Das 2013 mit dem iPhone 5s eingeführte Authentifizierungsverfahren Touch ID ist Geschichte. Zumindest im iPhone X. Zumindest vorerst. An dessen Stelle tritt nun Face ID. Apple preist die Gesichtserkennung als exklusiven Bestandteil des "Smartphones der Zukunft" an. Doch zumindest in ähnlicher Form bieten auch andere Smartphones die berührungsfreie Sicherheitsbarriere an, unter anderem das Samsung Galaxy S8 und das LG Q6. Worin sich deren Technologie unterscheidet und ob sich die Smartphone-Welt durch Face ID grundlegend verändern wird, lest Ihr hier.
Es war ein offenes Geheimnis, dass Apple eine neue Methode zum Entsperren des kommenden iPhones vorstellen würde. Der HomePod-Leak Ende Juli und der iOS-Leak Mitte September 2017 hatten die Gerüchte zunächst befeuert und anschließend bestätigt. Die Frage war bloß: Ersetzt die unter dem Codenamen "Pearl ID" entwickelte Technologie das altbewährte Touch ID? Seit dem 12. September ist die Antwort eindeutig: Ja – zumindest für diese Generation.
Auch das Galaxy S8 bietet Gesichtserkennung
Beim Galaxy S8 wollte Samsung auf Nummer sicher gehen und verbaute gleich drei biometrische Verschlüsselungssysteme: einen Iris-Scanner, einen Gesichtsscanner und einen Fingerabdrucksensor. Allerdings konnten die ersten beiden Systeme binnen kürzester Zeit austrickst und geknackt werden. Die versprochene Sicherheit boten weder Iris- noch Gesichtsscanner. Der Iris-Scanner funktioniert dank Infrarotkamera zwar auch im Dunkeln, lässt dafür aber wenig Spielraum beim Abstand und dem Winkel zu den Augen. Die Gesichtserkennung arbeitet hingegen nur zuverlässig, wenn genügend Umgebungslicht zur Verfügung steht. Ein ideales biometrisches Entsperrsystem erhält man beim S8 deshalb nur durch ein Zusammenspiel der drei Scanner.
TrueDepth: Mehrere Sensoren wie bei Xbox Kinect
Apple geht einen Schritt weiter oder vielleicht eher in eine andere Richtung. Face ID ist der Gesichtserkennung des Galaxy S8 im Ansatz ähnlich, technisch aber komplexer aufgebaut. Wie bereits Microsoft mit der Xbox Kinect setzt auch Apple auf eine Anordnung mehrerer Sensoren für die 3D-Wahrnehmung, die unterschiedliche Aufgaben erfüllen. Apple nennt dieses spezielle Kamerasystem "TrueDepth". Dazu gehören eine Infrarotkamera, ein Punktprojektor und ein Infrarotleuchter. Im Zusammenspiel dieser drei Sensoren mit dem neuen A11-Bionic-Chipsatz ist das iPhone X in der Lage, das Gesicht des Besitzers dreidimensional zu erkennen. Pro Gerät lässt sich dabei nur ein Gesicht registrieren.
So funktioniert Face ID im Detail
Der Punktprojektor projiziert 30.000 unsichtbare Punkte auf die Oberfläche des Konterfeis. Die Infrarotkamera empfangt die Reflexion dieser Lichtpunkte, liest exakt ihr Muster aus und erstellt anhand dessen ein mathematisches Modell des Gesichtes. Damit Face ID auch im Dunkeln zuverlässig funktioniert, strahlt der Infrarotstrahler das Gesicht zusätzlich an, sodass die IR-Kamera das Gesicht weiterhin erkennen kann. Wie groß der Abstand zwischen Gesicht und Gerät sein darf und wie groß der maximale Betrachtungswinkel, ist noch nicht bekannt.
“We use the image and the dot pattern to push through neural networks to create a mathematical model of your face", Phil Schiller.
Die Daten, also diese detaillierte 3D-Karte des Gesichts, sind nicht statisch, sondern werden kontinuierlich von der sogenannten "Neural Engine", ein neuronales Netzwerk aus Algorithmen, neu interpretiert und erweitert. Und zwar jedes Mal, wenn Ihr das iPhone X via Face ID entsperrt. Konkret heißt das, die Maschine lernt in Echtzeit dazu und die individuellen Merkmale des Gesichts besser kennen. Brillen, Schals, Tücher, Mützen oder natürliche "Verschleierungen" wie Bärte oder lange Haare sollen deshalb auch kein Hindernis bei der Identifizierung darstellen.
