Anzeige
Eine Schwachstelle wurde in Google Wallet gefunden.
Eine Schwachstelle wurde in Google Wallet gefunden. (Bild: Google)

Google Wallet Pin zur Bezahlung lässt sich bei Android-Smartphones knacken

Ein Sicherheitsexperte hat in Android-Smartphones mit Google Wallet eine Schwachstelle entdeckt, die es einem Angreifer ermöglicht, die Pin für die NFC-Bezahlung zu bekommen. Geschützt ist der Anwender nur, wenn das Gerät nicht gerootet wurde.

Anzeige

Sicherheitsforscher Joshua Rubin hat eine Schwachstelle im Zahlungssystem Google Wallet entdeckt. Mit Google Wallet sollen Besitzer von Android-Smartphones nicht mehr mit Bargeld oder einer Kreditkarte bezahlen, sondern dies stattdessen kontaktlos per Near Field Communication (NFC) tun.

Damit die NFC-App auch die Bezahlung vornehmen kann, bedarf es einer Pin. So wird der Zugriff auf das sogenannte Secure Element im Smartphone abgesichert. Dort befinden sich beispielsweise die Kreditkarteninformationen, an die sonst niemand herankommen kann. Die Pin wird von Android-Geräten eigentlich gut geschützt. Nach einer gewissen Anzahl von Fehlversuchen ist NFC-Bezahlung nicht mehr möglich. Die Pin hat jedoch nur vier Stellen und wenn ein Angreifer an die zugrundeliegende Datenbank herankommt, hat er es leicht. Nur ein einfacher Brute-Force-Angriff ist nötig. Nach maximal 10.000 Versuchen ist die Pin geknackt.

Um die Sicherheitsfunktion der NFC-App zu umgehen, muss das Android-Smartphone gerootet werden. Dann ist der Zugriff frei auf eine Datenbank der App, in welcher der Hashwert der Pin gesalzen liegt. Hier kritisiert Rubin, dass Googles App nicht anhand von Sicherheitskriterien programmiert wurde. Stattdessen versucht Google, die Brisanz der Daten mit Begriffen wie Metadata zu maskieren. Google verlässt sich offenbar darauf, dass das Gerät selbst geschützt ist. Rooting ist allerdings nichts Ungewöhnliches, auch wenn die Zielgruppe gering ist. Aufgrund der Kürze der Pin ist es keine Herausforderung, die für die Bezahlung wichtige Information aus dem offenen System zu extrahieren.

Google weiß von dem Problem

Google wurde über die Schwachstelle informiert und hat prinzipiell auch schon Lösungsansätze. Rubin selbst kennt das Problem seit mindestens Anfang Januar 2012, wie anhand eines Demovideos zu erkennen ist, das zuvor nur wenigen zugänglich war. Es gibt allerdings laut Rubin grundsätzliche Probleme, die einen Patch bisher verhinderten. Möglich wäre, die Pin in das Secure Element zu verlagern. Dort befindet sich jedoch signierter Code und der Aufwand ist höher, diesen zu verteilen.

Schwieriger sind rechtliche Probleme. Es kommt möglicherweise zu einer sogenannten Change of Agency. Sollte das stimmen, könnte es passieren, dass die Verantwortung über die Sicherheit der Pin von Google auf die Banken übertragen wird. Laut Rubin liegt die Entscheidung darüber nun bei den Banken. Sollte die Pin in das Secure Element wandern, gibt es nahezu keine Möglichkeit, an die Pin heranzukommen, ist sich Rubin sicher.

Es ist nicht die erste Schwachstelle, die Google Wallet betrifft. Schon seit Ende Dezember 2011 ist bekannt, dass sich die Google Wallet Pin sehr einfach zurücksetzen lässt. Sollte ein Nutzer keine Codesperre nutzen oder der Dieb diesen vorher beobachtet haben, braucht der Angreifer nur die Einstellungen von Google Wallet zu löschen. Anschließend lässt sich eine neue Pin setzen - ganz ohne Root-Rechte. Der Zugriff soll sich dann aber auf Prepaid-Guthaben beschränken, da mit dem Zurücksetzen der Pin auch die Kreditkarteninformationen gelöscht werden.

