Eine Schwachstelle wurde in Google Wallet gefunden.
Eine Schwachstelle wurde in Google Wallet gefunden. (Bild: Google)

Google Wallet Pin zur Bezahlung lässt sich bei Android-Smartphones knacken

Ein Sicherheitsexperte hat in Android-Smartphones mit Google Wallet eine Schwachstelle entdeckt, die es einem Angreifer ermöglicht, die Pin für die NFC-Bezahlung zu bekommen. Geschützt ist der Anwender nur, wenn das Gerät nicht gerootet wurde.

Anzeige

Sicherheitsforscher Joshua Rubin hat eine Schwachstelle im Zahlungssystem Google Wallet entdeckt. Mit Google Wallet sollen Besitzer von Android-Smartphones nicht mehr mit Bargeld oder einer Kreditkarte bezahlen, sondern dies stattdessen kontaktlos per Near Field Communication (NFC) tun.

Damit die NFC-App auch die Bezahlung vornehmen kann, bedarf es einer Pin. So wird der Zugriff auf das sogenannte Secure Element im Smartphone abgesichert. Dort befinden sich beispielsweise die Kreditkarteninformationen, an die sonst niemand herankommen kann. Die Pin wird von Android-Geräten eigentlich gut geschützt. Nach einer gewissen Anzahl von Fehlversuchen ist NFC-Bezahlung nicht mehr möglich. Die Pin hat jedoch nur vier Stellen und wenn ein Angreifer an die zugrundeliegende Datenbank herankommt, hat er es leicht. Nur ein einfacher Brute-Force-Angriff ist nötig. Nach maximal 10.000 Versuchen ist die Pin geknackt.

Um die Sicherheitsfunktion der NFC-App zu umgehen, muss das Android-Smartphone gerootet werden. Dann ist der Zugriff frei auf eine Datenbank der App, in welcher der Hashwert der Pin gesalzen liegt. Hier kritisiert Rubin, dass Googles App nicht anhand von Sicherheitskriterien programmiert wurde. Stattdessen versucht Google, die Brisanz der Daten mit Begriffen wie Metadata zu maskieren. Google verlässt sich offenbar darauf, dass das Gerät selbst geschützt ist. Rooting ist allerdings nichts Ungewöhnliches, auch wenn die Zielgruppe gering ist. Aufgrund der Kürze der Pin ist es keine Herausforderung, die für die Bezahlung wichtige Information aus dem offenen System zu extrahieren.

Google weiß von dem Problem

Google wurde über die Schwachstelle informiert und hat prinzipiell auch schon Lösungsansätze. Rubin selbst kennt das Problem seit mindestens Anfang Januar 2012, wie anhand eines Demovideos zu erkennen ist, das zuvor nur wenigen zugänglich war. Es gibt allerdings laut Rubin grundsätzliche Probleme, die einen Patch bisher verhinderten. Möglich wäre, die Pin in das Secure Element zu verlagern. Dort befindet sich jedoch signierter Code und der Aufwand ist höher, diesen zu verteilen.

Schwieriger sind rechtliche Probleme. Es kommt möglicherweise zu einer sogenannten Change of Agency. Sollte das stimmen, könnte es passieren, dass die Verantwortung über die Sicherheit der Pin von Google auf die Banken übertragen wird. Laut Rubin liegt die Entscheidung darüber nun bei den Banken. Sollte die Pin in das Secure Element wandern, gibt es nahezu keine Möglichkeit, an die Pin heranzukommen, ist sich Rubin sicher.

Es ist nicht die erste Schwachstelle, die Google Wallet betrifft. Schon seit Ende Dezember 2011 ist bekannt, dass sich die Google Wallet Pin sehr einfach zurücksetzen lässt. Sollte ein Nutzer keine Codesperre nutzen oder der Dieb diesen vorher beobachtet haben, braucht der Angreifer nur die Einstellungen von Google Wallet zu löschen. Anschließend lässt sich eine neue Pin setzen - ganz ohne Root-Rechte. Der Zugriff soll sich dann aber auf Prepaid-Guthaben beschränken, da mit dem Zurücksetzen der Pin auch die Kreditkarteninformationen gelöscht werden.

