Abo
  • Services:

Qualcomm-Chips: Android-Geräteverschlüsselung ist angreifbar

Mehrere Schwachstellen in Android ermöglichen Angreifern, Zugriff auf Verschlüsselungskeys zu bekommen. Google hat die konkreten Lücken gepatcht, doch das Grundproblem bleibt: Die Schlüssel sind für die Software zugänglich. Nutzer können nur wenig tun.

Artikel veröffentlicht am ,
Ein taumelnder Androide - die Verschlüsselung ist leider unsicherer als gedacht.
Ein taumelnder Androide - die Verschlüsselung ist leider unsicherer als gedacht. (Bild: Josep Lago/Getty Images)

Der Sicherheitsforscher Gal Beniamini hat einen Angriff auf die Gerätevollverschlüsselung von Android-Smartphones vorgestellt. Angreifer können seinen Angaben zufolge mit Hilfe extrahierter Informationen und einem Brute-Force-Angriff das verwendete Passwort knacken und damit die verschlüsselten Informationen auslesen. Der Angriff funktioniert nur auf Android-Geräten mit einem Qualcomm-Chipsatz, der jedoch bei mittel- und hochklassigen Geräten weit verbreitet ist.

Inhalt:
  1. Qualcomm-Chips: Android-Geräteverschlüsselung ist angreifbar
  2. Mal wieder der Medienserver

Anders als bei Apple-Geräten wird der Prozess der Schlüsselerstellung (Key Derivation) durch Software bestimmt. Apple leitet den persönlichen Schlüssel der Nutzer aus dem gewählten Passwort und einer einmaligen, fest vergebenen Variable in einem bestimmten Speicherbereich ab. Dieser Unique Identifier (UID) ist 256-Bit lang und agiert als Hardwareschlüssel. Dieser Schlüssel kann nicht durch Software ausgelesen werden und ist für Angreifer damit nur mit extremem Aufwand zugänglich.

Im Streit zwischen Apple und dem FBI um das iPhone von Syed Farook wurde als eine denkbare Option zur Entschlüsselung angedacht, den Chip, der die UID enthält, abzuschleifen und die Information physisch am genauen Speicherort auszulesen, etwa mit einem Elektronenmikroskop. Diese Variante könnte zwar erfolgreich sein, birgt aber die Gefahr der endgültigen Zerstörung des Gerätes und der enthaltenen Informationen. Für normale Angreifer ist sie damit nicht zugänglich.

SHK statt UID

Bei Android-Geräten basiert die Vollverschlüsselung des Speichers zwar auch auf einem durch die Hardware vorgegebenen Schlüssel, dem SHK. Doch mit Hilfe des SHK wird ein weiterer Schlüssel erstellt, der dann softwareseitig gespeichert wird. Dieser Schlüssel wird dann für alle weiteren Operationen verwendet, ist aber eben auch für die Software zugänglich. Der SHK unterscheidet sich insoweit von Apples UID, dass er für zahlreiche Operationen des Android-Betriebssystems verwendet wird.

Stellenmarkt
  1. Deutsche Energie-Agentur GmbH (dena), Berlin
  2. Kulturveranstaltungen des Bundes in Berlin GmbH (KBB), Berlin

Qualcomm versucht, die Informationen mit einer Kombination aus Hardware- und Softwaredesign gegen unbefugten Zugriff zu schützen. Die kryptographischen Schlüssel und andere sicherheitsrelevante Vorgänge werden in einem speziellen Bereich des Prozessors, der sogenannten Trustzone, verwaltet. Das normale Betriebssystem läuft im "unsicheren" Bereich des Prozessors und hat nur begrenzte Schnittstellen mit dem "sicheren" Bereich.

Doch genau diese Schnittstellen, trustlets genannt, sind offenbar weniger sicher als gedacht. Viele Programme können zu verschiedenen Zwecken auf die Trustzone zugreifen, nur die wenigsten Nutzer dürften das Risiko bei verschiedenen Apps adäquat einschätzen können.

Mal wieder der Medienserver 
  1. 1
  2. 2
  3.  


Anzeige
Top-Angebote
  1. 54€
  2. (aktuell u. a. Corsair GLAIVE RGB als neuwertiger Outlet-Artikel für 34,99€ + Versand statt ca...
  3. 59,90€ (Bestpreis!)
  4. 99€ (Bestpreis!)

kill4the 07. Sep 2016

Die Möglichkeit habe ich schon seit CM12 nicht mehr. In CM11 war das noch möglich. Wenn...

Anonymer Nutzer 05. Jul 2016

Ist doch Quatsch. Nach aktuellem Stand ist z.B. die Fingerabdruck-Verschlüsselung des...

Trollversteher 05. Jul 2016

Bei diesem iPhone handelte es sich auch um ein altes iPhone 5c, das weder mit...

FreiGeistler 05. Jul 2016

Warum nutzt Qualcomm/Android nicht verschlüsselnde Dateisysteme? Kann man damit kein DRM...


Folgen Sie uns
       


Samsung Galaxy Watch Active - Hands on

Samsungs neue Smartwatch Galaxy Watch Active richtet sich an sportliche Nutzer. Auf eine drehbare Lünette wie bei den Vorgängermodellen müssen Käufer aber verzichten.

Samsung Galaxy Watch Active - Hands on Video aufrufen
Verschlüsselung: Die meisten Nutzer brauchen kein VPN
Verschlüsselung
Die meisten Nutzer brauchen kein VPN

VPN-Anbieter werben aggressiv und preisen ihre Produkte als Allheilmittel in Sachen Sicherheit an. Doch im modernen Internet nützen sie wenig und bringen oft sogar Gefahren mit sich.
Eine Analyse von Hanno Böck

  1. Security Wireguard-VPN für MacOS erschienen
  2. Security Wireguard-VPN für iOS verfügbar
  3. Outline Digitalocean und Alphabet-Tochter bieten individuelles VPN

Pauschallizenzen: CDU will ihre eigenen Uploadfilter verhindern
Pauschallizenzen
CDU will ihre eigenen Uploadfilter verhindern

Absurder Vorschlag aus der CDU: Anstatt die Urheberrechtsreform auf EU-Ebene zu verändern oder zu stoppen, soll nun der "Mist" von Axel Voss in Deutschland völlig umgekrempelt werden. Nur "pures Wahlkampfgetöse" vor den Europawahlen, wie die Opposition meint?
Eine Analyse von Friedhelm Greis

  1. Europawahlen Facebook will mit dpa Falschnachrichten bekämpfen
  2. Urheberrecht Europas IT-Firmen und Bibliotheken gegen Uploadfilter
  3. Uploadfilter Fast 5 Millionen Unterschriften gegen Urheberrechtsreform

Uploadfilter: Der Generalangriff auf das Web 2.0
Uploadfilter
Der Generalangriff auf das Web 2.0

Die EU-Urheberrechtsreform könnte Plattformen mit nutzergenerierten Inhalten stark behindern. Die Verfechter von Uploadfiltern zeigen dabei ein Verständnis des Netzes, das mit der Realität wenig zu tun hat. Statt Lizenzen könnte es einen anderen Ausweg geben.
Eine Analyse von Friedhelm Greis

  1. Uploadfilter EU-Kommission bezeichnet Reformkritiker als "Mob"
  2. EU-Urheberrecht Die verdorbene Reform
  3. Leistungsschutzrecht und Uploadfilter EU-Unterhändler einigen sich auf Urheberrechtsreform

    •  /