Abo
  • Services:

AusweisApp

Auto-Update prüft Zertifikat nicht ausreichend

Jan Schejbal weist auf eine Sicherheitslücke in der AusweisApp hin, die das Bundesinnenministerium seit kurzem für den neuen elektronischen Personalausweis zum Download anbietet.

Artikel veröffentlicht am ,

Die AusweisApp holt sich ihre Updates von einem per SSL gesicherten Server und überprüft, ob ein gültiges SSL-Zertfikat vorliegt, aber nicht, ob dieses auch zum Server passt, schreibt Schejbal in seinem Blog. Um davon zu profitieren, müsste ein Anbieter allerdings den Client auf einen anderen Server lenken, beispielsweise über einen manipulierten DNS-Server.

Stellenmarkt
  1. Klinikum Nürnberg, Nürnberg
  2. Viega Holding GmbH & Co. KG, Ennest, Elspe

So könnte der Updatefunktion eine manipulierte Antwort untergeschoben werden, welche sie anweist, eine Datei von einer beliebigen URL herunterzuladen und zu installieren. Dabei erwartet der Updater laut Schejbal eine Zip-Datei, die entpackt und dann eine bestimmte .msi-Datei darin ausgeführt wird. Allerdings wird dabei eine Signatur überprüft, so dass ein direkter Angriff auf die AusweisApp auf diesem Weg eher schwierig sein dürfte.

Da die Zip-Datei aber vor der Signaturprüfung entpackt wird, sei es über relative Pfadangaben möglich, aus dem temporären Verzeichnis auszubrechen und somit beliebige Dateien ins Dateisystem zu schreiben und zu überschreiben, so Schejbal.

Nach Ansicht von Schejbal ist der Fehler für die Entwickler der AusweisApp leicht zu korrigieren.



Anzeige
Blu-ray-Angebote

phade 12. Nov 2010

Wichtig ! Nicht vergessen ! Beim naechsten App-Update bitte gleich noch den Stuxnet mit...

ich_ 11. Nov 2010

ich denke ja die haben garkeiner firma irgendwas gegeben und setzten lieber auf security...

guert 11. Nov 2010

Appfel nicht Apfel! ;-)

Blackfoot 10. Nov 2010

Aktuell kann die AusweisAnwendung (Mittwochnachmittag) nicht mehr heruntergeladen...

Octopus 10. Nov 2010

Da sind dem Vernehmen nach noch weitere Macken drin u.a das das Certificat Pool des OS...


Folgen Sie uns
       


Radeon RX 590 - Test

Wir schauen uns AMDs Radeon RX 590 anhand der Nitro+ Special Edition von Sapphire genauer an: Die Grafikkarte nutzt den Polaris 30 genannten Chip, welcher im 12 nm statt im 14 nm Verfahren hergestellt wird.

Radeon RX 590 - Test Video aufrufen
Amazons Echo Show (2018) im Test: Auf keinem anderen Echo-Gerät macht Alexa so viel Freude
Amazons Echo Show (2018) im Test
Auf keinem anderen Echo-Gerät macht Alexa so viel Freude

Die zweite Generation des Echo Show ist da. Amazon hat viele Kritikpunkte am ersten Modell beseitigt. Der Neuling hat ein größeres Display als das Vorgängermodell und das sorgt für mehr Freude bei der Benutzung. Trotz vieler Verbesserungen ist nicht alles daran perfekt.
Ein Test von Ingo Pakalski

  1. Update für Alexa-Display im Hands on Browser macht den Echo Show viel nützlicher
  2. Amazon Echo Show mit Browser, Skype und großem Display

Battlefield 5 im Test: Klasse Kämpfe unter Freunden
Battlefield 5 im Test
Klasse Kämpfe unter Freunden

Umgebungen und Szenario erinnern an frühere Serienteile, das Sammeln von Ausrüstung motiviert langfristig, viele Gebiete sind zerstörbar: Battlefield 5 setzt auf Multiplayermatches für erfahrene Squads. Wer lange genug kämpft, findet schon vor der Erweiterung Firestorm ein bisschen Battle Royale.

  1. Dice Raytracing-Systemanforderungen für Battlefield 5 erschienen
  2. Dice Zusatzinhalte für Battlefield 5 vorgestellt
  3. Battle Royale Battlefield 5 schickt 64 Spieler in Feuerring

Icarus: Forscher beobachten Tiere via ISS
Icarus
Forscher beobachten Tiere via ISS

Dass Vögel wandern, ist seit langem bekannt. Wir haben auch eine Idee, wohin sie ziehen. Aber ganz genau wissen wir es nicht. Das wird sich ändern: Im Rahmen des Projekts Icarus wollen Forscher viele Tiere mit kleinen Sendern ausstatten und so ihre Wanderrouten verfolgen. Die Daten kommen über die ISS zur Erde.
Ein Bericht von Werner Pluta

  1. Tweether Empfangsmodul für 94 GHz kommt aus Kassel
  2. Tweether 10 GBit/s über einen Quadratkilometer verteilt
  3. Telekommunikation Mit dem Laser durch die Wolken

    •  /