[Avantasia]

Googles Android-Anwendungen übertragen Daten unverschlüsselt, sagen Wissenschaftler der Universität Ulm. Angreifer können dadurch an Anmeldedaten gelangen, um vertrauliche Daten einzusehen, zu ändern oder zu löschen. Google reagiert nur halbherzig darauf.

Der Kalender und das Adressbuch von Android überträgt Authentifizierungs-Token immer unverschlüsselt. Das gilt auch für die Android-Anwendung Picasa. Wer mit seinem Android-Smartphone ein unverschlüsseltes WLAN-Netzwerk verwendet, läuft Gefahr, dass seine Anmeldedaten ausspioniert werden, ähnlich wie bei einem Session-Cookie. Ein Angreifer kann dann vollen Zugriff auf alle bei Google hinterlegten Daten erhalten und diese nach Belieben einsehen, ändern oder löschen.

Als Ursache fanden Wissenschaftler aus dem Bereich Security und Privacy am Institut für Medieninformatik der Universität Ulm heraus, dass Googles Clientlogin ohne Verschlüsselung arbeitet. Dadurch können auch weitere Android-Anwendungen oder auch Desktopapplikationen von der Sicherheitsgefahr betroffen sein, wenn sie Googles Clientlogin nutzen. Standardmäßig wird darüber keine https-Verbindung, sondern nur eine unverschlüsselte http-Verbindung aufgebaut.

Softwareanbieter können ihre Applikationen so anpassen, dass sie Google Clientlogin immer über https-Protokoll nutzen, damit die Daten verschlüsselt übertragen werden. Für die Google-eigenen Anwendungen wie Kalender, Adressbuch und Picasa gibt es für die meisten Android-Smartphones keine Lösung.
Google reagiert nur halbherzig

Mit Android 2.3.4 werden zumindest Termine und Kontakte künftig verschlüsselt übertragen, erklärten die Wissenschaftler, die Google über die Sicherheitsgefahr informiert hatten. Als Google Android 2.3.4 Ende April 2011 für das Nexus S und das Nexus One veröffentlichte, gab es vom Unternehmen allerdings keine Informationen zu diesem Sicherheitsrisiko. Für weit über 96 Prozent aller verwendeten Android-Smartphones gibt es derzeit kein Update. Es kann noch Wochen und Monate dauern, bis mehr Android-Geräte ein Update auf Android 2.3.4 erhalten, weil die Hersteller von Android-Smartphones oftmals nur zögerlich aktuelle Android-Versionen bereitstellen.

Die Wissenschaftler der Universität Ulm kritisieren Google, weil die Anmeldung zu Picasa selbst mit Android 2.3.4 weiterhin unverschlüsselt erfolgt. In Android 3.x alias Honeycomb werden zumindest Termine und Adressen verschlüsselt übertragen. Ob Honeycomb auch Anmeldedaten von Picasa verschlüsselt, wissen die Wissenschaftler derzeit nicht.

Quelle: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[P@nic]

Das sind gewollte Scheunentore für "Big Brother".

[Prince]

Na wer sich in öffentliche WLAN's einloggt und darüber irgendwelche Geldangelegenheiten abwickelt oder ähnliches hat doch selber Schuld.

Zudem ist ja auch nicht nur Android davon betroffen. JEDES System welches sich in offene WLAN's einloggt, ist angreifbar.

Wer eine Verbindung zu einem offenen WLAN herstellt und dann persönliche Daten unverschlüsselt überträgt, geht ein großes Sicherheitsrisiko ein. Das wussten Sie schon? Drei Forscher von der Universität Ulm sehen darin eine Sicherheitslücke in Googles mobilem Betriebssystem Android.

Sie fanden heraus, dass sich Smartphones und Tablets mit Android automatisch mit einem WLAN verbinden, das der Anwender in der Vergangenheit ausgewählt hatte. Nun besteht die Möglichkeit, dass ein Angreifer dieses Verhalten ausnutzt und ein eigenes WLAN aufbaut, das den gleichen Namen nutzt wie ein zuvor verwendetes Netzwerk. Das Android-Gerät würde sich dann automatisch damit verbinden.

Wird ein häufiger WLAN-Name (SSID) verwendet, ist die Wahrscheinlichkeit recht groß, dass sich einige Nutzer automatisch und nahezu unbemerkt damit verbinden. Beispiele sind "T-Mobile", "attwifi" oder "starbucks". Der Angreifer kann fortan den gesamten unverschlüsselten Datenverkehr mitlesen. Dazu ist lediglich eine Software wie Wireshark notwendig. Doch dieses Verhalten ist weder neu, noch trifft es nur auf Android zu. Sogar ein Windows-Laptop verbindet sich standardmäßig automatisch mit bekannten WLANs.



Die eigentliche Schwachstelle in Android, die von den Ulmer Forschern entdeckt wurde, befindet sich in den Google-Diensten, die auf den Smartphones und Tablets genutzt werden. Mindestens alle zwei Wochen muss sich ein Anwender mit seinem Nutzernamen und seinem Passwort bei den Google-Servern authentifizieren. Über eine verschlüsselte HTTPS-Verbindung werden die Anmeldedaten übertragen - von den Google-Servern erhält man daraufhin ein so genanntes authToken, das maximal zwei Wochen gültig ist. Damit kann ohne erneute Authentifizierung mit Google-Diensten wie dem Kalender, der Kontaktverwaltung sowie dem Fotodienst Picasa kommuniziert werden.

Die eigentliche Sicherheitslücke befindet sich in der Kommunikation mit Hilfe des authTokens. Der Datenaustausch mit den Google-Diensten findet unverschlüsselt statt, so dass ein Angreifer das authToken mitlesen kann, um damit Zugriff auf die Google-Dienste zu erhalten, so dass die dort gespeicherten Daten ausgespäht werden können. Die Ulmer Forscher sind der Ansicht, dass die Arbeit der Kriminellen erleichtert wird, indem automatisch eine Verbindung zu bekannten WLANs hergestellt wird, die sich leicht fälschen lassen. Ein Angreifer hätte also Zugriff auf Kalendereinträge, Kontakte und Fotos eines Android-Nutzers, die mit den Google-Diensten synchronisiert werden.


Diese Sicherheitslücke ist durchaus real und sollte von Google geschlossen werden. Mit Android 2.3.4, das erst seit wenigen Tagen erhältlich ist, hat man sogar begonnen, die Kommunikation mit den Google-Diensten zu verschlüsseln, um derartige Angriffe zu verhindern. Allerdings greift die Verschlüsselung zunächst nur für die Kalendereinträge und Kontakte - die Kommunikation mit dem Fotodienst bleibt weiterhin unverschlüsselt. Zudem ist es aufgrund der Update-Politik von Google, der Smartphone-Hersteller und Mobilfunkanbieter sehr schwierig, auf die aktuellste Version des Betriebssystems zu wechseln.

So real wie die Sicherheitslücke ist, so bekannt ist sie auch. Viele bekannte Online-Dienste sind davon betroffen. Zudem beschränkt sich das Problem keinesfalls auf Android-Smartphones, wie man nach einem Blick in die deutsche Presse denken würde. Facebook und Twitter sind nur zwei populäre Online-Dienste, deren Kommunikation sich abhören lässt. Diese Art von Angriffen wird als Sidejacking bezeichnet. Die Kriminellen stehlen den Session-Cookie ihres Opfers für das Online-Angebot und können für einen begrenzten Zeitraum auf die Dienste zugreifen. Die Firefox-Erweiterung Firesheep machte davon Gebrauch und bekam dadurch viel Aufmerksamkeit von den Medien.

Die Sicherheitslücke betrifft also nicht nur Android-Smartphones, sondern sämtliche Geräte, die in einem offenen WLAN unverschlüsselt Daten austauschen. Jeder Laptop mit Windows ist anfällig. Die Anbieter von Online-Diensten können durch diverse Maßnahmen verhindern, dass sich ein Angreifer durch Stehlen eines authTokens oder Session-Cookies Zugriff auf die Daten seines Opfers verschafft.

Update - 11:05 Uhr
Gegenüber der Nachrichtenagentur 'dpa' hat sich ein Google-Sprecher zu den Berichten über die Sicherheitslücke geäußert: "Wir sind uns des Problems bewusst, haben es in den jüngsten Android-Versionen für Kalender und Kontakte bereits beheben können und sind dabei, es auch für Picasa zu lösen."

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]


Dort steht es noch etwas ausführlicher.


Naja gut dass ich schon auf 2.3.4 bin. ^^