Biometrische Entschlüsselung ist ein Thema für sich. Selbst wenn man dem nicht gänzlich ablehnend gegenüber steht, sollte man nicht leichtfertig jede Lösung nutzen. Gesichtserkennung bzw. Face unlock bei einem Google Pixel 7 gehört dazu.
Ein Punkt im GrapheneOS Changelog hat mich darauf aufmerksam gemacht:
Pixel 7, Pixel 7 Pro (adevtool): drop unused face unlock components since we have no plans to enable support for an insecure face unlock implementation incapable providing reasonable security due to lack of dedicated face unlock hardware (Pixel 4 and Pixel 4 XL had dual infrared cameras, IR dot projector and IR flood illuminator providing a more secure biometric unlock system than fingerprint unlock as opposed to simply using the front camera in a way that could be done on any device)
GrapheneOS Changelog 2022111800
Dazu muss man wissen, dass die Gesichtsentsperrung beim Pixel 7 kein schmutziger Hack der Community ist, sondern offiziell von Google unterstützt wird.
Im Gegensatz zum Pixel 4 oder beispielsweise Apple-Geräten wollte man bei Google aber nicht die notwendigen Hardwareinvestitionen tätigen. Dem Pixel 7 fehlen schlicht die notwendigen Infrarot-Kameras für ein echtes 3D-Modell. Es handelt sich deshalb letztlich nur um eine per KI aufgehübschte 2D-Lösung mit mäßiger Sicherheit. Das ist auch Google klar, weshalb sie die Entsperrung per Gesichtserkennung nur für weniger sensible Bereiche wie die Entsperrung des Geräts und nicht beispielsweise für Zahlvorgänge freigibt.
Wenn schon biometrische Verfahren zur Authentifizierung, dann doch bitte mit hohen Sicherheitsstandards. Linux hat schon vorgemacht, wie man es auf keinen Fall tun sollte, nun folgt Google auf diesem Weg. Zwar nicht, indem man die biometrischen Daten leichtfertig teilt, aber indem man vorgibt biometrische Verfahren wären unter allen Umständen geeignete Authentifizierungsmethoden. Was kommt als Nächstes? Fingerabdrucksensoren mit einer 50/50 Genauigkeit, die im Zweifelsfall entsperren, um keinen Ärger bei den Anwendern auszulösen? Dann können wir gleich zum 4-stelligen PIN mit seiner Pseudosicherheit zurückkehren.
Die wenigsten Nutzer werden sich mit Gefahren und Problemen beschäftigen und es einfach nutzen. Die Hersteller werden damit ihrer Verantwortung beim Einsatz sensibler biometrischer Verfahren nicht gerecht.
Zum Glück gibt es noch Projekte und Entwickler, die das nicht so sehen und die Anwender vor den schlimmsten Ausrutschern bei Google bewahren. Leider sind das dann genau jene Anwender, die im Zweifelsfall sogar komplett auf biometrische Verfahren verzichten, weil sie ein hohes Problembewusstsein haben.
Titelbild: 