Mal wieder der Medienserver

Durch eine Schwachstelle im Medienserver von Android, konkret in der DRM-Komponente des Herstellers Widevine, gelang es Beniamini, Zugriff auf die erstellten Schlüssel zu erlangen.

Diese können dann auf einem leistungsfähigen Rechner, etwa einer Amazon-AWS-Instanz mit einem Brute-Force-Angriff so lange bearbeitet werden, bis der Angreifer das Passwort herausfindet. In Androids Medienserver werden immer wieder gravierende Schwachstellen gefunden, wie Stagefright.

Der einzige Schutz gegen einen solchen Angriff ist ein sicheres, langes Passwort. Doch ein alphanumerisches Passwort mit mehr als 20 Zeichen, Groß-, Kleinschreibung und womöglich Sonderzeichen mag wohl kaum einer regelmäßig in sein Smartphone eintippen. Denn das Passwort für die Verschlüsselung ist mit dem Passwort zum Entsperren des Gerätes identisch. Die Entsperrung per Fingerabdruck könnte hier Abhilfe schaffen, hat aber wiederum Schwächen.

Um die Schwachstelle auszunutzen, könnte ein Angreifer eine bösartige App in den Appstore stellen, die Nutzer dann installieren. Diese könnte dann im Hintergrund die entsprechenden Informationen abgreifen und weiterleiten.

Sicherheitspatches sind da - aber auch für jeden?

Die gefundenen Schwachstellen im Medienserver wurden durch Google bereits gepatcht. Einige mit dem Sicherheitsupdate vom Januar, die anderen im Mai. Android-Nutzer können die Sicherheitspatch-Stufe ihres Gerätes in den Einstellungen selbst herausfinden. Zahlreiche Geräte haben die Updates noch nicht erhalten, die Sicherheitsfirma Duo Security schätzt, dass noch rund 37 Prozent der Geräte verwundbar bleiben.

Beniamini empfiehlt jedoch, längerfristig auf ein Hardware-basiertes Verfahren umzusteigen, ähnlich wie bei iOS. Die Angriffsfläche ist deutlich geringer, einfache Software kann dann nicht im gleichen Maße auf die Informationen in der sicheren Enklave zurückgreifen.

Die vorgestellten Schwachstellen machen einen Angriff gegen die Geräteverschlüsselung für Akteure mit vielen Ressourcen einfacher. Dass jetzt plötzlich Kleinkriminelle ein Android-Gerät entschlüsseln können, ist nicht zu erwarten. Relevant ist tatsächlich die Diskussion um das grundlegende Design der Verschlüsselung, besonders die Verwendung eines einmaligen, zufallsgenerierten Hardwarekeys.