Abo
  • Services:
Anzeige
Peter Frühwirt und Sebastian Schrittwieser zeigen, dass Entwickler sich kaum um die Sicherheit ihrer Apps kümmern.
Peter Frühwirt und Sebastian Schrittwieser zeigen, dass Entwickler sich kaum um die Sicherheit ihrer Apps kümmern. (Bild: Jörg Thoma/Golem.de)

Protokollanalyse: Mogeln im Quizduell

Entwickler verlassen sich zu sehr auf HTTPS und verzichten auf grundlegende Sicherheitsmaßnahmen. Über eine Man-in-the-Middle-Attacke konnten Security-Forscher in den Datenverkehr zwischen App-Server und Apps hineinsehen - und entdeckten Sonderbares.

Anzeige

Die Angriffsmethode ist seit langem bekannt, aber sie wird immer noch von zahlreichen Entwicklern ignoriert: Über einen Man-in-the-Middle-Angriff haben sich die beiden Sicherheitsforscher Peter Frühwirt und Sebastian Schrittwieser aus Österreich in den Datenverkehr zwischen App-Server und Smartphones eingeklinkt und teils sonderbare Schwachstellen entdeckt. Ihr Fazit: Die Entwickler vertrauen noch zu sehr darauf, dass HTTPS ausreichend Schutz vor Protokollanalyse bietet.

Spätestens seit Bekanntwerden der Goto-Lücke unter iOS und Mac OS X sowie in Linux-Anwendungen müssten Entwickler gewarnt sein. Mit einem gefälschten Zertifikat auf einem Client sind viele HTTPS-Verbindungen nicht mehr sicher. Denn nach dem Chain-of-Trust-Prinzip muss für viele Server lediglich ein vertrauenswürdiges Root-Zertifikat vorliegen.

Teils lustig, teils beängstigend

Was sich offenbart, wenn sich der HTTPS-Datenverkehr mitschneiden lässt, präsentierten Frühwirt von dem Sicherheitsunternehmen SBA Research und Schrittwieser von der Fachhochschule St. Pölten auf der Sicherheitskonferenz Troopers 14 in Heidelberg. Dabei zeigten sie auch merkwürdige und lustige Fehler. Aber selbst der Datentausch zwischen Clients und einigen Banken sei durch Man-in-the-Middle-Angriffe verwundbar, warnen die Forscher.

Für ihre Analyse verwendeten Frühwirt und Schrittwieser den Proxy-Web-Debugger Charles. Dessen Root-Zertifikat installierten sie zu Demonstrationszwecken auf einem iPhone. Der Proxy leitete dann Daten von dem Smartphone zum App-Server und zurück. Wegen des aus dem Web übernommenen Chain-of-Trust-Prinzips wunderte sich der jeweilige Applikationsserver nicht über die neu zertifizierte Verbindung. Schließlich vertraute der Client ja bereits dem Charles-Zertifikat.

Antworten mitgeliefert

Jetzt offenbarte sich Frühwirt und Schrittwieser, welche Daten Apps und Server sich hin- und herschicken. Quizduell zum Beispiel: Dort lässt sich großartig mogeln. Denn vom Server werden die korrekten Antworten im Klartext direkt auf das Smartphone übermittelt bevor der Nutzer antwortet und nicht mit dem Server per Token abgeglichen.

Dass solche Einblicke in das Protokoll selbstverständlich auch die Privatsphäre verletzen können, zeigt ein anderes Beispiel. Frühwirt und Schrittwieser konnten anhand der Nummerierung in einer Fototausch-App ein bestimmtes Muster erkennen. Sie luden daraufhin die ersten Fotos herunter, die mit der App gemacht wurden. Sie waren höchstwahrscheinlich von dem Entwickler selbst, von seinem Laptop, von seinen Füßen und von seinem Auto. In einem anderen Fototauschdienst filterten die beiden nach Fotos von über 18-Jährigen und fanden fast ausschließlich männliche Nackt-Selfies.

Gegenmaßnahmen

Eine Maßnahme gegen falsche Zertifikate wäre das sogenannte Zertifikat-Pinning. Dabei akzeptiert der Server nur sein eigenes Zertifikat, das dann allerdings mit der App ausgeliefert werden muss. Unter Android wäre es möglicherweise ein Leichtes, das Zertifikat-Pinning zu umgehen. Auch unter iOS habe es bereits Probleme damit gegeben, geben die beiden Forscher zu bedenken. Ohnehin verwendet lediglich einer von vier Entwicklern der von den beiden untersuchten Apps die zusätzliche Sicherheitsmaßnahme. Selbst viele Banken verzichten darauf.

