Schwerer Sicherheitsfehler in Apps
ID: 1148289
hwerer Sicherheitsfehler in Apps
Viele beliebte Apps der Android-Plattform haben einen schwerwiegenden Sicherheitsfehler, darunter auch Apps von Banken, Verlagen und anderen großen Organisationen. Das stellten Mitarbeiter des Testlabors am Fraunhofer-Institut für Sichere Informationstechnologie in Darmstadt fest. Angreifer können mithilfe der gefundenen SSL-Schwachstelle Zugangsdaten stehlen und damit zum Teil großen Schaden anrichten. Das Fraunhofer-Institut hat über 30 betroffene Unternehmen informiert, davon haben bislang 16 reagiert und die Sicherheitslücke geschlossen. Hierzu gehören unter anderem Apps von Amazon, Spiegel Online, Lidl oder der Volkswagen Bank. Eine Liste der Apps, für die Sicherheitsupdates zur Verfügung stehen, findet sich im Internet unter www.sit.fraunhofer.de/app-security-list .
Das entstandene Sicherheitsrisiko für die Nutzer ist abhängig vom jeweiligen Anwendungszweck: Bei mancher App droht lediglich die Manipulation der eigenen Foto-Bestände, im Falle einer Banking-App lassen sich hingegen die Zugangsdaten unter Umständen auch für unberechtigte Überweisungen oder andere Manipulationen des Bankkontos nutzen. Besonders gravierend kann das Risiko bei Apps sein, die Single-Sign-On z.B. zu den Google- oder Microsoft-Diensten nutzen, denn dort werden die Zugangsinformationen für eine Vielzahl von Diensten wie E-Mail, Cloud-Speicher oder Instant Messaging genutzt.
Bei der gefundenen Schwachstelle handelt es sich um eine fehlerhafte Verwendung des Secure Socket Layer-Protokolls (SSL). Das SSL-Protokoll dient zur Absicherung von Internet-Verbindungen, setzt aber die korrekte Prüfung der verwendeten Echtheitszertifikate der angesprochenen Server voraus. Diese Prüfung ist bei den betroffenen Apps jedoch falsch umgesetzt. "Dies ist technisch gesehen ein kleiner Fehler, aber er hat große Auswirkungen für die Sicherheit", sagt Dr. Jens Heider vom Fraunhofer SIT. Um an die Zugangsdaten zu gelangen, müssen Angreifer zum Beispiel nur die Kommunikation beim Surfen über WLAN manipulieren. Dies ist überall besonders leicht, wo die WLAN-Kommunikation unverschlüsselt ist, etwa an vielen öffentlichen Zugangspunkten wie in Flughäfen, Hotels und Restaurants. Gerade in diesen Situationen soll die SSL-Verschlüsselung die Kommunikation schützen.
"Die Lücke ist prinzipiell ganz einfach zu schließen", sagt Heider. Er und sein Team haben die Hersteller bereits vor mehreren Wochen informiert und um die Beseitigung der Schwachstelle gebeten. Einige Unternehmen haben entsprechend reagiert, die Volkswagen Bank stellte sogar innerhalb eines Tages ein entsprechendes Sicherheitsupdate zur Verfügung. Jede neue Version prüfte das Testteam erneut. "Dort, wo die gefundene Lücke beseitigt ist, sollten Nutzer die entsprechende App einfach aktualisieren", sagt Heider. Insgesamt raten die Experten des Fraunhofer SIT zu einer vorsichtigen Nutzung von Apps in öffentlichen WLAN-Bereichen. Aufgefallen ist die Lücke während des Pilotbetriebs für das neue Testframework "Appicaptor", mit dem sich die Sicherheit von Apps automatisiert prüfen lässt. Die Fraunhofer-Experten testeten insgesamt 2000 Android-Apps.
Fraunhofer-Institut für Sichere Informationstechnologie (SIT)
Rheinstrasse 75
64295 Darmstadt
Deutschland
Telefon: +49 6151 869-292
Telefax: +49 6151 869-224
URL: www.sit.fraunhofer.de
Viele beliebte Apps der Android-Plattform haben einen schwerwiegenden Sicherheitsfehler, darunter auch Apps von Banken, Verlagen und anderen großen Organisationen. Das stellten Mitarbeiter des Testlabors am Fraunhofer-Institut für Sichere Informationstechnologie in Darmstadt fest. Angreifer können mithilfe der gefundenen SSL-Schwachstelle Zugangsdaten stehlen und damit zum Teil großen Schaden anrichten. Das Fraunhofer-Institut hat über 30 betroffene Unternehmen informiert, davon haben bislang 16 reagiert und die Sicherheitslücke geschlossen. Hierzu gehören unter anderem Apps von Amazon, Spiegel Online, Lidl oder der Volkswagen Bank. Eine Liste der Apps, für die Sicherheitsupdates zur Verfügung stehen, findet sich im Internet unter www.sit.fraunhofer.de/app-security-list .
Das entstandene Sicherheitsrisiko für die Nutzer ist abhängig vom jeweiligen Anwendungszweck: Bei mancher App droht lediglich die Manipulation der eigenen Foto-Bestände, im Falle einer Banking-App lassen sich hingegen die Zugangsdaten unter Umständen auch für unberechtigte Überweisungen oder andere Manipulationen des Bankkontos nutzen. Besonders gravierend kann das Risiko bei Apps sein, die Single-Sign-On z.B. zu den Google- oder Microsoft-Diensten nutzen, denn dort werden die Zugangsinformationen für eine Vielzahl von Diensten wie E-Mail, Cloud-Speicher oder Instant Messaging genutzt.
Bei der gefundenen Schwachstelle handelt es sich um eine fehlerhafte Verwendung des Secure Socket Layer-Protokolls (SSL). Das SSL-Protokoll dient zur Absicherung von Internet-Verbindungen, setzt aber die korrekte Prüfung der verwendeten Echtheitszertifikate der angesprochenen Server voraus. Diese Prüfung ist bei den betroffenen Apps jedoch falsch umgesetzt. "Dies ist technisch gesehen ein kleiner Fehler, aber er hat große Auswirkungen für die Sicherheit", sagt Dr. Jens Heider vom Fraunhofer SIT. Um an die Zugangsdaten zu gelangen, müssen Angreifer zum Beispiel nur die Kommunikation beim Surfen über WLAN manipulieren. Dies ist überall besonders leicht, wo die WLAN-Kommunikation unverschlüsselt ist, etwa an vielen öffentlichen Zugangspunkten wie in Flughäfen, Hotels und Restaurants. Gerade in diesen Situationen soll die SSL-Verschlüsselung die Kommunikation schützen.
"Die Lücke ist prinzipiell ganz einfach zu schließen", sagt Heider. Er und sein Team haben die Hersteller bereits vor mehreren Wochen informiert und um die Beseitigung der Schwachstelle gebeten. Einige Unternehmen haben entsprechend reagiert, die Volkswagen Bank stellte sogar innerhalb eines Tages ein entsprechendes Sicherheitsupdate zur Verfügung. Jede neue Version prüfte das Testteam erneut. "Dort, wo die gefundene Lücke beseitigt ist, sollten Nutzer die entsprechende App einfach aktualisieren", sagt Heider. Insgesamt raten die Experten des Fraunhofer SIT zu einer vorsichtigen Nutzung von Apps in öffentlichen WLAN-Bereichen. Aufgefallen ist die Lücke während des Pilotbetriebs für das neue Testframework "Appicaptor", mit dem sich die Sicherheit von Apps automatisiert prüfen lässt. Die Fraunhofer-Experten testeten insgesamt 2000 Android-Apps.
Fraunhofer-Institut für Sichere Informationstechnologie (SIT)
Rheinstrasse 75
64295 Darmstadt
Deutschland
Telefon: +49 6151 869-292
Telefax: +49 6151 869-224
URL: www.sit.fraunhofer.de
PresseKontakt / Agentur:
Fraunhofer-Institut für Sichere Informationstechnologie (SIT)
Rheinstrasse 75
64295 Darmstadt
Deutschland
Telefon: +49 6151 869-292
Telefax: +49 6151 869-224
URL: www.sit.fraunhofer.de
Datum: 12.12.2014 - 15:15 Uhr
Sprache: Deutsch
News-ID 1148289
Anzahl Zeichen: 7359
pressrelations.de – ihr Partner für die Veröffentlichung von Pressemitteilungen und Presseterminen, Medienbeobachtung und Medienresonanzanalysen
Diese Pressemitteilung wurde bisher 277 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"Schwerer Sicherheitsfehler in Apps"
steht unter der journalistisch-redaktionellen Verantwortung von
Fraunhofer-Institut für Sichere Informationstechnologie (SIT) (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).
Türen mit einer App zu öffnen ist heute bereits möglich. Doch bis zum breiten Marktdurchbruch ist es noch ein weiter Weg. Forscher haben jetzt eine Software entwickelt, die die Technologie noch flexibler und sicherer macht. Smartphones und Tablets sind zu unverzichtbaren Alltagsgegenstände
Sichere Systeme aus München ...
Presseinformation 5.07.2011 Die Münchner Projektgruppe Sicherheit und Zuverlässigkeit des Fraunhofer SIT ist seit 1. Juli eine selbstständige Fraunhofer-Einrichtung für Angewandte und Integrierte Sicherheit. Dies beschloss der Senat der Fraunhofer-Gesellschaft. In München arbeiten die Fors
Weitere Mitteilungen von Fraunhofer-Institut für Sichere Informationstechnologie (SIT)
Firmenprofil zu Avino Silver auf explorercheck.de veröffentlicht ...
vino Silver auf explorercheck.de veröffentlicht Avino Silver Gold Mines (TSX-V: ASM / WKN: 862191) ist ein profitabler Junior-Silberproduzent mit einer aktiven Mine in Mexiko im Bundesstaat Durango im Herzen des Sierra Madre Silbergürtels. Die Liegenschaft auf der sich die Mine befindet, ers
Colt kündigt Engagement von Euro Pacific Canada Inc. an ...
gement von Euro Pacific Canada Inc. an Montreal, Quebec , Kanada - Colt Resources Inc. ("Colt" oder das "Unternehmen") (TSXV : GTP) (FRA: P01) (OTCQX: COLTF) gibt heute das Engagement von Euro Pacific Canada Inc. ("Euro Pacific") bekannt als Agent in Bezug auf den ka
Orvana meldet Spitzenminenleistung und Ergebnisse für das Geschäftsjahr 2013 mit einem bereinigten Nettoeinkommen von 12,4 Millionen $ oder 0,09 $ pro Aktie ...
tzenminenleistung und Ergebnisse für das Geschäftsjahr 2013 mit einem bereinigten Nettoeinkommen von 12,4 Millionen $ oder 0,09 $ pro Aktie Toronto, Ontario, 6. Dezember 2013 - Orvana Minerals Corp. (TSX:ORV) ("Orvana" oder das "Unternehmen") meldete heute die Finanz- und Be
3. Quartal 2013: ArbeitsÂkosten um 1,6 % gegenüber VorjahresÂquartal gestiegen ...
WIESBADEN - In Deutschland waren die Arbeitskosten je geleistete Arbeitsstunde im dritten Quartal 2013 kalenderbereinigt um 1,6 % höher als im dritten Quartal 2012. Wie das Statistische Bundesamt (Destatis) weiter mitteilt, war dies der niedrigste Anstieg seit dem vierten Quartal 2010. Im Verglei
Deutsche Ausfuhren im Oktober 2013: + 0,6 % zum Oktober 2012 ...
WIESBADEN - Im Oktober 2013 wurden von Deutschland Waren im Wert von 99,1 Milliarden Euro ausgeführt und Waren im Wert von 81,2 Milliarden Euro eingeführt. Wie das Statistische Bundesamt (Destatis) anhand vorläufiger Ergebnisse weiter mitteilt, waren damit die deutschen Ausfuhren im Oktober 2
