Abo
  • Services:
Anzeige
Peter Frühwirt und Sebastian Schrittwieser zeigen, dass Entwickler sich kaum um die Sicherheit ihrer Apps kümmern.
Peter Frühwirt und Sebastian Schrittwieser zeigen, dass Entwickler sich kaum um die Sicherheit ihrer Apps kümmern. (Bild: Jörg Thoma/Golem.de)

Protokollanalyse: Mogeln im Quizduell

Entwickler verlassen sich zu sehr auf HTTPS und verzichten auf grundlegende Sicherheitsmaßnahmen. Über eine Man-in-the-Middle-Attacke konnten Security-Forscher in den Datenverkehr zwischen App-Server und Apps hineinsehen - und entdeckten Sonderbares.

Anzeige

Die Angriffsmethode ist seit langem bekannt, aber sie wird immer noch von zahlreichen Entwicklern ignoriert: Über einen Man-in-the-Middle-Angriff haben sich die beiden Sicherheitsforscher Peter Frühwirt und Sebastian Schrittwieser aus Österreich in den Datenverkehr zwischen App-Server und Smartphones eingeklinkt und teils sonderbare Schwachstellen entdeckt. Ihr Fazit: Die Entwickler vertrauen noch zu sehr darauf, dass HTTPS ausreichend Schutz vor Protokollanalyse bietet.

Spätestens seit Bekanntwerden der Goto-Lücke unter iOS und Mac OS X sowie in Linux-Anwendungen müssten Entwickler gewarnt sein. Mit einem gefälschten Zertifikat auf einem Client sind viele HTTPS-Verbindungen nicht mehr sicher. Denn nach dem Chain-of-Trust-Prinzip muss für viele Server lediglich ein vertrauenswürdiges Root-Zertifikat vorliegen.

Teils lustig, teils beängstigend

Was sich offenbart, wenn sich der HTTPS-Datenverkehr mitschneiden lässt, präsentierten Frühwirt von dem Sicherheitsunternehmen SBA Research und Schrittwieser von der Fachhochschule St. Pölten auf der Sicherheitskonferenz Troopers 14 in Heidelberg. Dabei zeigten sie auch merkwürdige und lustige Fehler. Aber selbst der Datentausch zwischen Clients und einigen Banken sei durch Man-in-the-Middle-Angriffe verwundbar, warnen die Forscher.

Für ihre Analyse verwendeten Frühwirt und Schrittwieser den Proxy-Web-Debugger Charles. Dessen Root-Zertifikat installierten sie zu Demonstrationszwecken auf einem iPhone. Der Proxy leitete dann Daten von dem Smartphone zum App-Server und zurück. Wegen des aus dem Web übernommenen Chain-of-Trust-Prinzips wunderte sich der jeweilige Applikationsserver nicht über die neu zertifizierte Verbindung. Schließlich vertraute der Client ja bereits dem Charles-Zertifikat.

Antworten mitgeliefert

Jetzt offenbarte sich Frühwirt und Schrittwieser, welche Daten Apps und Server sich hin- und herschicken. Quizduell zum Beispiel: Dort lässt sich großartig mogeln. Denn vom Server werden die korrekten Antworten im Klartext direkt auf das Smartphone übermittelt bevor der Nutzer antwortet und nicht mit dem Server per Token abgeglichen.

Dass solche Einblicke in das Protokoll selbstverständlich auch die Privatsphäre verletzen können, zeigt ein anderes Beispiel. Frühwirt und Schrittwieser konnten anhand der Nummerierung in einer Fototausch-App ein bestimmtes Muster erkennen. Sie luden daraufhin die ersten Fotos herunter, die mit der App gemacht wurden. Sie waren höchstwahrscheinlich von dem Entwickler selbst, von seinem Laptop, von seinen Füßen und von seinem Auto. In einem anderen Fototauschdienst filterten die beiden nach Fotos von über 18-Jährigen und fanden fast ausschließlich männliche Nackt-Selfies.

Gegenmaßnahmen

Eine Maßnahme gegen falsche Zertifikate wäre das sogenannte Zertifikat-Pinning. Dabei akzeptiert der Server nur sein eigenes Zertifikat, das dann allerdings mit der App ausgeliefert werden muss. Unter Android wäre es möglicherweise ein Leichtes, das Zertifikat-Pinning zu umgehen. Auch unter iOS habe es bereits Probleme damit gegeben, geben die beiden Forscher zu bedenken. Ohnehin verwendet lediglich einer von vier Entwicklern der von den beiden untersuchten Apps die zusätzliche Sicherheitsmaßnahme. Selbst viele Banken verzichten darauf.

Eine weitere Möglichkeit wäre die Verifizierung der Daten über einen sicheren Seitenkanal. Am Beispiel der öffentlichen Verkehrsgesellschaft Wiener Linien erklären Frühwirt und Schrittwieser, dass auch das nicht immer konsequent umgesetzt werde. Trotz ausreichend fälschungssicherem 2D-Barcode hätten die meisten Kontrolleure gar keinen geeigneten Scanner dabei.

Der Rat der beiden Forscher: Entwickler sollten niemals dem Client vertrauen. Jede Anfrage des Clients sollte vom Server auf seine Gültigkeit überprüft werden.


eye home zur Startseite
mcbigelo 03. Apr 2014

Ich habe diese News zum Anlass genommen und ein script geschrieben welches ein verlieren...

Its_Me 21. Mär 2014

Also ich habe die App sogar zweimal gekauft (iOS und Android), weil dann: 1.) Die Werbung...

wmayer 21. Mär 2014

Könnte man nicht die Daten die übertragen werden selber verschlüsseln? Ist nur fraglich...

kaffepause 21. Mär 2014

Weil ständig neue Fragen hinzukommen und dadurch nicht ständig ein update gemacht werden...

AllDayPiano 21. Mär 2014

Mit Verlaub: Genauso bescheuert.



Anzeige

Stellenmarkt
  1. softwareinmotion gmbh, Schorndorf
  2. Stadler Pankow GmbH, Berlin
  3. technotrans AG, Sassenberg
  4. EschmannStahl GmbH & Co. KG, Reichshof


Anzeige
Top-Angebote
  1. 629€ + 1,99€ Versand oder Abholung im Markt
  2. 10,99€
  3. 7,49€

Folgen Sie uns
       


  1. Banking-App

    Outbank im Insolvenzverfahren

  2. Glasfaser

    Telekom wegen fehlendem FTTH massiv unter Druck

  3. Offene Konsole

    Ataribox entspricht Mittelklasse-PC mit Linux

  4. Autoversicherungen

    HUK-Coburg verlässt "relativ teure Vergleichsportale"

  5. RT-AC86U

    Asus-Router priorisiert Gaming-Pakete und kann 1024QAM

  6. CDN

    Cloudflare bietet lokale TLS-Schlüssel und mehr DDoS-Schutz

  7. Star Trek Discovery angeschaut

    Star Trek - Eine neue Hoffnung

  8. Gemeinde Egelsbach

    Telekom-Glasfaser in Gewerbegebiet findet schnell Kunden

  9. Microsoft

    Programme für Quantencomputer in Visual Studio entwickeln

  10. Arbeitsspeicher

    DDR5 nutzt Spannungsversorgung auf dem Modul



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Apple iOS 11 im Test: Alte Apps weg, Daten weg, aber sonst alles gut
Apple iOS 11 im Test
Alte Apps weg, Daten weg, aber sonst alles gut
  1. Apple iOS 11 Wer WLAN und Bluetooth abschaltet, benutzt es weiter
  2. Drei Netzanbieter warnt vor Upgrade auf iOS 11
  3. Kein App Store mehr iOS-Nutzer sollten das neue iTunes nicht installieren

Watson: IBMs Supercomputer stellt sich dumm an
Watson
IBMs Supercomputer stellt sich dumm an
  1. IBM Watson soll auf KI-Markt verdrängt werden
  2. KI von IBM Watson optimiert Prozesse und schließt Sicherheitslücken

Lenovo Thinkstation P320 Tiny im Test: Viel Leistung in der Zigarrenschachtel
Lenovo Thinkstation P320 Tiny im Test
Viel Leistung in der Zigarrenschachtel
  1. Adware Lenovo zahlt Millionenstrafe wegen Superfish
  2. Lenovo Smartphone- und Servergeschäft sorgen für Verlust
  3. Lenovo Patent beschreibt selbstheilendes Smartphone-Display

  1. Re: Klingonen neue Goa'uld?

    ArcherV | 20:28

  2. Re: The Orville

    Hotohori | 20:28

  3. Re: Hoffentlich der Anfang vom Ende

    Balthazar | 20:27

  4. Re: Findet niemand den Namen "Michael" seltsam?

    SJ | 20:23

  5. Re: Beim Strom das Gleiche

    ssj3rd | 20:23


  1. 19:13

  2. 18:36

  3. 17:20

  4. 17:00

  5. 16:44

  6. 16:33

  7. 16:02

  8. 15:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel