Details zur Sicherheitslücke und deren Auswirkungen
Mitarbeiter des Testlabors am Fraunhofer-Institut für Sichere Informationstechnologie in Darmstadt haben eine schwerwiegende Sicherheitslücke in zahlreichen populären Android-Apps entdeckt. Betroffen sind Anwendungen von Banken, Verlagen und anderen großen Organisationen.
Die gefundene SSL-Schwachstelle ermöglicht es Angreifern, Zugangsdaten zu stehlen und dadurch potenziell erheblichen Schaden zu verursachen. Das Fraunhofer-Institut informierte über 30 betroffene Unternehmen, von denen 16 bereits reagiert und die Sicherheitslücke geschlossen haben. Dazu zählen Apps von Amazon, Spiegel Online, Lidl und der Volkswagen Bank. Eine Liste der Apps mit verfügbaren Sicherheitsupdates ist online zugänglich.
Risikobewertung und technische Details
Das Sicherheitsrisiko für Nutzer variiert je nach Anwendungszweck. Während bei manchen Apps lediglich die Manipulation von Fotobeständen droht, können bei Banking-Apps Zugangsdaten für unberechtigte Überweisungen oder andere Kontomanipulationen missbraucht werden. Besonders gravierend ist das Risiko bei Apps, die Single-Sign-On für Dienste wie Google oder Microsoft nutzen, da hier Zugangsinformationen für eine Vielzahl von Diensten wie E-Mail, Cloud-Speicher oder Instant Messaging verwendet werden.
Die Schwachstelle resultiert aus einer fehlerhaften Implementierung des Secure Socket Layer-Protokolls (SSL). Obwohl das SSL-Protokoll zur Absicherung von Internetverbindungen dient, setzt es eine korrekte Prüfung der Echtheitszertifikate der angesprochenen Server voraus. Diese Prüfung ist in den betroffenen Apps jedoch mangelhaft umgesetzt.
Dies ist technisch gesehen ein kleiner Fehler, aber er hat große Auswirkungen für die Sicherheit.
So Dr. Jens Heider vom Fraunhofer SIT. Um an Zugangsdaten zu gelangen, müssen Angreifer lediglich die Kommunikation beim Surfen über WLAN manipulieren. Dies ist besonders einfach in unverschlüsselten öffentlichen WLAN-Netzwerken, wie sie oft in Flughäfen, Hotels und Restaurants zu finden sind. Gerade in solchen Umgebungen soll die SSL-Verschlüsselung die Kommunikation schützen.
Behebung der Schwachstelle und Empfehlungen
Die Lücke ist prinzipiell ganz einfach zu schließen.
Dies betont Heider. Er und sein Team informierten die Hersteller bereits vor Wochen und forderten die Beseitigung der Schwachstelle. Einige Unternehmen reagierten umgehend; die Volkswagen Bank stellte beispielsweise innerhalb eines Tages ein entsprechendes Sicherheitsupdate bereit. Das Testteam prüfte jede neue Version erneut.
Dort, wo die gefundene Lücke beseitigt ist, sollten Nutzer die entsprechende App einfach aktualisieren.
Rät Heider. Die Experten des Fraunhofer SIT empfehlen generell eine vorsichtige Nutzung von Apps in öffentlichen WLAN-Bereichen.
Die Sicherheitslücke wurde während des Pilotbetriebs des neuen Testframeworks „Appicaptor“ entdeckt, das die automatisierte Sicherheitsprüfung von Apps ermöglicht. Die Fraunhofer-Experten testeten insgesamt 2000 Android-Apps.