Kein Fingerabdrucksensor - Auswirkung auf Sicherheitsabfragen (zB Banking Apps)?

[steffen47a]

Pixel 4: Neue App simuliert den Fingerabdruckscanner durch die Gesichtserkennung - für App-Kompatibilität - GWB

Vielleicht für einige interessant...

 

[iron-maaasel]

Aber nur mit Root, und dann klappen doch einige Banking Apps nicht mehr, oder?

 

[Vargson]

Warum sollte man etwas simulieren? Seit heute muss jede aktualisierte App im Play Store das Biometric Prompt, anstelle der veralteten Fingerprint API, unterstützen. Somit ist es nur eine Frage der Zeit, bis alle Apps auch per Face Unlock entsperrt werden können. Bis zum Ende des Jahres vermutlich alle relevanten, großen Apps.

 

[pleitegeier]

Pixel 4: Neue App simuliert den Fingerabdruckscanner durch die Gesichtserkennung - für App-Kompatibilität - GWB

Vielleicht für einige interessant...

Schon ein Witz, dass Google das nicht einfach selbst so gelöst hat.
Nein, da muss wieder irgendein Modder kommen und das mal eben für lau übernehmen

 

[Vargson]

Schon ein Witz, dass Google das nicht einfach selbst so gelöst hat.
Nein, da muss wieder irgendein Modder kommen und das mal eben für lau übernehmen

Als Softwareentwickler kann ich dir sagen, dass es schon Sinn macht, bestimmte Bibliotheken durch neue zu ersetzen. Die Biometric Prompt von Google gilt schon seit über 1 Jahr als Nachfolger der Fingerprint API. Die neue API ist zudem abwärtskompatibel. Die Entwickler der meisten Apps haben es schlicht versäumt, frühzeitig umzusteigen. Wenn Google da jetzt wieder einen Kompatibilitätsmodus bringt, dann wird die veraltete API noch länger genutzt. SafeInCloud z.B. unterstützt das neue Biometric Prompt seit Monaten.

 

[pleitegeier]

@Vargson Google hätte allerdings für den Übergang eben eine solche Lösung implementieren sollen, oder halt die Entwickler (schon früher) dazu zwingen müssen, Biometric Prompt für ihre Apps zu nutzen.

Das ist so halt einfach nicht durchdacht.
Google hätte die Möglichkeit dazu, macht es aber einfach nicht und versaut somit das Nutzererlebnis.
Aber vermutlich denken die sich auch einfach "bei den 2 Geräten die wir verkaufen, da lohnt sich der ganze Aufwand gar nicht"

 

[riffraff4p]

Offenbar gibt es doch ein Schlupfloch für die App-Entwickler.

Die ING hat am 4.11. ein Update in den Play Store eingestellt. Eigentlich hätten sie also jetzt (wie ja von Google dokumentiert) den Biometric Prompt implementieren müssen.

Haben sie aber nicht...

 

[XQC]

@riffraff4p In der Tat ziemlich ernüchternd, dann kann man lange darauf warten, bis die Banking Apps Face Unlock unterstützen...

 

[Fletch]

Offenbar gibt es doch ein Schlupfloch für die App-Entwickler.

Die ING hat am 4.11. ein Update in den Play Store eingestellt. Eigentlich hätten sie also jetzt (wie ja von Google dokumentiert) den Biometric Prompt implementieren müssen.

Haben sie aber nicht...

Wie schon mehrfach geschrieben, ist der Zwang ab 1.11. eben nicht die Biometric API zu nutzen, sondern nur eine von beiden APIs vom Stand 28.
Da hat leider Google gepennt...

 

[Druid-Didi]

Keepass2android hat in der Beta jetzt umgestellt

 

[Vargson]

Wie schon mehrfach geschrieben, ist der Zwang ab 1.11. eben nicht die Biometric API zu nutzen, sondern nur eine von beiden APIs vom Stand 28.
Da hat leider Google gepennt...

Google Pixel 4 users will have to wait for developers to add Face Unlock support

Geht man nach dem Artikel, dann ist seit August 2019 die Ziel-Version Android 9 verpflichtend, welche beide APIs unterstützt. Also FingerprintManager und BiometricPrompt, wobei der FingerprintManager bereits seit Android 9 als deprecated gekennzeichnet ist. Das Missverständnis, welches hier im Forum herrschte und auch bei mir, ist jenes, dass angenommen wurde, dass ab November Android 10 als Ziel-Version verpflichtend wäre und somit auch der BiometricPrompt, da der FingerprintManager aus der API für Android 10 entfernt wurde.

Tatsächlich ist es aber wohl so, dass Entwickler seit November beim Veröffentlichen einer Store-App lediglich eine Warnung erhalten, dass der FingerprintManager veraltet ist und man doch bitte auf den BiometricPrompt wechseln möge. Verpflichtend ist aber weiterhin "nur" Android 9 als Ziel-Version, womit letztendlich weiterhin beide APIs genutzt werden können und dies offensichtlich auch noch getan wird.

Das heißt dann auch, dass gerade die Apps der großen Banken noch monatelang kein "Face Unlock" unterstützen werden, da gerade Banken bekanntermaßen bestehendes so lange nutzen, bis es eben nicht mehr geht, als mit der Zeit zu gehen und rechtzeitig zu aktualisieren. Sehr schade. Gut, die 5 stellige PIN der ING ist jetzt kein großes Hindernis, aber etwas mehr Konsequenz seitens Google hätte ich mir da schon gewünscht.

 

[Rootuser]

Antwort von der Commerzbank auf meine Anfrage: "...gerne nehmen wir Ihren Wunsch als Anregung für die künftige Entwicklung mit auf." Zwang und baldige Lösung sieht für mich leider anders aus bzw. ließt sich anders.

 

[eric.a.bardu]

Und hier von der DKB:

vielen Dank für Ihre Anfrage.

Derzeit ist eine Bereitstellung dieser Möglichkeit nicht vorgesehen.

Ihre Anfrage habe ich als Verbesserungsvorschlag weitergeleitet.

Ich wünsche Ihnen einen schönen Tag.

 

[riffraff4p]

Ich habe bei der ING eine Rezension im Play Store abgegeben. Dort kommentierte man: "Danke für Ihren Wunsch, der ist hier genau richtig platziert. Viele Grüße, Ihre ING"

Für mich klingt das so, als ob bei allgemeinen Anfrage an den Kundenservice das via Textbaustein beantwortet wird, und bei einer Rezension im Play Store tatsächlich diejenigen mitlesen, die sich auch dafür interessieren.

Vielleicht mögen andere ING-Kunden hier das gleiche tun, und vielleicht hilft das ja auch bei anderen Banken.

 

[Alpha07]

Einen Versuch ist es auf jeden Fall wert

 

[pleitegeier]

Wenn die großen Hersteller wie Samsung auch Face Unlock nutzen, dann geht das recht schnell mit den Updates bei den Banken
Ist halt nur fraglich ab wann es machbar ist, die Sensoren dafür unters Display zu bekommen.

Nur für die paar Pixel Nutzer wird da zumindest nicht so schnell was passieren

 

[riffraff4p]

Naja, vermutlich spätestens im August 2020, wenn Google dann Android 10 mandatory macht

 

[Larde]

Und hier von der DKB:

vielen Dank für Ihre Anfrage.

Derzeit ist eine Bereitstellung dieser Möglichkeit nicht vorgesehen.

Ihre Anfrage habe ich als Verbesserungsvorschlag weitergeleitet.

Ich wünsche Ihnen einen schönen Tag.

Hmm, da weiß wohl einer nicht, was der andere macht. Aus den Kommentaren der DKB App im Store:

 

[Fletch]

Alles nur Antworten um den Kunden ruhig zu stellen ....

 

[Vargson]

Alles nur Antworten um den Kunden ruhig zu stellen ....

Richtig. Ich weiß aus Erfahrung, wie veraltet die IT und das Denken im Management bei Banken ist. Selbst, wenn 100.000 Menschen sich beschweren, wird nichts passieren, weil einem ja kaum etwas anderes übrig bleibt, als die App dennoch zu nutzen. Ich kann mir durchaus vorstellen, dass Google Mitte/Ende 2020 die Ziel API auf Version 29 (Android 10) anheben wird. Dann müssen alle Apps, die weiterhin Fingerprint unterstützen möchten, auch Face Unlock unterstützen. Ich bleibe aber auch dabei, dass Google da nicht konsequent genug war. Man hätte diesen Schritt durchaus auch schon im November/Dezember 2019 vollziehen können.

Man muss sich einfach mal bewusst machen, dass Android 9 im August 2018 veröffentlicht wurde und mit Android 9 bzw. der API 28 der FingerprintManager bereits als veraltet galt. Man hätte also bereits im letzten Jahr die Warnung ausgeben können, dass die API veraltet ist und auf die neue BiometricPrompt der Version 28 hinweisen können, welche auch in Version 29 für Face Unlock verwendet wird.

Im Grunde genommen hatten alle Entwickler seit August 2018 die Möglichkeit gehabt, auf den BiometricPrompt zu wechseln und 1 Jahr später haben sie es noch immer nicht getan. Stattdessen gibt Google erst jetzt eine Warnung aus, was dann eben realistisch bedeutet, dass man den Entwicklern auch noch ein weiteres Jahr erlaubt, den veralteten FingerprintManager zu verwenden. Da die APIs abwärtskompatibel sind, gibt es eben auch keinen Grund, die neuen APIs nicht zu verwenden.

Google sollte hier, wie es Apple auch tut, seine Marktmacht sinnvoll ausnutzen und den Fortschritt erzwingen. Dass es noch immer aktive Geräte mit Android 4.1+ gibt, ist nicht unbedingt Googles Schuld, auch, wenn Google dafür sorgen könnte, dass die Sicherheitsupdates zentraler und leichter installiert werden können, aber Google kann über den Play Store und die Gerätezertifizierung Hersteller/Entwickler zwingen, neue Geräte voll zu unterstützen.