• IT-Karriere:
  • Services:

AusweisApp

Auto-Update prüft Zertifikat nicht ausreichend

Jan Schejbal weist auf eine Sicherheitslücke in der AusweisApp hin, die das Bundesinnenministerium seit kurzem für den neuen elektronischen Personalausweis zum Download anbietet.

Artikel veröffentlicht am ,

Die AusweisApp holt sich ihre Updates von einem per SSL gesicherten Server und überprüft, ob ein gültiges SSL-Zertfikat vorliegt, aber nicht, ob dieses auch zum Server passt, schreibt Schejbal in seinem Blog. Um davon zu profitieren, müsste ein Anbieter allerdings den Client auf einen anderen Server lenken, beispielsweise über einen manipulierten DNS-Server.

Stellenmarkt
  1. Statistisches Bundesamt, Wiesbaden
  2. Alexander Binzel Schweisstechnik GmbH & Co. KG, Buseck

So könnte der Updatefunktion eine manipulierte Antwort untergeschoben werden, welche sie anweist, eine Datei von einer beliebigen URL herunterzuladen und zu installieren. Dabei erwartet der Updater laut Schejbal eine Zip-Datei, die entpackt und dann eine bestimmte .msi-Datei darin ausgeführt wird. Allerdings wird dabei eine Signatur überprüft, so dass ein direkter Angriff auf die AusweisApp auf diesem Weg eher schwierig sein dürfte.

Da die Zip-Datei aber vor der Signaturprüfung entpackt wird, sei es über relative Pfadangaben möglich, aus dem temporären Verzeichnis auszubrechen und somit beliebige Dateien ins Dateisystem zu schreiben und zu überschreiben, so Schejbal.

Nach Ansicht von Schejbal ist der Fehler für die Entwickler der AusweisApp leicht zu korrigieren.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (Bis zu 40 Prozent auf ausgewählte Notebooks, Monitore, PCs, Hardware, Smartphones, Zubehör und...
  2. (u. a. ASUS ROG Strix XG43VQ für 799€, ASUS VG255H für 139,90€, Thermaltake View 21 Tempered...
  3. (u. a. Samsung Galaxy Watch Active 2 Under Armour Edition 44 mm Schwarz für 179,34€ und 40 mm...

phade 12. Nov 2010

Wichtig ! Nicht vergessen ! Beim naechsten App-Update bitte gleich noch den Stuxnet mit...

ich_ 11. Nov 2010

ich denke ja die haben garkeiner firma irgendwas gegeben und setzten lieber auf security...

guert 11. Nov 2010

Appfel nicht Apfel! ;-)

Blackfoot 10. Nov 2010

Aktuell kann die AusweisAnwendung (Mittwochnachmittag) nicht mehr heruntergeladen...

Octopus 10. Nov 2010

Da sind dem Vernehmen nach noch weitere Macken drin u.a das das Certificat Pool des OS...


Folgen Sie uns
       


Cowboy 3 vs. Vanmoof S3 im Test: Das Duell der Purismus-Pedelecs
Cowboy 3 vs. Vanmoof S3 im Test
Das Duell der Purismus-Pedelecs

Schwarz, schlank und schick sind die urbanen E-Bikes von Cowboy und Vanmoof. Doch nur eines der Pedelecs liest unsere Gedanken.
Ein Praxistest von Martin Wolf

  1. Montage an der Bremse E-Antrieb für Mountainbikes zum Nachrüsten
  2. Hopper Dreirad mit Dach soll Autos aus der Stadt verdrängen
  3. Alternative zum Auto ADAC warnt vor Überlastung von E-Bikes

Java 15: Sealed Classes - Code-Smell oder moderne Erweiterung?
Java 15
Sealed Classes - Code-Smell oder moderne Erweiterung?

Was bringt das Preview Feature aus Java 15, wie wird es benutzt und bricht das nicht das Prinzip der Kapselung?
Eine Analyse von Boris Mayer

  1. Java JDK 15 geht mit neuen Features in die General Availability
  2. Java Nicht die Bohne veraltet
  3. JDK Oracle will "Schmerzen" von Java beheben

Burnout im IT-Job: Mit den Haien schwimmen
Burnout im IT-Job
Mit den Haien schwimmen

Unter Druck bricht ein Webentwickler zusammen - zerrieben von zu eng getakteten Projekten. Obwohl die IT-Branche psychische Belastungen als Problem erkannt hat, lässt sie Beschäftigte oft allein.
Eine Reportage von Miriam Binner


      •  /