Für Europa ist die Schwachstelle bisher nicht relevant, da Google Wallet hier nicht zum Einsatz kommt. Laut Google beschränkt sich der Einsatz des Dienstes bisher auf das Nexus S 4G beim US-Netzbetreiber Sprint. Die Verbreitung ist also vergleichsweise gering. Dass sich die Pin leicht nachvollziehen lässt, zeigt aber, dass sich Bezahlen per NFC auch im Sicherheitsbereich noch im Anfangsstadium befindet.

Bezahlen per NFC kommt erst in Zukunft nach Deutschland. Die Sparkassen wollen Mitte 2012 damit anfangen, ihre EC-Karten mit NFC auszustatten. Später könnte das Bezahlsystem der Sparkassen auch in Smartphones integriert werden. Bis es so weit ist, wird aber noch einige Zeit vergehen, auch wenn die Sparkassen ein starkes Interesse haben, Google Wallet zuvorzukommen.


Husten 10. Feb 2012

So ein Schwachsinn, was hat denn rooten mit rumpfuschen in der FIrmware zu tun? Ausserdem...

as (Golem.de) 10. Feb 2012

Hallo, ja, da war ein Fehler drin. Ist mittlerweile korrigiert. Danke für den Hinweis...

Kommentieren



Anzeige

  1. Linux-Administrator (m/w) mit Schwerpunkt Automation
    BG-Phoenics GmbH, München
  2. Methodenexperte (m/w) EAM
    Anovio AG, München, Ingolstadt, Erlangen
  3. IT-Architekt im internationalen Umfeld
    Daimler AG, Sindelfingen
  4. Software-Entwickler/in MES (Manufacturing Execution Systems)
    Robert Bosch GmbH, Crailsheim

Detailsuche


Spiele-Angebote
  1. Fallout 3 - Game of the Year Edition [PC Code - Steam] USK 18
    9,99
  2. Xbox One 1 TB Tom Clancy’s The Division Bundle
    399,99€
  3. VORBESTELLBAR: World of Warcraft: Legion (Add-On) - Collector's Edition
    79,99€ (Vorbesteller-Preisgarantie)

Weitere Angebote


Folgen Sie uns
       


  1. Descent of the Shroud

    Grey Goo erhält kostenlose DLC-Kampagne

  2. Tuxedo Infinitybook

    Das voll konfigurierbare Linux-Macbook

  3. Flash-Speicher

    Micron spricht über 768-GBit-Chip

  4. Daybreak Game Company

    Zombiespiel H1Z1 wird aufgeteilt

  5. Twitter

    Neue Sortierung der Timeline kommt

  6. Error 53

    Unautorisierte Ersatzteile sperren iPhone

  7. Escape Dynamics

    Firma für mikrowellenbetriebene Raumschiffe ist bankrott

  8. Deutsche Bahn

    Wlan für alle ICE-Fahrgäste möglicherweise erst 2017

  9. Die Woche im Video

    Raider heißt jetzt Twix ...

  10. Alpenföhn

    Der Olymp soll 340 Watt an Leistung abführen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Asteroidenbergbau: Verblendet vom Platinrausch
Asteroidenbergbau
Verblendet vom Platinrausch
  1. Raumfahrt SpaceX und Orbital bauen Triebwerke für das US-Militär
  2. Dream Chaser Mini-Shuttle darf zur ISS fliegen
  3. Raumfahrt Raumsonde Dawn findet Wasser auf Zwergplaneten Ceres

Künstliche Intelligenz: Alpha Go spielt wie ein Japaner
Künstliche Intelligenz
Alpha Go spielt wie ein Japaner
  1. Nachruf KI-Pionier Marvin Minsky mit 88 Jahren gestorben
  2. CNTK Microsoft gibt Deep-Learning-Toolkit frei
  3. OpenAI Elon Musk unterstützt Forschung an gemeinnütziger KI

Tails 2.0 angeschaut: Die Linux-Distribution zum sicheren Surfen neu aufgelegt
Tails 2.0 angeschaut
Die Linux-Distribution zum sicheren Surfen neu aufgelegt

  1. Richtiger Müll

    Kamoranesi | 00:55

  2. Twitter-Neutralität

    Bujin | 00:53

  3. Re: Ausreden

    chithanh | 00:52

  4. Listen sind zu versteckt

    Bujin | 00:49

  5. Re: TLC Speicher Risiken...

    Clarissa1986 | 00:45


  1. 15:00

  2. 12:00

  3. 11:25

  4. 14:45

  5. 13:25

  6. 12:43

  7. 11:52

  8. 11:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel