Abo
  • Services:

Google Wallet: Pin zur Bezahlung lässt sich bei Android-Smartphones knacken

Ein Sicherheitsexperte hat in Android-Smartphones mit Google Wallet eine Schwachstelle entdeckt, die es einem Angreifer ermöglicht, die Pin für die NFC-Bezahlung zu bekommen. Geschützt ist der Anwender nur, wenn das Gerät nicht gerootet wurde.

Artikel veröffentlicht am ,
Eine Schwachstelle wurde in Google Wallet gefunden.
Eine Schwachstelle wurde in Google Wallet gefunden. (Bild: Google)

Sicherheitsforscher Joshua Rubin hat eine Schwachstelle im Zahlungssystem Google Wallet entdeckt. Mit Google Wallet sollen Besitzer von Android-Smartphones nicht mehr mit Bargeld oder einer Kreditkarte bezahlen, sondern dies stattdessen kontaktlos per Near Field Communication (NFC) tun.

Stellenmarkt
  1. ElringKlinger AG, Dettingen an der Erms
  2. Bosch Gruppe, Leonberg

Damit die NFC-App auch die Bezahlung vornehmen kann, bedarf es einer Pin. So wird der Zugriff auf das sogenannte Secure Element im Smartphone abgesichert. Dort befinden sich beispielsweise die Kreditkarteninformationen, an die sonst niemand herankommen kann. Die Pin wird von Android-Geräten eigentlich gut geschützt. Nach einer gewissen Anzahl von Fehlversuchen ist NFC-Bezahlung nicht mehr möglich. Die Pin hat jedoch nur vier Stellen und wenn ein Angreifer an die zugrundeliegende Datenbank herankommt, hat er es leicht. Nur ein einfacher Brute-Force-Angriff ist nötig. Nach maximal 10.000 Versuchen ist die Pin geknackt.

Um die Sicherheitsfunktion der NFC-App zu umgehen, muss das Android-Smartphone gerootet werden. Dann ist der Zugriff frei auf eine Datenbank der App, in welcher der Hashwert der Pin gesalzen liegt. Hier kritisiert Rubin, dass Googles App nicht anhand von Sicherheitskriterien programmiert wurde. Stattdessen versucht Google, die Brisanz der Daten mit Begriffen wie Metadata zu maskieren. Google verlässt sich offenbar darauf, dass das Gerät selbst geschützt ist. Rooting ist allerdings nichts Ungewöhnliches, auch wenn die Zielgruppe gering ist. Aufgrund der Kürze der Pin ist es keine Herausforderung, die für die Bezahlung wichtige Information aus dem offenen System zu extrahieren.

Google weiß von dem Problem

Google wurde über die Schwachstelle informiert und hat prinzipiell auch schon Lösungsansätze. Rubin selbst kennt das Problem seit mindestens Anfang Januar 2012, wie anhand eines Demovideos zu erkennen ist, das zuvor nur wenigen zugänglich war. Es gibt allerdings laut Rubin grundsätzliche Probleme, die einen Patch bisher verhinderten. Möglich wäre, die Pin in das Secure Element zu verlagern. Dort befindet sich jedoch signierter Code und der Aufwand ist höher, diesen zu verteilen.

Schwieriger sind rechtliche Probleme. Es kommt möglicherweise zu einer sogenannten Change of Agency. Sollte das stimmen, könnte es passieren, dass die Verantwortung über die Sicherheit der Pin von Google auf die Banken übertragen wird. Laut Rubin liegt die Entscheidung darüber nun bei den Banken. Sollte die Pin in das Secure Element wandern, gibt es nahezu keine Möglichkeit, an die Pin heranzukommen, ist sich Rubin sicher.

Es ist nicht die erste Schwachstelle, die Google Wallet betrifft. Schon seit Ende Dezember 2011 ist bekannt, dass sich die Google Wallet Pin sehr einfach zurücksetzen lässt. Sollte ein Nutzer keine Codesperre nutzen oder der Dieb diesen vorher beobachtet haben, braucht der Angreifer nur die Einstellungen von Google Wallet zu löschen. Anschließend lässt sich eine neue Pin setzen - ganz ohne Root-Rechte. Der Zugriff soll sich dann aber auf Prepaid-Guthaben beschränken, da mit dem Zurücksetzen der Pin auch die Kreditkarteninformationen gelöscht werden.

Für Europa ist die Schwachstelle bisher nicht relevant, da Google Wallet hier nicht zum Einsatz kommt. Laut Google beschränkt sich der Einsatz des Dienstes bisher auf das Nexus S 4G beim US-Netzbetreiber Sprint. Die Verbreitung ist also vergleichsweise gering. Dass sich die Pin leicht nachvollziehen lässt, zeigt aber, dass sich Bezahlen per NFC auch im Sicherheitsbereich noch im Anfangsstadium befindet.

Bezahlen per NFC kommt erst in Zukunft nach Deutschland. Die Sparkassen wollen Mitte 2012 damit anfangen, ihre EC-Karten mit NFC auszustatten. Später könnte das Bezahlsystem der Sparkassen auch in Smartphones integriert werden. Bis es so weit ist, wird aber noch einige Zeit vergehen, auch wenn die Sparkassen ein starkes Interesse haben, Google Wallet zuvorzukommen.



Anzeige
Spiele-Angebote
  1. 59,99€ mit Vorbesteller-Preisgarantie (Release 26.02.)
  2. 45,95€
  3. für 2€ (nur für Neukunden)
  4. (u. a. Life is Strange Complete Season 3,99€, Deus Ex: Mankind Divided 4,49€)

Husten 10. Feb 2012

So ein Schwachsinn, was hat denn rooten mit rumpfuschen in der FIrmware zu tun? Ausserdem...

as (Golem.de) 10. Feb 2012

Hallo, ja, da war ein Fehler drin. Ist mittlerweile korrigiert. Danke für den Hinweis...


Folgen Sie uns
       


Samsung Galaxy Watch Active - Hands on

Samsungs neue Smartwatch Galaxy Watch Active richtet sich an sportliche Nutzer. Auf eine drehbare Lünette wie bei den vorigen Modellen müssen Käufer aber verzichten.

Samsung Galaxy Watch Active - Hands on Video aufrufen
Magnetfeld: Wenn der Nordpol wandern geht
Magnetfeld
Wenn der Nordpol wandern geht

Das Erdmagnetfeld macht nicht das, was Geoforscher erwartet hatten - Nachjustierungen am irdischen Magnetmodell sind erforderlich.
Ein Bericht von Dirk Eidemüller

  1. Emotionen erkennen Ein Lächeln macht noch keinen Frohsinn
  2. Ökostrom Wie Norddeutschland die Energiewende vormacht
  3. Computational Periscopy Forscher sehen mit einfacher Digitalkamera um die Ecke

Chromebook Spin 13 im Alltagstest: Tolles Notebook mit Software-Bremse
Chromebook Spin 13 im Alltagstest
Tolles Notebook mit Software-Bremse

Bei Chromebooks denken viele an billige, knarzende Laptops - das Spin 13 von Acer ist anders. Wir haben es einen Monat lang verwendet - und uns am Ende gefragt, ob der veranschlagte Preis für ein Notebook mit Chrome OS wirklich gerechtfertigt ist.
Ein Test von Tobias Költzsch


    Begriffe, Architekturen, Produkte: Große Datenmengen in Echtzeit analysieren
    Begriffe, Architekturen, Produkte
    Große Datenmengen in Echtzeit analysieren

    Wer sich auch nur oberflächlich mit Big-Data und Echtzeit-Analyse beschäftigt, stößt schnell auf Begriffe und Lösungen, die sich nicht sofort erschließen. Warum brauche ich eine Nachrichten-Queue und was unterscheidet Apache Hadoop von Kafka? Welche Rolle spielt das in einer Kappa-Architektur?
    Von George Anadiotis


        •  /