Abo
  • Services:
Anzeige
Ein taumelnder Androide - die Verschlüsselung ist leider unsicherer als gedacht.
Ein taumelnder Androide - die Verschlüsselung ist leider unsicherer als gedacht. (Bild: Josep Lago/Getty Images)

Mal wieder der Medienserver

Durch eine Schwachstelle im Medienserver von Android, konkret in der DRM-Komponente des Herstellers Widevine, gelang es Beniamini, Zugriff auf die erstellten Schlüssel zu erlangen.

Diese können dann auf einem leistungsfähigen Rechner, etwa einer Amazon-AWS-Instanz mit einem Brute-Force-Angriff so lange bearbeitet werden, bis der Angreifer das Passwort herausfindet. In Androids Medienserver werden immer wieder gravierende Schwachstellen gefunden, wie Stagefright.

Anzeige

Der einzige Schutz gegen einen solchen Angriff ist ein sicheres, langes Passwort. Doch ein alphanumerisches Passwort mit mehr als 20 Zeichen, Groß-, Kleinschreibung und womöglich Sonderzeichen mag wohl kaum einer regelmäßig in sein Smartphone eintippen. Denn das Passwort für die Verschlüsselung ist mit dem Passwort zum Entsperren des Gerätes identisch. Die Entsperrung per Fingerabdruck könnte hier Abhilfe schaffen, hat aber wiederum Schwächen.

Um die Schwachstelle auszunutzen, könnte ein Angreifer eine bösartige App in den Appstore stellen, die Nutzer dann installieren. Diese könnte dann im Hintergrund die entsprechenden Informationen abgreifen und weiterleiten.

Sicherheitspatches sind da - aber auch für jeden?

Die gefundenen Schwachstellen im Medienserver wurden durch Google bereits gepatcht. Einige mit dem Sicherheitsupdate vom Januar, die anderen im Mai. Android-Nutzer können die Sicherheitspatch-Stufe ihres Gerätes in den Einstellungen selbst herausfinden. Zahlreiche Geräte haben die Updates noch nicht erhalten, die Sicherheitsfirma Duo Security schätzt, dass noch rund 37 Prozent der Geräte verwundbar bleiben.

Beniamini empfiehlt jedoch, längerfristig auf ein Hardware-basiertes Verfahren umzusteigen, ähnlich wie bei iOS. Die Angriffsfläche ist deutlich geringer, einfache Software kann dann nicht im gleichen Maße auf die Informationen in der sicheren Enklave zurückgreifen.

Die vorgestellten Schwachstellen machen einen Angriff gegen die Geräteverschlüsselung für Akteure mit vielen Ressourcen einfacher. Dass jetzt plötzlich Kleinkriminelle ein Android-Gerät entschlüsseln können, ist nicht zu erwarten. Relevant ist tatsächlich die Diskussion um das grundlegende Design der Verschlüsselung, besonders die Verwendung eines einmaligen, zufallsgenerierten Hardwarekeys.

 Qualcomm-Chips: Android-Geräteverschlüsselung ist angreifbar

eye home zur Startseite
kill4the 07. Sep 2016

Die Möglichkeit habe ich schon seit CM12 nicht mehr. In CM11 war das noch möglich. Wenn...

david_rieger 05. Jul 2016

Ist doch Quatsch. Nach aktuellem Stand ist z.B. die Fingerabdruck-Verschlüsselung des...

Trollversteher 05. Jul 2016

Bei diesem iPhone handelte es sich auch um ein altes iPhone 5c, das weder mit...

FreiGeistler 05. Jul 2016

Warum nutzt Qualcomm/Android nicht verschlüsselnde Dateisysteme? Kann man damit kein DRM...



Anzeige

Stellenmarkt
  1. Spheros GmbH, Gilching
  2. Zürich Beteiligungs-Aktiengesellschaft, Bonn
  3. Pensionskasse der Mitarbeiter der Hoechst-Gruppe VVaG, Frankfurt am Main
  4. T-Systems International GmbH, Berlin, Leinfelden-Echterdingen, München, Wolfsburg, Bonn


Anzeige
Hardware-Angebote
  1. und bis zu 50€ Cashback erhalten
  2. 39,99€
  3. ab 224,90€ bei Caseking gelistet

Folgen Sie uns
       


  1. System-Update

    Android-Malware millionenfach aus Play Store runtergeladen

  2. Internetdienste

    VZBV fordert Kontrolle von Algorithmen

  3. SK Hynix

    Erste Grafikkarte mit GDDR6-Videospeicher erscheint 2018

  4. Internetzugang

    Bei halber Datenrate auch nur halber Preis

  5. Suchmaschinen

    Internet Archive will künftig Robots.txt-Einträge ignorieren

  6. OWASP Top 10

    Die zehn wichtigsten Sicherheitsrisiken bekommen ein Update

  7. Apple Watch

    Apps von Amazon, Ebay und Google verschwunden

  8. Tim Dashwood

    Entwickler von 360VR Toolbox verschenkt seine Software

  9. UEFI-Update

    Agesa 1004a lässt Ryzen-Boards schneller booten

  10. Sledgehammer Games

    Call of Duty WWII spielt wieder im Zweiten Weltkrieg



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Fire TV Stick 2 im Test: Der Stick macht den normalen Fire TV (fast) überflüssig
Fire TV Stick 2 im Test
Der Stick macht den normalen Fire TV (fast) überflüssig
  1. Streaming Amazon bringt Alexa auch auf ältere Fire-TV-Geräte
  2. Streaming Amazon plant Fire TV mit 4K- und HDR-Unterstützung
  3. Fire TV Stick 2 mit Alexa im Hands on Amazons attraktiver Einstieg in die Streaming-Welt

Garmin Fenix 5 im Test: Die Minimap am Handgelenk
Garmin Fenix 5 im Test
Die Minimap am Handgelenk

Trutzbox Apu 2 im Test: Gute Privacy-Box mit kleiner Basteleinlage
Trutzbox Apu 2 im Test
Gute Privacy-Box mit kleiner Basteleinlage
  1. Malware Schadsoftware bei 1.200 Holiday-Inn- und Crowne-Plaza-Hotels
  2. Zero Day Exploit Magento-Onlineshops sind wieder gefährdet
  3. Staatstrojaner Office 0-Day zur Verbreitung von Finfisher-Trojaner genutzt

  1. Re: Algorithmenbasar

    chewbacca0815 | 11:19

  2. Re: Völliger Bullshit

    neocron | 11:18

  3. Wenn ein ISP nur 64kbit auf der letzten Meile...

    KillerSoftware | 11:17

  4. Re: ww2 ist langweilig

    quineloe | 11:17

  5. Re: Warum installieren?

    Salzbretzel | 11:17


  1. 11:00

  2. 10:42

  3. 10:27

  4. 10:12

  5. 09:32

  6. 09:13

  7. 07:40

  8. 07:24


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel