WindowsCE-Smartphones speichern PIN im Klartext

Sicherheitsloch betrifft Geräte xda von O2 und mda von T-Mobile. Wie die Website teltarif.de berichtet, weisen alle Geräte mit der WindowsCE-Version Pocket PC 2002 Phone Edition ein empfindliches Sicherheitsleck auf. Demnach legt das Betriebssystem die PIN der SIM-Karte unverschlüsselt im Klartext in der Registry-Datenbank ab. Bei einem Diebstahl oder anderweitigem Verlust des Geräts können Unbefugte sich so ohne Aufwand im Handy-Netz des Betroffenen anmelden und auf deren Kosten telefonieren.

11. Februar 2003 um 09:52 Uhr / Ingo Pakalski

Wie teltarif.de herausfand, sind alle Geräte mit der Pocket PC 2002 Phone Edition von diesem Problem betroffen. Dazu gehören etwa die Geräte xda von O2 und der mda von T-Mobile. Für teltarif.de bleibt es schleierhaft, warum das Betriebssystem die zuletzt eingegebene PIN der SIM-Karte überhaupt in der Registry ablegt. Zuerst entdeckt wurde das Problem im Dezember 2002, aber zunächst nicht weiter kommuniziert. Man wollte Microsoft die Möglichkeit geben, einen passenden Patch dafür bereitzustellen. Bisher ist allerdings nichts in der Richtung geschehen.

Die Tools-Schmiede xda-developers.com bietet eine Software namens WipePIN an, die den PIN-Eintrag in der Registry alle drei Minuten mit Fragezeichen überschreibt, so dass Fremde die Daten nicht mehr auslesen können.