Drücke die Tasten ◄ ► für weitere Artikel  

Android und SSL: Tausende Apps gewähren Zugriff auf Logins, Bankdaten und Co.

Forscher der Universitäten Hannover und Marburg haben tausende Android-Apps untersucht, und dabei festgestellt, dass viele Entwickler die SSL-Verschlüsselung nur unzureichend integrieren. Dadurch sind sogenannte Man-in-the-Middle-Attacken möglich, die den Datenverkehr der Apps aufzeichnen und dabei sensitive Daten wie Logins und Kontoinformationen preisgeben.

Android und SSL: Tausende Apps gewähren Zugriff auf Logins, Bankdaten und Co.

SSL-Zertifikate werden nicht ausreichend kontrolliert

Eigentlich wurde das SSL-Verfahren dazu geschaffen um einen sicheren Datentransfer über das Internet zu gewährleisten. Eine aktuelle Studie einer Studentengruppe zeigt jedoch, dass gerade oft über eine schlechte bzw. unsichere SSL-Implementierung verfügen. Indem entsprechende SSL-Zertifikate nicht streng genug kontrolliert werden, kann sich ein Angreifer in den Datenverkehr einklinken und die transportierten Daten aufzeichnen. Gemäß einer Stichprobe der deutschen Studenten sind viele populäre betroffen, und damit auch Millionen von Android-Usern.

1.074 Apps mit mangelhafter SSL-Integration

Die sechs Studenten untersuchten insgesamt 13.500 Apps aus dem Google Play Store. Dabei haben sie die Apps mit einer eigens angefertigte Software auf entsprechend mangelhafte SSL-Implementierungen überprüft. Zum Vorschein kamen 1.074 Apps, die beliebige SSL-Zertifikate akzeptieren oder den Hostnamen nicht mit dem Zertifikat abgleichen und damit potenziell gefährdet für Angriffe sind.

Die betroffenen Apps sind anfällig für sogenannte Man-in-the-Middle-Attacken (MITM). Dabei wird der Datentransfer von einer dritten Person mitgeschnitten. Auf diesem Weg können übertragene Daten abgefangen werden. Zu diesen Daten gehören oft Logindaten, Kreditkartennummern, Kontodaten oder Ähnliches.

Sogar ein Virenscanner konnte durch eine MITM-Attacke so manipuliert werden, dass er sich danach selbst als Schadsoftware anzeigt.

Kreditkarten, Benutzernamen, Passwörter und Kontodaten

Von den rund 1.000 potenziell anfälligen Apps untersuchten die Studenten 100 Stück zusätzlich manuell um die Durchführbarkeit von MITM-Attacken zu bestätigen. Die besagten 100 Apps erreichen laut Google 39.5 bis 185 Millionen Nutzer. 41 Apps gaben tatsächlich Daten preis, darunter Zugangsdaten bzw. Kontodaten von American Express, Diners Club, Paypal, Facebook, Twitter, Google, Yahoo, Microsoft Live ID, Box oder WordPress.

Ergebnisse wurden anonymisiert

Die Forscher veröffentlichten keine konkreten Produktnamen der betroffenen Apps, um die User zu schützen. Dennoch wird durch die Anzahl der betroffenen User schnell klar, dass es sich sehr wohl um populäre Anwendungen handelt. Die User sind der Fahrlässigkeit der Programmierer zunächst ausgeliefert und können sich nur dagegen entscheiden, eine der betroffenen Apps überhaupt zu verwenden.

Überprüfung bei Apple nicht möglich

Dass sich das Phänomen von mangelhafter SSL-Integration nur auf bezieht ist unwahrscheinlich. Im Apple-Lager wäre eine solche, groß angelegte Stichprobe aber nicht so einfach zu realisieren. Deswegen ist ein Vergleich mit Android-Apps nur schwer möglich.

Die ausführlichen Ergebnisse der Studie können in einem rund 60-seitigen PDF-Dokument nachgelesen werden.

Weiterführende Links:

122 Shares bis jetzt – Dankeschön!

Bewerten
VN:F [1.9.22_1171]
11 Antworten
  1. von Tom am 22.10.2012 (14:48Uhr)

    Ups ...

  2. von San Kukai via facebook am 22.10.2012 (14:53Uhr)

    What Can Go Wrong Goes Wrong

  3. von Tobias Kamiński via facebook am 22.10.2012 (14:55Uhr)

    Find ich gut!

  4. von Bruno Jennrich via facebook am 22.10.2012 (14:59Uhr)

    was heisst "unzureichende ssl integration"? zu häufig kompletter verzicht? oder falsche implementation? wenn letzteres, was machen wir falsch?

  5. von Felix Wiesel via facebook am 22.10.2012 (15:05Uhr)

    use ios

  6. von t3n Magazin via facebook am 22.10.2012 (15:07Uhr)

    Bruno Jennrich: Das ausführliche Dokument gibt exakt Auskunft darüber, was bei der Implementierung falsch gemacht wird! (mos)

  7. von Andreas Krüger via facebook am 22.10.2012 (15:15Uhr)

    @Felix. Toller Tipp. Also ob das dort überprüft wird im Review ...

  8. von Felix Wiesel via facebook am 22.10.2012 (15:19Uhr)

    ;-)

  9. von Bruno Jennrich via facebook am 22.10.2012 (15:28Uhr)

    wenn ich das richtig sehe reicht es also nicht, ein https schema via HttpURLConnection anzusprechen, ich muss auch einen trustmanager instanziieren, weil der default manager alle zertifikate kritiklos akzeptiert. richtig?

  10. von timeeeeeee am 22.10.2012 (19:30Uhr)

    Wer nutzt auch Android für Bankverbindungen??? Tststs ... ;)

  11. von Christoph Bach via facebook am 23.10.2012 (00:58Uhr)

    Hahaha, Android!

Deine Meinung

Bitte melde dich an!

Du musst angemeldet sein, um einen Kommentar schreiben zu können.

Jetzt anmelden

Mehr zum Thema Webentwicklung
Microsoft könnte Android-Apps für Windows bringen
Microsoft könnte Android-Apps für Windows bringen

Eines der größten Probleme von Microsoft im mobilen Sektor ist der Mangel an Apps. Android-Apps für Windows Phone könnten das Problem lösen. Der Konzern zieht einen entsprechenden Schritt nach... » weiterlesen

Android laut Studie stabiler als iOS
Android laut Studie stabiler als iOS

Android-Geräte stürzen seltener ab als die Konkurrenzprodukte von Apple. Das besagt eine aktuelle Studie. Allerdings sollen Android und iOS eine generell hohe Stabilität aufweisen. » weiterlesen

Millionenfach heruntergeladene Android-Apps betreiben heimlich Litecoin-Mining
Millionenfach heruntergeladene Android-Apps betreiben heimlich Litecoin-Mining

Millionenfach wurden Smartphones durch die Installation bestimmter Android-Apps heimlich zum ferngesteuerten Miner verschiedener Kryptowährungen, berichtet jetzt das Sicherheits-Unternehmen Trend... » weiterlesen

Kennst Du schon unser t3n Magazin?

t3n-Newsletter
Top-Themen der Woche für Web-Pioniere
Jetzt kostenlos
anmelden
Diesen Hinweis verbergen