Abo
  • Services:
Anzeige
Updates für Samsungs Tastatur-App werden unverschlüsselt übertragen und lassen sich deshalb leicht manipulieren.
Updates für Samsungs Tastatur-App werden unverschlüsselt übertragen und lassen sich deshalb leicht manipulieren. (Bild: Nowsecure)

Security: Unverschlüsselte App-Updates gefährden Samsungs Smartphones

Updates für Samsungs Tastatur-App werden unverschlüsselt übertragen und lassen sich deshalb leicht manipulieren.
Updates für Samsungs Tastatur-App werden unverschlüsselt übertragen und lassen sich deshalb leicht manipulieren. (Bild: Nowsecure)

Wenn Apps ihre Aktualisierungen unverschlüsselt abholen, sind sie leicht zu manipulieren. Vor allem bei systemnahen Anwendungen ist das ein gravierendes Problem, wie ein aktueller Fall belegt, der vor allem die Galaxy-Reihe von Samsung betrifft.

Anzeige

Es ist eine gefährliche Kombination: Updates für systemnahe Apps, die unverschlüsselt übermittelt werden, und Patches, die nur schleppend an Kunden weitergegeben werden. Ein aktueller Fall betrifft die Tastatur-App, die Samsung unter anderem auf Smartphones seiner S-Reihe mitliefert. IT-Sicherheitsexperten bei Nowsecure haben einen Weg gefunden, regelmäßig angeforderte Updates für die App zu manipulieren und sich so weitgehenden Zugriff auf betroffene Mobiltelefone zu verschaffen. Samsung hat längst ein Patch dafür bereitgestellt. Der wird aber offensichtlich nur langsam verteilt.

Für seine Smartphones der S-Reihe - genauer Samsungs Galaxy S3, S4, S5 und S6 sowie Galaxy Note 3 und Note 4 - hat Samsung die Tastatur-App von Swiftkey lizenziert. Die angepasste App namens Samsung IME erkundigt sich regelmäßig bei den Swiftkey-Servern nach Updates, und zwar alle paar Stunden sowie nach jedem Neustart, wie die Experten bei Nowsecure beobachtet haben. Die Anfragen und auch die Updates selbst erfolgen über das unverschlüsselte HTTP. Darüber werden auch neue Sprachmodule installiert, wenn ein Anwender sie anfordert.

Zwar enthalten die Updates und Sprachmodule eine Checksumme in Form eines SHA1-Hashwerts. Dieser Schlüssel wird aber zuvor in einer ebenfalls ungesicherten Manifest-Datei übermittelt. Die Datei lässt sich leicht manipulieren, etwa um sie mit einem eigenen SHA1-Hash zu versehen und anschließend dem Anwender unterzujubeln. Anschließend könnte ein Angreifer ein ebenfalls manipuliertes Update einschleusen.

Die App lässt sich nicht stoppen

Voraussetzung für einen solchen Angriff ist natürlich, dass das angegriffene Smartphone eine Verbindung in einem unverschlüsselten WLAN aufbaut, in dem der Angreifer mit entsprechenden Werkzeugen bereits wartet. Angesichts der Zugriffsmöglichkeiten, die eine manipulierte, systemnahe App wie die Tastatur bietet, dürfte das ein lukratives Unterfangen für Kriminelle sein.

Ein weiteres Problem ist in diesem speziellen Fall, dass Anwender nichts dagegen unternehmen können. Zwar kann auf die Standardtastatur von Android umgestellt oder sogar eine alternative Tastatur-App installiert werden. Allerdings hält dies die betroffene App nicht davon ab, weiterhin regelmäßig Kontakt zum Swiftkey-Server aufzubauen. Und sie lässt sich auch nicht deinstallieren. Die offizielle Tastatur-App von Swiftkey selbst ist übrigens von der Schwachstelle nicht betroffen, wie der Hersteller versichert und auch die Experten bei Nowsecure bestätigen. Deren Updates werden über Googles Play Store verteilt.

Problem erkannt, aber nicht gebannt

Bereits im November 2014 informierte Nowsecure Samsung über die Schwachstelle, und der Smartphone-Hersteller stellte zügig ein Patch dafür bereit. Updates für mindestens Android 4.2 auf den betroffenen Geräten sollen das Problem nach Angaben des Herstellers beheben. Hier ist Samsung aber auch auf die Provider angewiesen, die den Patch an ihre Kunden weitergeben müssen.

Das habe offensichtlich nur unzureichend geklappt, berichtete Ryan Welton von Nowsecure vor wenigen Tagen auf der IT-Sicherheitskonferenz Black Hat Europe in London. Dort demonstrierte er den Angriff auf einem Galaxy S5 von Verizon. Auf Galaxy-S6-Geräten der Provider Verizon und Sprint soll der Angriff ebenfalls noch möglich sein. Welton geht davon aus, dass mehrere Millionen Geräte weiterhin gefährdet sind und hat diese beim CERT gemeldet. Auf der Webseite des IT-Sicherheitsunternehmens gibt es eine noch unvollständige Liste der verwundbaren Geräte der Provider Sprint, T-Mobile und Verizon. Inwieweit Geräte deutscher Provider betroffen sind, ist noch nicht bekannt.