Inwieweit einzelne Merkmale ausreichen, um das iPhone X zu entsperren, wird sich aber erst im Test zeigen. Da der Nutzer aktiv in Richtung des Smartphones schauen muss – Apple spricht von der "Aufmerksamkeit des Nutzers" –, bleibt zu klären, ob stets beide Augen für die Sensoren sichtbar sein müssen. Selbst bei den meisten Sonnenbrillen soll Euch Face ID weiterhin zuverlässig erkennen, bestätigte Craig Federighi von Apple. Aber wie sieht es zum Beispiel mit einem Verband oder einem abgeklebten Auge aus? Wie hoch der Anteil sichtbarer Fläche sein muss, damit Face ID die Eingabe akzeptiert, hat Apple nicht gesagt.
Sicherheitsbedenken
Schon während der Präsentation und auch die Tage danach mehrten sich Bedenken und Kritik an der neuen Entsperrungssoftware. Die Vergangenheit hat gezeigt, dass sich sowohl Fingerabdrucksensoren, u.a. Touch ID beim iPhone 5s, als auch Gesichtserkennungssoftware austricksen lässt. Unter anderem widmete sich der Chaos Computer Club diesen Sicherheitssystemen der Smartphones und war jedes Mal in der Lage, diese zu manipulieren. Nach eigenen Angaben hatte der CCC nur einen Tag gebraucht, um den Fingerabdrucksensor des 5s zu hacken.
Auch bei Face ID dürfte es deshalb nur eine Frage der Zeit sein, bis zumindest Kryptografie-Experten einen Weg ins System gefunden haben. Da helfen auch die beschwichtigenden Worte Phil Schillers nicht. Dieser hatte während der Keynote versprochen, dass die Wahrscheinlichkeit bei Face ID eins zu einer Million sei, dass eine fremde Person das iPhone zufällig durch sein Aussehen entsperrt. Auch die Ergänzung, dass Apple extra mit professionellen Maskenbildnern zusammengearbeitet habe, um die Fehleranfälligkeit von Face ID zu minimieren, dürfte die Sorgen nicht wegwischen. Dass es mitunter schon reicht, ein Foto des Besitzers vor ein Smartphone zu halten, um es zu entriegeln, haben wir im Test des LG Q6 festgestellt.
Aber Apples TrueDepth-System erstellt kein einfaches 2D-Abbild des Gesichts, das sich durch ein Foto austricksen lässt. Die Tiefenmessung kartografiert das Gesicht als 3D-Objekt und nicht als flache Ebene. Der Trick, den wir beim Q6 angewandt haben, dürfte somit nicht funktionieren. Doch wie sieht es mit den Informationen aus, die das iPhone X anhand der Gesichtserkennung erstellt? Diese verbleiben ausschließlich auf dem jeweiligen Telefon und werden weder in eine Cloud noch zu Apple geschickt. Zugriff auf diese Daten hat nur die Software Secure Enclave. Diese kann als einzige die Daten entschlüsseln, um das Telefon bei einer Überstimmung mit den gesammelten Gesichtsinformationen freizugeben.
Gefahr für den Nutzer oder Technologie der Zukunft?
Biometrische Systeme bedienen sich der Einzigartigkeit menschlicher Physiognomie als Sicherheitsschlüssel. In der Theorie aber ist jedes Sicherheitssystem angreifbar und eine Herausforderung für Hacker. So auch Face ID. Ab dem 3. November, dem Verkaufsstart des iPhone X, beginnt das Wettrennen um den schnellsten Hack. Dabei geht es vor allem um die Frage der Machbarkeit (Stichwort: 3D-Druck) und die tatsächliche Größe der Sicherheitslücke. Setzt sich der Durchschnittsnutzer eines iPhone X wirklich permanent der Gefahr eines Daten- und Identitätsdiebstahls aus? Wie groß ist der Aufwand, der letztlich betrieben werden müsste, um Face ID auszutricksen. Und: Lassen sich die gespeicherten Daten vielleicht doch irgendwie auslesen?
Apples neue Technologie zur Authentifizierung wirft viele Fragen auf, die sich erst beantworten lassen, wenn das iPhone X offiziell erhältlich ist. Neben ganz pragmatischen wie der generellen Zuverlässigkeit von Face ID – niemand möchte eine Erkennungssoftware, die nur in 50 Prozent der Fälle oder bei Tageslicht funktioniert – und denen nach der Sicherheit auch rechtliche und ethische.
Dass Apple das Thema "Sicherheit" ernst nimmt, belegen mehrere Faktoren: So verlangt das iPhone X nach zweimaligem Scheitern der Gesichtserkennung den PIN-Code (bei Touch ID sind es fünf Versuche). Außerdem beherrscht Face ID eine ähnliche Funktion wie Touch ID: Dies lässt sich kurzerhand deaktivieren, indem die Powertaste in iOS 11 fünfmal hintereinander gedrückt wird. Zugriff auf das Gerät erhält dann nur, wer den PIN kennt. Und dieser ist als Alternative zu Face ID ohnehin immer verfügbar.
