder? Die banken zetten deze id-methode toch ook voor eigen gebruik in.

 

Losgezien van alle wet- en regelgeving omtrent dit onderwerp, is het uberhaupt mogelijk? Of zijn alleen de fingerprints te gebruiken die op de telefoon worden opgeslagen?

Wou je andere vingers gebruiken? Wiens vinger heb je nodig?

 

[willemj]

Vingerafdrukdata krijg je op een iphone in ieder geval niet (maar goed ook):

 

All fingerprint data is stored securely in a part of the A7 processor called the "Secure Enclave," and no fingerprint data is available to apps, or even iOS itself. It secures all of this data, even if the OS or kernel were to become compromised.

 

Bron waar ook wat technische informatie staat over wat je er wel mee kunt.

 

[RMeul]

@TwaBla

 

Ik dank je voor de snelle reactie! Tijdens het tikken van mijn reply kwam echter het bericht van willemj dat antwoord geeft op mijn vraag!

 

@willemj

 

Ook hartelijk dank voor de snelle reactie en de waardevolle bron! Deze is bij mij niet naar boven gekomen! Helaas wordt het voor mijn idee lastig om via deze weg te werken!

Ik zal naar alternatieven moeten zoeken!

 

 

[WalterBrokx]

De rechter heeft de Nederlandse overheid jaren terug verboden om vingerafdrukken centraal op te slaan ivm privacy. (Het zou kunnen dat het hoger beroep nog steeds loopt.)

 

Hoe veilig kun jij die database maken?

En hoe veilig kun je het versturen van die info maken?

Eénmaal gejat is de betreffende vingerafdruk eigenlijk nooit meer te gebruiken om een gebruiker te identificeren: hoe kun je dan 1) bewijzen dat jij het echt bent en 2) het 'wachtwoord' aanpassen?

En na een ongeluk kan een vingerafdruk letterlijk niet meer beschikbaar zijn: hoe kun je dan inloggen?

(Je zou de verhalen eens moeten horen over radeloze ambtenaren die geconfronteerd worden met ontbrekende vingertoppen bij het aanvragen van een nieuw paspoort.)

 

Privacy by design heeft in mijn ogen echt meer toekomst dan vingerafdrukken verzamelen omdat dat toevallig kan.

Waarom zou ik jou vertrouwen met mijn biometrische data?

[Ward van der Put]

In haar eigen ontwerprichtlijnen voor Android geeft Google aan dat een vingerafdruk minder veilig is dan een sterk wachtwoord:

 

Fingerprint is not as secure as a strong PIN or password.

Technisch is dat ook wel logisch: de kwaliteit van de vingerafdruk is sterk afhankelijk van de kwaliteit van de vingerafdrukscanner en die zal bij goedkopere toestellen niet denderend zijn.

[JansenmeteenJ]

Men kan een kopie maken van een vingerafdrukken en deze omzetten in soort silicone afdruk maken

[RMeul]

Allen wederom dank voor de antwoorden en het meedenken.

 

Ik zal een situatie schetsen hoe ik het voor ogen had (ik kan helaas niet te veel zeggen over het uiteindelijke doel).

De applicatie die ik voor ogen had zou gebruikt worden in een interne groep (klein bedrijf) om maximaal 100 personen te kunnen identificeren en verifiëren. De personen die het betreft geven hier zelf toestemming voor.

 

Het klopt allemaal dat een vingerafdruk nagemaakt kan worden, en je laat hem eenvoudig achter wanneer je iets beetpakt o.i.d. Dit is echter bij ons niet als groot risico van toepassing. Er worden gegevens aan deze vingerafdruk gekoppeld die voor de buitenwereld niet interessant zullen zijn (laten we dit in ieder geval aannemen).

 

Ik ben er ondertussen achter dat de vingerafdruk op een telefoon lastig te gebruiken is voor dit idee (ik sluit nog niks uit!) en als ik iets verder zoek kom ik alternatieven tegen die al doen wat ik voor ogen heb (zie quote).

 

FbF mobileOne of SIC Biometrics

 

Zelf heb ik ook al een werkend prototype met Arduino en een vingerafdruk scanner werkende gekregen. De reden dat ik aan een applicatie dacht is vooral voor uiterlijk en gebruiksgemak.

 

Hoop dat dit het een en ander verduidelijkt over de situatie en mijn doel..

[robvoorn]

Op de sportschool in ons dorp log je in met je fingerprint

[TwaBla]

Dan gebruikt ieder zijn eigen telefoon als key? Of moet je inloggen bij de portier? Waarom heb je daar telefoons voor nodig en kan je niet gewoon een iriskijker of een palmscanner gebruiken - die laatste is veel betrouwbaarder. Die ledematensleutels zijn best interessant.

 

[robvoorn]

Nee je moet echt "inloggen" met je vinger. Dus die leg je op een apparaatje.

 

 

[TwaBla]

Nee je moet echt "inloggen" met je vinger. Dus die leg je op een apparaatje.

Ik reageerde op RMeul, niet op jouw toevoeging Rob. ;)

 

Jij merkt hetzelfde op. Waarom via de telefoon?

 

[WalterBrokx]

..............

De applicatie die ik voor ogen had zou gebruikt worden in een interne groep (klein bedrijf) om maximaal 100 personen te kunnen identificeren en verifiëren. De personen die het betreft geven hier zelf toestemming voor.

 

Het klopt allemaal dat een vingerafdruk nagemaakt kan worden, en je laat hem eenvoudig achter wanneer je iets beetpakt o.i.d. Dit is echter bij ons niet als groot risico van toepassing. Er worden gegevens aan deze vingerafdruk gekoppeld die voor de buitenwereld niet interessant zullen zijn (laten we dit in ieder geval aannemen).

............

 

Wat als iemand hier geen toestemming voor wil geven?

Raakt deze persoon dan zijn functie of baan kwijt? Of ben jij dan een klant kwijt?

 

Waarom denk je dat het namaken van een vingerafdruk een klein risico is?

(Ze kunnen ook digitaal gestolen worden en dan misbruikt worden)

 

Waarom wil je een app beveiligen met een vingerafdruk, terwijl de gekoppelde gegevens toch niet interessant zijn voor de buitenwereld?

Dat klinkt bijna alsof je een drol in een kluis bewaart: goed beveiligd, maar waardeloos voor een eventuele dief, die daar overigens pas achterkomt, nadat de kluis gekraakt is.

Daarnaast noem je het zelf een aanname. Ik denk dat het een gevaarlijke aanname is, omdat het gebruik van een vingerafdruk een gevoel van (schijn)veiligheid oproept.

Assumption is the mother of all fuckups.

 

Bovendien, ben ik van mening dat het een onveilige key is:

het kan kwijtraken, beschadigd worden (bijvoorbeeld in de keuken: vaak slechts tijdelijk) en dan is eigenlijk niet te verifiëren wie de eigenaar was.

Als steeds meer toepassingen die key gebruiken is dat hetzelfde als overal hetzelfde wachtwoord gebruiken.

En de vraag die niet beantwoord is: kun jij jouw database met keys hermetisch beveiligen?

Je bent nu heel erg bezig met de toepassing, maar heb je de consequenties ook goed in kaart gebracht?

[Maxn]

beschadigd worden (bijvoorbeeld in de keuken: vaak slechts tijdelijk)

 

Bij mensen die veel typen schijnen de vingerafdrukken ook al wat minder duidelijk te zijn.

 

Heb ooit vingerafdrukken moeten geven voor een screening.

Kreeg vervolgens het verzoek om nog eens langs te komen, want met de eerdere afdrukken konden ze niets.

Bij een andere ICT'er hadden ze precies hetzelfde probleem. :)

[R.I.P. - Benm]

Waarom denk je dat het namaken van een vingerafdruk een klein risico is?

(Ze kunnen ook digitaal gestolen worden en dan misbruikt worden)

 

Vingerafdrukken zijn bijzonder problematisch voor gebruik in authorisatie en dergelijke.

 

Het is aardig voor een sportschool of kantine, maar daar houdt het ook wel zo'n beetje op.

 

Probleem met vingerafdrukken is dat je ze voortdurend rondstrooit. Niet alleen door afdrukscanners, maar ook in het dagelijks leven. Ze worden dan ook nooit gebruikt voor serieuze beveiliging van wat dan ook (alleen in hollywood). Stel dat je met alleen een rekeningnummer en een vingerafdruk kon inloggen op telebankieren en daar ook overboekening doen.

 

Het enige wat ik dan hoef te doen is de inhoud van je kliko een keer te jatten, daar zit echt wel iets op met een leesbare afdruk (vraag maar aan het NFI) en met een beetje mazzel ook nog wel een document met een rekeningnummer erop.

 

En hoeveel werk dat is?

- deze jongens doen het even voor.

 

Als telefoon-lock is het al niet meer dan een gimmick: Als je ergens veel goede vingerafdrukken van een persoon kunt vinden is het op het gladde oppervlak van zn smartphone. Ongeveer zo veiling als een hangslot met de sleutel eraan getaped ;)