Nachtrag vom 17. Juni 2015, 18:30 Uhr

Samsung teilte uns Folgendes mit: "Der aktuelle Fall ist uns bekannt, und wir arbeiten kontinuierlich daran, unsere mobilen Geräte mit aktuellen Sicherheitsfeatures auszustatten. Dadurch, dass alle Modelle ab der S4-Serie mit der Samsung-KNOX-Plattform geschützt sind, ist der Kernel der Smartphones vom aktuellen Fall nicht betroffen. Samsung KNOX erlaubt es zudem, die Sicherheitseinstellungen der Smartphones over-the-air upzudaten, um jeglichen, noch potenziell vorhandenen Gefahren entgegenzuwirken. Mit den Updates dieser Security Policies wird in ein paar Tagen gestartet. Zusätzlich arbeiten wir auch eng mit Swiftkey zusammen, um zukünftige Risiken zu minimieren."


eye home zur Startseite
Anonymer Nutzer 18. Jun 2015

Nein,leider besteht die offizielle Aussage von Google aus zwei sehr speziellen Sätzen...

Anonymer Nutzer 17. Jun 2015

Er hat den Text aber maximal nur überflogen und unter solchen Vorraussetzungen kann man...

waswiewo 17. Jun 2015

Ähm ... weil du den Artikel nicht gelesen hast?



Anzeige

Stellenmarkt
  1. L-Bank Staatsbank für Baden-Württemberg, Karlsruhe
  2. Hermes Germany GmbH, Hamburg
  3. Zühlke Engineering GmbH, Eschborn (bei Frankfurt am Main), München, Hannover, Hamburg
  4. noris network AG, Nürnberg


Anzeige
Blu-ray-Angebote
  1. 17,97€
  2. (u. a. Vier Fäuste für ein Halleluja, Zwei bärenstarke Typen,Vier Fäuste gegen Rio)
  3. (u. a. Apollo 13, Insidious, Horns, King Kong, E.T. The Untouchables, Der Sternwanderer)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Potenzialanalyse für eine effiziente DMS- und ECM-Strategie
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. Apple

    Aktivierungssperre des iPads lässt sich umgehen

  2. Amazon

    Downloader-App aus dem Fire-TV-Store entfernt

  3. Autonomes Fahren

    Apple zeigt Interesse an selbstfahrenden Autos

  4. Sicherheit

    Geheimdienst warnt vor Cyberattacke auf russische Banken

  5. Super Mario Bros. (1985)

    Fahrt ab auf den Bruder!

  6. Canon EOS 5D Mark IV im Test

    Grundsolides Arbeitstier mit einer Portion Extravaganz

  7. PSX 2016

    Sony hat The Last of Us 2 angekündigt

  8. Raspberry Pi

    Schutz gegen Übernahme durch Hacker und Botnetze verbessert

  9. UHD-Blu-ray

    PowerDVD spielt 4K-Discs

  10. Raumfahrt

    Europa bleibt im All



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Udacity: Selbstfahrendes Auto selbst programmieren
Udacity
Selbstfahrendes Auto selbst programmieren
  1. Strategiepapier EU fordert europaweite Standards für vernetzte Autos
  2. Autonomes Fahren Comma One veröffentlicht Baupläne für Geohot-Nachrüstsatz
  3. Autonomes Fahren Intel baut Prozessoren für Delphi und Mobileye

Oneplus 3T im Test: Schneller, ausdauernder und immer noch günstig
Oneplus 3T im Test
Schneller, ausdauernder und immer noch günstig
  1. Smartphone Oneplus 3T mit 128 GByte wird nicht zu Weihnachten geliefert
  2. Android-Smartphone Oneplus Three wird nach fünf Monaten eingestellt
  3. Oneplus 3T Oneplus bringt Three mit besserem Akku und SoC

Seoul-Incheon Ecobee ausprobiert: Eine sanfte Magnetbahnfahrt im Nirgendwo
Seoul-Incheon Ecobee ausprobiert
Eine sanfte Magnetbahnfahrt im Nirgendwo
  1. Transport Hyperloop One plant Trasse in Dubai

  1. Re: Ein Sprung in den Hyperspace macht knapp 90...

    Komischer_Phreak | 21:13

  2. Re: total spannend

    motzerator | 20:57

  3. Re: [OT] Golem pur Banner

    It's me, Mario | 20:52

  4. Re: Mehhh....

    User_x | 20:50

  5. Re: Es sind immer die Ausländer

    User_x | 20:42


  1. 12:54

  2. 11:56

  3. 10:54

  4. 10:07

  5. 08:59

  6. 08:00

  7. 00:03

  8. 15:33


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel