Eine Schwachstelle wurde in Google Wallet gefunden.
Eine Schwachstelle wurde in Google Wallet gefunden. (Bild: Google)

Google Wallet Pin zur Bezahlung lässt sich bei Android-Smartphones knacken

Ein Sicherheitsexperte hat in Android-Smartphones mit Google Wallet eine Schwachstelle entdeckt, die es einem Angreifer ermöglicht, die Pin für die NFC-Bezahlung zu bekommen. Geschützt ist der Anwender nur, wenn das Gerät nicht gerootet wurde.

Anzeige

Sicherheitsforscher Joshua Rubin hat eine Schwachstelle im Zahlungssystem Google Wallet entdeckt. Mit Google Wallet sollen Besitzer von Android-Smartphones nicht mehr mit Bargeld oder einer Kreditkarte bezahlen, sondern dies stattdessen kontaktlos per Near Field Communication (NFC) tun.

Damit die NFC-App auch die Bezahlung vornehmen kann, bedarf es einer Pin. So wird der Zugriff auf das sogenannte Secure Element im Smartphone abgesichert. Dort befinden sich beispielsweise die Kreditkarteninformationen, an die sonst niemand herankommen kann. Die Pin wird von Android-Geräten eigentlich gut geschützt. Nach einer gewissen Anzahl von Fehlversuchen ist NFC-Bezahlung nicht mehr möglich. Die Pin hat jedoch nur vier Stellen und wenn ein Angreifer an die zugrundeliegende Datenbank herankommt, hat er es leicht. Nur ein einfacher Brute-Force-Angriff ist nötig. Nach maximal 10.000 Versuchen ist die Pin geknackt.

Um die Sicherheitsfunktion der NFC-App zu umgehen, muss das Android-Smartphone gerootet werden. Dann ist der Zugriff frei auf eine Datenbank der App, in welcher der Hashwert der Pin gesalzen liegt. Hier kritisiert Rubin, dass Googles App nicht anhand von Sicherheitskriterien programmiert wurde. Stattdessen versucht Google, die Brisanz der Daten mit Begriffen wie Metadata zu maskieren. Google verlässt sich offenbar darauf, dass das Gerät selbst geschützt ist. Rooting ist allerdings nichts Ungewöhnliches, auch wenn die Zielgruppe gering ist. Aufgrund der Kürze der Pin ist es keine Herausforderung, die für die Bezahlung wichtige Information aus dem offenen System zu extrahieren.

Google weiß von dem Problem

Google wurde über die Schwachstelle informiert und hat prinzipiell auch schon Lösungsansätze. Rubin selbst kennt das Problem seit mindestens Anfang Januar 2012, wie anhand eines Demovideos zu erkennen ist, das zuvor nur wenigen zugänglich war. Es gibt allerdings laut Rubin grundsätzliche Probleme, die einen Patch bisher verhinderten. Möglich wäre, die Pin in das Secure Element zu verlagern. Dort befindet sich jedoch signierter Code und der Aufwand ist höher, diesen zu verteilen.

Schwieriger sind rechtliche Probleme. Es kommt möglicherweise zu einer sogenannten Change of Agency. Sollte das stimmen, könnte es passieren, dass die Verantwortung über die Sicherheit der Pin von Google auf die Banken übertragen wird. Laut Rubin liegt die Entscheidung darüber nun bei den Banken. Sollte die Pin in das Secure Element wandern, gibt es nahezu keine Möglichkeit, an die Pin heranzukommen, ist sich Rubin sicher.

Es ist nicht die erste Schwachstelle, die Google Wallet betrifft. Schon seit Ende Dezember 2011 ist bekannt, dass sich die Google Wallet Pin sehr einfach zurücksetzen lässt. Sollte ein Nutzer keine Codesperre nutzen oder der Dieb diesen vorher beobachtet haben, braucht der Angreifer nur die Einstellungen von Google Wallet zu löschen. Anschließend lässt sich eine neue Pin setzen - ganz ohne Root-Rechte. Der Zugriff soll sich dann aber auf Prepaid-Guthaben beschränken, da mit dem Zurücksetzen der Pin auch die Kreditkarteninformationen gelöscht werden.

Für Europa ist die Schwachstelle bisher nicht relevant, da Google Wallet hier nicht zum Einsatz kommt. Laut Google beschränkt sich der Einsatz des Dienstes bisher auf das Nexus S 4G beim US-Netzbetreiber Sprint. Die Verbreitung ist also vergleichsweise gering. Dass sich die Pin leicht nachvollziehen lässt, zeigt aber, dass sich Bezahlen per NFC auch im Sicherheitsbereich noch im Anfangsstadium befindet.

Bezahlen per NFC kommt erst in Zukunft nach Deutschland. Die Sparkassen wollen Mitte 2012 damit anfangen, ihre EC-Karten mit NFC auszustatten. Später könnte das Bezahlsystem der Sparkassen auch in Smartphones integriert werden. Bis es so weit ist, wird aber noch einige Zeit vergehen, auch wenn die Sparkassen ein starkes Interesse haben, Google Wallet zuvorzukommen.


Husten 10. Feb 2012

So ein Schwachsinn, was hat denn rooten mit rumpfuschen in der FIrmware zu tun? Ausserdem...

as (Golem.de) 10. Feb 2012

Hallo, ja, da war ein Fehler drin. Ist mittlerweile korrigiert. Danke für den Hinweis...

Kommentieren



Anzeige

  1. IT System Engineer (m/w) Networking Solutions
    Bechtle AG, Karlsruhe
  2. PHP-Entwickler (m/w)
    CONET Business Consultants GmbH, Hennef bei Bonn, Ludwigsburg
  3. Teamleiter (m/w) Applikationen und Systembetrieb SAP IS-U
    LAS GmbH, Leipzig
  4. Softwareentwickler Verzahnungstechnik (m/w)
    KLINGELNBERG GmbH, Hückeswagen (Großraum Köln)

 

Detailsuche


Folgen Sie uns
       


  1. Auftragsfertiger

    Samsung startet Serienproduktion des 14-nm-FinFET-Prozesses

  2. Safari

    Apple sucht neuen Partner für Internetsuche

  3. Neue Mission

    Nasa will magnetische Rekonnexion erforschen

  4. Bundesregierung

    Klimaziele wegen mangelnder Elektroautoförderung in Gefahr

  5. Flugsicherheitsbehörde

    Lieferdrohnen benötigen Piloten mit Fluglizenz

  6. Gift Trading

    Steam ändert Regeln für geschenkte Spiele

  7. Fluggastdaten

    EuGH soll PNR-Abkommen mit Kanada prüfen

  8. LLGO

    Go-Compiler auf Basis von LLVM

  9. Operation Eikonal

    Regierung schüchtert Ausschuss mit extremem Geheimschutz ein

  10. Creative Commons

    Deutschlandradio darf CC-BY-NC-Bild nutzen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Zbox Pico im Test: Der Taschenrechner, der fast alles kann
Zbox Pico im Test
Der Taschenrechner, der fast alles kann

Spieleklassiker: Retrogolem spielt Star Wars X-Wing (DOS)
Spieleklassiker
Retrogolem spielt Star Wars X-Wing (DOS)

Stuxnet lässt grüßen: Trojaner hat Unternehmen in großem Stil ausgespäht
Stuxnet lässt grüßen
Trojaner hat Unternehmen in großem Stil ausgespäht
  1. Kaspersky Lab Cyberwaffe Regin griff Mobilfunk-Basisstationen an
  2. Sicherheitslücke BND will Zero Day Exploits einkaufen
  3. Malware Europol will Backdoors gegen Cyberkriminelle nutzen

    •  / 
    Zum Artikel