Meinung: Wenn Journalisten Technik (nicht) verstehen

[Flogs]

Womit wir wieder beim Thema Urvertrauen sind. Datendiebstähle und Einbrüche kommen ja fast immer erst dadurch heraus, dass plötzlich die Daten irgendwo kursieren. Da Unternehmen wie Apple, Microsoft und auch Google auch davon leben, dass ihre Kunden ihnen großteils vertrauen, haben sie ein Interesse in solchen Fällen schonungslos aufzudecken.

Aber was ist in Fällen, wo der Kunde nicht direkt davon erfährt? Bei Zusammenarbeit mit Regierungen und Geheimdiensten? Der SZ Artikel mag total übertreiben, aber die Erwähnung des VPN Vorfalls hat seine Berechtigung. Denn wie es Jan hier im Artikel schon sagt:

"Apple ist ein börsennotiertes, gewinnorientertes, den Aktionären verpflichtetes Unternehmen. Den Handel aus China aus diesem Grund einzustellen, wäre auch den Anlegern gegenüber nicht denkbar gewesen."

Das ist nichts was nur Apple betrifft, aber es zeigt: Ein Staat hat immer den größeren Hebel. Und Apple hat gezeigt, dass wenn jemand den Hebel zieht sie lieber aus wirtschaftlichen Gründen klein beigeben als die Kunden zu schützen. Das ist nicht verwerflich. Apple ist ein Unternehmen, also ist das zu erwarten. Aber das sollte jedem klar sein.

Deswegen würde mich bei der ganzen Biometrie freuen, wenn man offener über die genauen Verfahren reden würde. Ja, es sind Geschäftsgeheimnisse die einen von der Konkurrenz unterscheiden. Aber hier wird mit Daten hantiert, die sehr viele interessiert. Nicht nur die hackenden Kleinkriminellen, sondern eben auch die Industrie und vor allem Staaten. Und seit Snowden sollte jeder wissen, wie umfangreich da vorgegangen wird. Da wäre es mir lieber, wenn ich zu mindestens selbst nachvollziehen könnte, ob meine Daten nach aktuellem Stand der Technik sicher sind.

 

[ottomane]

Diese ganze Annahme, die Gesichtsdaten lägen in einem Container, den Apple nicht erreichen könnte, selbst wenn sie es wollten, beruht auf einem für mich erschreckenden Urvertrauen in Apples Aufrichtigkeit und Wohlwollen dem Benutzer gegenüber.

Natürlich hast du Recht. Ohne irgendeine Art Grundvertrauen kann man nicht leben, das gilt nicht nur für die IT.

Allerdings möchte ich bei dem Container einwerfen, dass bei den üblicherweise eingesetzten Verfahren das Wort "Container" falsch ist. Es wird immer eine Einwegberechnung durchgeführt (Hashing). Nach der Berechnung wird nur ein "Kürzel" der Daten gespeichert, aus dem in der Regel niemand derzeit die Daten zurückberechnen kann, da die Daten darin gar nicht enthalten sind.

Beispiel: Statt die "geheime" Zahlenfolge "3 5 7 9" zu speichern, speichert man einfach die Summe der Zahlen, also "24". Gibt nun jemand eine Zahlenfolge ein, bei der geprüft werden soll, ob sie richtig ist, wird geprüft, ob deren Summe auch "24" ist. In der Realität benutzt man spezielle Formeln statt de einfachen Summe, damit es praktisch nicht passieren kann, dass man mit der falschen Folge die richtige Summe erreicht ("Kollision").

Bei Face ID geht es, soweit ich weiß, um 30.000 Abtastpunkte, also eine wie auch immer aufgelöste Matrix von 30.000 Zahlen, aus denen man einen Hash bildet. Ich weiß allerdings nicht, welches Verfahren eingesetzt wird. Ich weiß streng genommen nicht einmal, OB Apple überhaupt hasht, aber es ist letztlich Stand der Technik und da kommt mein Urvertrauen ins Spiel.