Eine weitere Möglichkeit wäre die Verifizierung der Daten über einen sicheren Seitenkanal. Am Beispiel der öffentlichen Verkehrsgesellschaft Wiener Linien erklären Frühwirt und Schrittwieser, dass auch das nicht immer konsequent umgesetzt werde. Trotz ausreichend fälschungssicherem 2D-Barcode hätten die meisten Kontrolleure gar keinen geeigneten Scanner dabei.

Der Rat der beiden Forscher: Entwickler sollten niemals dem Client vertrauen. Jede Anfrage des Clients sollte vom Server auf seine Gültigkeit überprüft werden.


eye home zur Startseite
mcbigelo 03. Apr 2014

Ich habe diese News zum Anlass genommen und ein script geschrieben welches ein verlieren...

Its_Me 21. Mär 2014

Also ich habe die App sogar zweimal gekauft (iOS und Android), weil dann: 1.) Die Werbung...

wmayer 21. Mär 2014

Könnte man nicht die Daten die übertragen werden selber verschlüsseln? Ist nur fraglich...

kaffepause 21. Mär 2014

Weil ständig neue Fragen hinzukommen und dadurch nicht ständig ein update gemacht werden...

AllDayPiano 21. Mär 2014

Mit Verlaub: Genauso bescheuert.



Anzeige

Stellenmarkt
  1. VÖLKL SPORTS GMBH & CO. KG, Straubing, Raum Regensburg / Deggendorf
  2. Güntner Group Europe GmbH, Fürstenfeldbruck Raum München
  3. Zweckverband Kommunale Datenverarbeitung Region Stuttgart, Stuttgart
  4. ARI Fleet Germany GmbH, Stuttgart


Anzeige
Blu-ray-Angebote
  1. 79,98€ (Vorbesteller-Preisgarantie)
  2. (u. a. Hobbit Trilogie Blu-ray 43,89€ und Batman Dark Knight Trilogy Blu-ray 17,99€)

Folgen Sie uns
       


  1. Verbraucherzentrale

    Regulierungsfreiheit für Glasfaser bringt Preissteigerung

  2. WW2

    Kostenpflichtige Profispieler für Call of Duty verfügbar

  3. Firefox Nightly Build 58

    Firefox warnt künftig vor Webseiten mit Datenlecks

  4. Limux-Ende

    München beschließt 90 Millionen für IT-Umbau

  5. Chiphersteller

    Broadcom erhöht Druck bei feindlicher Übernahme von Qualcomm

  6. Open Access

    Konkurrenten wollen FTTH-Ausbau mit der Telekom

  7. Waipu TV

    Produkte aus Werbeblock direkt bei Amazon bestellen

  8. Darpa

    US-Militär will Pflanzen als Schadstoffsensoren einsetzen

  9. Snpr External Graphics Enclosure

    KFA2s Grafikbox samt Geforce GTX 1060 kostet 500 Euro

  10. IOS 11 und iPhone X

    Das Super-Retina-Display braucht nur wenige Anpassungen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Oneplus 5T im Test: Praktische Änderungen ohne Preiserhöhung
Oneplus 5T im Test
Praktische Änderungen ohne Preiserhöhung
  1. Smartphone Neues Oneplus 5T kostet weiterhin 500 Euro
  2. Sicherheitsrisiko Oneplus-Smartphones kommen mit eingebautem Root-Zugang
  3. Smartphone-Hersteller Oneplus will Datensammlung einschränken

Universal Paperclips: Mit ein paar Sexdezillionen Büroklammern die Welt erobern
Universal Paperclips
Mit ein paar Sexdezillionen Büroklammern die Welt erobern
  1. Pocket Camp Animal Crossing baut auf Smartphones
  2. Disney Marvel Heroes wird geschlossen
  3. Free to Play World of Tanks bringt pro Nutzer und Monat 3,30 Dollar ein

Smartphoneversicherungen im Überblick: Teuer und meistens überflüssig
Smartphoneversicherungen im Überblick
Teuer und meistens überflüssig
  1. Winphone 5.0 Trekstor will es nochmal mit Windows 10 Mobile versuchen
  2. Smartphone-Kameras im Test Die beste Kamera ist die, die man dabeihat
  3. Librem 5 Das freie Linux-Smartphone ist finanziert

  1. Re: Einfach legalisieren

    Trockenobst | 01:48

  2. Re: War klar

    DebugErr | 01:29

  3. Re: Wieder mit veraltetem Betriebssystem?

    DebugErr | 01:26

  4. Re: bloß nicht eine Sekunde nachdenken, ob man...

    DebugErr | 01:23

  5. Re: Ein Blick in die Kugel verät mir ...

    quasides | 01:16


  1. 18:40

  2. 17:44

  3. 17:23

  4. 17:05

  5. 17:04

  6. 14:39

  7. 14:24

  8. 12:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel