Abo
  • Services:

Protokollanalyse: Mogeln im Quizduell

Entwickler verlassen sich zu sehr auf HTTPS und verzichten auf grundlegende Sicherheitsmaßnahmen. Über eine Man-in-the-Middle-Attacke konnten Security-Forscher in den Datenverkehr zwischen App-Server und Apps hineinsehen - und entdeckten Sonderbares.

Artikel veröffentlicht am ,
Peter Frühwirt und Sebastian Schrittwieser zeigen, dass Entwickler sich kaum um die Sicherheit ihrer Apps kümmern.
Peter Frühwirt und Sebastian Schrittwieser zeigen, dass Entwickler sich kaum um die Sicherheit ihrer Apps kümmern. (Bild: Jörg Thoma/Golem.de)

Die Angriffsmethode ist seit langem bekannt, aber sie wird immer noch von zahlreichen Entwicklern ignoriert: Über einen Man-in-the-Middle-Angriff haben sich die beiden Sicherheitsforscher Peter Frühwirt und Sebastian Schrittwieser aus Österreich in den Datenverkehr zwischen App-Server und Smartphones eingeklinkt und teils sonderbare Schwachstellen entdeckt. Ihr Fazit: Die Entwickler vertrauen noch zu sehr darauf, dass HTTPS ausreichend Schutz vor Protokollanalyse bietet.

Stellenmarkt
  1. Bosch Gruppe, Berlin
  2. OKI EUROPE LIMITED, Branch Office Düsseldorf, Düsseldorf

Spätestens seit Bekanntwerden der Goto-Lücke unter iOS und Mac OS X sowie in Linux-Anwendungen müssten Entwickler gewarnt sein. Mit einem gefälschten Zertifikat auf einem Client sind viele HTTPS-Verbindungen nicht mehr sicher. Denn nach dem Chain-of-Trust-Prinzip muss für viele Server lediglich ein vertrauenswürdiges Root-Zertifikat vorliegen.

Teils lustig, teils beängstigend

Was sich offenbart, wenn sich der HTTPS-Datenverkehr mitschneiden lässt, präsentierten Frühwirt von dem Sicherheitsunternehmen SBA Research und Schrittwieser von der Fachhochschule St. Pölten auf der Sicherheitskonferenz Troopers 14 in Heidelberg. Dabei zeigten sie auch merkwürdige und lustige Fehler. Aber selbst der Datentausch zwischen Clients und einigen Banken sei durch Man-in-the-Middle-Angriffe verwundbar, warnen die Forscher.

Für ihre Analyse verwendeten Frühwirt und Schrittwieser den Proxy-Web-Debugger Charles. Dessen Root-Zertifikat installierten sie zu Demonstrationszwecken auf einem iPhone. Der Proxy leitete dann Daten von dem Smartphone zum App-Server und zurück. Wegen des aus dem Web übernommenen Chain-of-Trust-Prinzips wunderte sich der jeweilige Applikationsserver nicht über die neu zertifizierte Verbindung. Schließlich vertraute der Client ja bereits dem Charles-Zertifikat.

Antworten mitgeliefert

Jetzt offenbarte sich Frühwirt und Schrittwieser, welche Daten Apps und Server sich hin- und herschicken. Quizduell zum Beispiel: Dort lässt sich großartig mogeln. Denn vom Server werden die korrekten Antworten im Klartext direkt auf das Smartphone übermittelt bevor der Nutzer antwortet und nicht mit dem Server per Token abgeglichen.

Dass solche Einblicke in das Protokoll selbstverständlich auch die Privatsphäre verletzen können, zeigt ein anderes Beispiel. Frühwirt und Schrittwieser konnten anhand der Nummerierung in einer Fototausch-App ein bestimmtes Muster erkennen. Sie luden daraufhin die ersten Fotos herunter, die mit der App gemacht wurden. Sie waren höchstwahrscheinlich von dem Entwickler selbst, von seinem Laptop, von seinen Füßen und von seinem Auto. In einem anderen Fototauschdienst filterten die beiden nach Fotos von über 18-Jährigen und fanden fast ausschließlich männliche Nackt-Selfies.

Gegenmaßnahmen

Eine Maßnahme gegen falsche Zertifikate wäre das sogenannte Zertifikat-Pinning. Dabei akzeptiert der Server nur sein eigenes Zertifikat, das dann allerdings mit der App ausgeliefert werden muss. Unter Android wäre es möglicherweise ein Leichtes, das Zertifikat-Pinning zu umgehen. Auch unter iOS habe es bereits Probleme damit gegeben, geben die beiden Forscher zu bedenken. Ohnehin verwendet lediglich einer von vier Entwicklern der von den beiden untersuchten Apps die zusätzliche Sicherheitsmaßnahme. Selbst viele Banken verzichten darauf.

Eine weitere Möglichkeit wäre die Verifizierung der Daten über einen sicheren Seitenkanal. Am Beispiel der öffentlichen Verkehrsgesellschaft Wiener Linien erklären Frühwirt und Schrittwieser, dass auch das nicht immer konsequent umgesetzt werde. Trotz ausreichend fälschungssicherem 2D-Barcode hätten die meisten Kontrolleure gar keinen geeigneten Scanner dabei.

Der Rat der beiden Forscher: Entwickler sollten niemals dem Client vertrauen. Jede Anfrage des Clients sollte vom Server auf seine Gültigkeit überprüft werden.



Anzeige
Top-Angebote
  1. 127,90€ (effektiver Preis für SSD 107,90€)
  2. (u. a. Battlefield 5, FIFA 19, Battlefront 2, NHL 19)
  3. (u. a. FIFA 19, New Super Mario Bros. U Deluxe, Donkey Kong Contry)
  4. (aktuell u. a. Ryzen 7 2700X 299€, Playstation-Store-Guthaben für 18,40€ statt 20€ oder...

mcbigelo 03. Apr 2014

Ich habe diese News zum Anlass genommen und ein script geschrieben welches ein verlieren...

Its_Me 21. Mär 2014

Also ich habe die App sogar zweimal gekauft (iOS und Android), weil dann: 1.) Die Werbung...

wmayer 21. Mär 2014

Könnte man nicht die Daten die übertragen werden selber verschlüsseln? Ist nur fraglich...

kaffepause 21. Mär 2014

Weil ständig neue Fragen hinzukommen und dadurch nicht ständig ein update gemacht werden...

AllDayPiano 21. Mär 2014

Mit Verlaub: Genauso bescheuert.


Folgen Sie uns
       


Amazons Echo Sub im Test

Mit dem Echo Sub lassen sich Echo-Lautsprecher mit Tiefbass nachrüsten. Die Echo-Lautsprecher sind allerdings im Mittenbereich vergleichsweise schwach, so dass das Klangbild entsprechend leidet. Sobald zwei Echo-Lautsprecher miteinander verbunden sind, gibt es enorm viele Probleme: Die Echo-Geräte reagieren langsamer, es gibt Zeitverzögerungen der einzelnen Lautsprecher und das Spulen in Musik ist nicht mehr möglich. Wie dokumentieren die Probleme im Video.

Amazons Echo Sub im Test Video aufrufen
Alternative Antriebe: Saubere Schiffe am Horizont
Alternative Antriebe
Saubere Schiffe am Horizont

Wie viel Dreck Schiffe in die Luft blasen, bleibt den meisten Menschen verborgen, denn sie tun es auf hoher See. Fast 100 Jahre wurde deshalb nichts dagegen unternommen - doch die Zeiten ändern sich endlich.
Ein Bericht von Werner Pluta

  1. Autonome Schiffe Und abends geht der Kapitän nach Hause
  2. Elektromobilität San Francisco soll ein Brennstoffzellenschiff bekommen
  3. Yara Birkeland Autonome Schiffe sind eine neue Art von Transportsystem

People Mover: Rollende Kisten ohne Fahrer
People Mover
Rollende Kisten ohne Fahrer

CES 2019 Autonome People Mover sind ein Trend auf den Messeständen der Mobilitätsanbieter in Las Vegas. Neue Sensor-Generationen senken die Kosten und vereinfachen die Fertigung der Shuttlebusse ohne Fahrer.
Ein Bericht von Dirk Kunde

  1. Streaming-Lautsprecher Google Assistant für ältere Sonos-Modelle geplant
  2. Dell Latitude 7400 im Hands on Starkes Business-2-in-1 mit knackigem Preis
  3. 360 Reality Audio ausprobiert Sony erzeugt dreidimensionalen Musikklang per Kopfhörer

IT-Sicherheit: 12 Lehren aus dem Politiker-Hack
IT-Sicherheit
12 Lehren aus dem Politiker-Hack

Ein polizeibekanntes Skriptkiddie hat offenbar jahrelang unbemerkt Politiker und Prominente ausspähen können und deren Daten veröffentlicht. Welche Konsequenzen sollten für die Sicherheit von Daten aus dem Datenleak gezogen werden?
Eine Analyse von Friedhelm Greis

  1. Datenleak Bundestagsabgeordnete sind Zwei-Faktor-Muffel
  2. Datenleak Telekom und Politiker wollen härtere Strafen für Hacker
  3. Datenleak BSI soll Frühwarnsystem für Hackerangriffe aufbauen

    •  /