Das Problem an der Sache: Angeblich nutzt Apple KI, um eine lernfähige Ähnlichkeitsprüfung durchzuführen. Eine Ähnlichkeitsprüfung gegen einen Hashwert durchzuführen, ist allerdings bei den traditionellen Verfahren sinnlos, da es um ähnliche Gesichter und nicht um ähnliche Hashes geht. Das ist die Stelle, an der es wirklich spannend wird.

EDIT: Laut Federighi soll in der Nähe des Releases des iPhone X ein White Paper zu Face ID publiziert werden. Es war die Rede von “extreme levels of detail”. Da bin ich gespannt.

 

[kelevra]

Über einen Hashangriff das Gesichtsmodell zurückzurechnen halte ich aufgrund der Fülle der Daten für praktisch unmöglich.

"praktisch" ist hier das Zauberwort. Theoretisch geht das natürlich immer (wenn man x Jahre Zeit und unbegrenzte Rechenressourcen hat).

Der Aufwand ist unverhältnismäßig groß, diese Daten zu rekonstruieren. Wenn Apple an dieser Stelle seine Arbeit ordentlich gemacht hat und die Daten ordentlich hasht (überlicherweise mit einem salt Wert) wird es quasi unmöglich, die Daten zu rekonstruieren. Eine Gefahr sehe ich hier grundsätzlich nicht.

Diese ganze Annahme, die Gesichtsdaten lägen in einem Container, den Apple nicht erreichen könnte, selbst wenn sie es wollten, beruht auf einem für mich erschreckenden Urvertrauen in Apples Aufrichtigkeit und Wohlwollen dem Benutzer gegenüber. Es ist zwar toll, dass Apple sich diesen Ruf erarbeitet hat, aber die Begründetheit dieses Vertrauens lässt sich, soweit ich das überschauen kann, nicht ansatzweise technisch nachvollziehen durch Code o.ä. Man muss ausschließlich auf die Aussage vertrauen, dass dies so sei. Dabei gibt es eine große Motivation, diese Daten (nicht nur die Gesichtsdaten, sondern alles, was so immer Google angedichtet wird) auszuwerten und eigentlich kein echtes Motiv, dies nicht zu tun.

Da muss ich leider widersprechen: Es ist ja nicht so, als würde man nicht versuchen an die Daten der Secure Enclave ranzukommen. Größtes Erfolgserlebnis bis dato ist die Entschlüsselung der Firmware des SEP (Secure Enclave Processor) (Quelle). Damit kann man aber eben "nur" die Firmware des dedizierten Prozessors untersuchen, an die Inhalte kommt man noch immer nicht heran. Des Weiteren Gelang die Entschlüsselung lediglich für den A7 SoC. Neuere Modelle konnten nach jetzigem Kenntnisstand noch nichtentschlüsselt werden.

 

[TeleTubbyKiller]

Apfeltalk sollte sich fragen, ob sie weiter auf unreflektierte Propaganda für Apple und Anker beschränken wollen, und das Feuilleton seinen Job machen lassen.

 

[justj]

Was in dem Artikel hier auf AT über den SZ-Artikel vollkommen übersehen wurde, aber von immanenter Bedeutung ist, ist dass es sich um einen Kommentar, also die persönliche Meinung des Autors (hier: Andrian Kreye) handelt. Das ist ein gewaltiger Unterschied zu einem (berichtenden) Artikel in einer Zeitung.

Inhaltlich stimme ich der Meinung von Jan Gruber hier zum Großteil zu, aber es sollte klargestellt werden, dass es sich um einen Kommentar in der SZ handelt.

Grüße
justj

 

[Mostindianer]

Journalisten? Die meisten Artikel heutzutage werden von billigen Praktikanten geschrieben oder von Nachrichtenagenturen wie Reuters eingekauft.

geschulte Journalisten leisten sich heute die wenigsten Medienhäuser!

Daher, ich habe eher Mitleid mit dem Schreiberling.