Google Wallet: Pin zur Bezahlung lässt sich bei Android-Smartphones knacken

Ein Sicherheitsexperte hat in Android-Smartphones mit Google Wallet eine Schwachstelle entdeckt, die es einem Angreifer ermöglicht, die Pin für die NFC-Bezahlung zu bekommen. Geschützt ist der Anwender nur, wenn das Gerät nicht gerootet wurde.

Artikel veröffentlicht am ,
Eine Schwachstelle wurde in Google Wallet gefunden.
Eine Schwachstelle wurde in Google Wallet gefunden. (Bild: Google)

Sicherheitsforscher Joshua Rubin hat eine Schwachstelle im Zahlungssystem Google Wallet entdeckt. Mit Google Wallet sollen Besitzer von Android-Smartphones nicht mehr mit Bargeld oder einer Kreditkarte bezahlen, sondern dies stattdessen kontaktlos per Near Field Communication (NFC) tun.

Damit die NFC-App auch die Bezahlung vornehmen kann, bedarf es einer Pin. So wird der Zugriff auf das sogenannte Secure Element im Smartphone abgesichert. Dort befinden sich beispielsweise die Kreditkarteninformationen, an die sonst niemand herankommen kann. Die Pin wird von Android-Geräten eigentlich gut geschützt. Nach einer gewissen Anzahl von Fehlversuchen ist NFC-Bezahlung nicht mehr möglich. Die Pin hat jedoch nur vier Stellen und wenn ein Angreifer an die zugrundeliegende Datenbank herankommt, hat er es leicht. Nur ein einfacher Brute-Force-Angriff ist nötig. Nach maximal 10.000 Versuchen ist die Pin geknackt.

Um die Sicherheitsfunktion der NFC-App zu umgehen, muss das Android-Smartphone gerootet werden. Dann ist der Zugriff frei auf eine Datenbank der App, in welcher der Hashwert der Pin gesalzen liegt. Hier kritisiert Rubin, dass Googles App nicht anhand von Sicherheitskriterien programmiert wurde. Stattdessen versucht Google, die Brisanz der Daten mit Begriffen wie Metadata zu maskieren. Google verlässt sich offenbar darauf, dass das Gerät selbst geschützt ist. Rooting ist allerdings nichts Ungewöhnliches, auch wenn die Zielgruppe gering ist. Aufgrund der Kürze der Pin ist es keine Herausforderung, die für die Bezahlung wichtige Information aus dem offenen System zu extrahieren.

Google weiß von dem Problem

Google wurde über die Schwachstelle informiert und hat prinzipiell auch schon Lösungsansätze. Rubin selbst kennt das Problem seit mindestens Anfang Januar 2012, wie anhand eines Demovideos zu erkennen ist, das zuvor nur wenigen zugänglich war. Es gibt allerdings laut Rubin grundsätzliche Probleme, die einen Patch bisher verhinderten. Möglich wäre, die Pin in das Secure Element zu verlagern. Dort befindet sich jedoch signierter Code und der Aufwand ist höher, diesen zu verteilen.

Schwieriger sind rechtliche Probleme. Es kommt möglicherweise zu einer sogenannten Change of Agency. Sollte das stimmen, könnte es passieren, dass die Verantwortung über die Sicherheit der Pin von Google auf die Banken übertragen wird. Laut Rubin liegt die Entscheidung darüber nun bei den Banken. Sollte die Pin in das Secure Element wandern, gibt es nahezu keine Möglichkeit, an die Pin heranzukommen, ist sich Rubin sicher.

Es ist nicht die erste Schwachstelle, die Google Wallet betrifft. Schon seit Ende Dezember 2011 ist bekannt, dass sich die Google Wallet Pin sehr einfach zurücksetzen lässt. Sollte ein Nutzer keine Codesperre nutzen oder der Dieb diesen vorher beobachtet haben, braucht der Angreifer nur die Einstellungen von Google Wallet zu löschen. Anschließend lässt sich eine neue Pin setzen - ganz ohne Root-Rechte. Der Zugriff soll sich dann aber auf Prepaid-Guthaben beschränken, da mit dem Zurücksetzen der Pin auch die Kreditkarteninformationen gelöscht werden.

Für Europa ist die Schwachstelle bisher nicht relevant, da Google Wallet hier nicht zum Einsatz kommt. Laut Google beschränkt sich der Einsatz des Dienstes bisher auf das Nexus S 4G beim US-Netzbetreiber Sprint. Die Verbreitung ist also vergleichsweise gering. Dass sich die Pin leicht nachvollziehen lässt, zeigt aber, dass sich Bezahlen per NFC auch im Sicherheitsbereich noch im Anfangsstadium befindet.

Bezahlen per NFC kommt erst in Zukunft nach Deutschland. Die Sparkassen wollen Mitte 2012 damit anfangen, ihre EC-Karten mit NFC auszustatten. Später könnte das Bezahlsystem der Sparkassen auch in Smartphones integriert werden. Bis es so weit ist, wird aber noch einige Zeit vergehen, auch wenn die Sparkassen ein starkes Interesse haben, Google Wallet zuvorzukommen.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
JPEG XL
Die Browserhersteller sagen nein zum Bildformat

JPEG XL ist das überlegene Bildformat. Aber Chrome und Firefox brechen die Implementierung ab. Wir erklären das Format und schauen auf die Gründe für die Ablehnung.
Eine Analyse von Boris Mayer

JPEG XL: Die Browserhersteller sagen nein zum Bildformat
Artikel
  1. Walking Simulator: Gameplay von The Day Before erntet Spott
    Walking Simulator
    Gameplay von The Day Before erntet Spott

    Nach Betrugsvorwürfen haben die Entwickler von The Day Before nun Gameplay veröffentlicht - das nicht besonders gut ankommt.

  2. Lasertechnik: Hoffnung auf Femtosekundenlaser für die Hosentasche
    Lasertechnik
    Hoffnung auf Femtosekundenlaser für die Hosentasche

    An der Universität Yale wurde ein Titan-Saphir-Laser auf einem Chip erzeugt und fortgeschrittene Lasertechnik auf Millimetergröße geschrumpft.

  3. Knockout City: Drei Games-as-a-Service weniger in einer Woche
    Knockout City
    Drei Games-as-a-Service weniger in einer Woche

    Rumbleverse, Apex Legends Mobile und Knockout City: Innerhalb weniger Tage heißt es Game Over für drei bekannte Multiplayerspiele.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Mindfactory DAMN-Deals: Grakas, CPUs & Co. • HTC Vice 2 Pro Full Kit 899€ • RAM-Tiefstpreise • Amazon-Geräte bis -50% • Samsung TVs bis 1.000€ Cashback • Corsair HS80 7.1-Headset -42% • PCGH Cyber Week • Samsung Curved 27" WQHD 267,89€ • Samsung Galaxy S23 vorbestellbar [Werbung]
    •  /