Für Europa ist die Schwachstelle bisher nicht relevant, da Google Wallet hier nicht zum Einsatz kommt. Laut Google beschränkt sich der Einsatz des Dienstes bisher auf das Nexus S 4G beim US-Netzbetreiber Sprint. Die Verbreitung ist also vergleichsweise gering. Dass sich die Pin leicht nachvollziehen lässt, zeigt aber, dass sich Bezahlen per NFC auch im Sicherheitsbereich noch im Anfangsstadium befindet.

Bezahlen per NFC kommt erst in Zukunft nach Deutschland. Die Sparkassen wollen Mitte 2012 damit anfangen, ihre EC-Karten mit NFC auszustatten. Später könnte das Bezahlsystem der Sparkassen auch in Smartphones integriert werden. Bis es so weit ist, wird aber noch einige Zeit vergehen, auch wenn die Sparkassen ein starkes Interesse haben, Google Wallet zuvorzukommen.


Husten 10. Feb 2012

So ein Schwachsinn, was hat denn rooten mit rumpfuschen in der FIrmware zu tun? Ausserdem...

as (Golem.de) 10. Feb 2012

Hallo, ja, da war ein Fehler drin. Ist mittlerweile korrigiert. Danke für den Hinweis...

Kommentieren



Anzeige

  1. Experte/-in IT Security / Network / Infrastructure
    ZF Friedrichshafen AG, Friedrichshafen
  2. Projektmitarbeiter / -manager (m/w) mit Schwerpunkt IT-Sicherheit
    PSI AG, Aschaffenburg
  3. Senior IT-Systemadministrator/in
    virtual solution AG, München
  4. Software Entwickler (C++ / .NET / Java / Apps) (m/w)
    MAS Software GmbH, München

 

Detailsuche


Folgen Sie uns
       


  1. Spielekonsole

    Neuer 20-nm-Chip für sparsamere Xbox One ist fertig

  2. Günther Oettinger

    EU-Digitalkommissar will Urheberrechtssteuer für alle

  3. Ruhemodus

    Noch ein Bug in Firmware 2.0 der Playstation 4

  4. VDSL2-Nachfolgestandard

    Telekom-Konkurrenten starten G.fast-Praxistest

  5. Ego-Shooter

    Bethesda hat Prey 2 eingestellt

  6. Keine Bußgelder

    Sicherheitslücken bleiben ohne Strafen

  7. Kinox.to

    GVU will Bitshare und Freakshare offline nehmen lassen

  8. Bungie

    Destiny und der Gesundheitsbalken

  9. Galaxy A3 und A5

    Samsungs dünne Smartphones im Metallkleid

  10. MSI GT80 Titan

    Erstes Gaming-Notebook mit mechanischer Tastatur



Haben wir etwas übersehen?

E-Mail an news@golem.de



iPad Air 2 im Test: Toll, aber kein Muss
iPad Air 2 im Test
Toll, aber kein Muss
  1. Tablet Apple verdient am iPad Air 2 weniger als am Vorgänger
  2. iFixit iPad Air 2 - wehe, wenn es kaputtgeht
  3. iPad Air 2 Benchmark Apples A8X überrascht mit drei Prozessor-Kernen

Test Civilization Beyond Earth: Die Zukunftsrunde mit der Schuldenfalle
Test Civilization Beyond Earth
Die Zukunftsrunde mit der Schuldenfalle
  1. Civ Beyond Earth Benchmark Schneller, ohne Mikroruckler und geringere Latenz mit Mantle
  2. Take 2 34 Millionen GTA 5 ausgeliefert

Aquabook 3: Das wassergekühlte Gaming-Notebook
Aquabook 3
Das wassergekühlte Gaming-Notebook
  1. Nepton 120XL und 240M Cooler Master macht Wasserkühlungen leiser
  2. DCMM 2014 Wenn PC-Gehäuse zu Kunstwerken werden

    •  / 
    Zum Artikel