Sicherheitslücke „Certifi-gate“ kann Android-Smartphones zu Spionage-Tools machen
Aktuell findet die Sicherheitskonferenz Black Hat statt, auf ihr präsentieren Sicherheitsforscher ihre entdeckten Schwachstellen in diversen Systemen. Stagefright hatten wir die Tage öfter im Blog, nun macht eine weitere Lücke von sich reden, sie ermöglicht die Übernahme des Smartphones durch Angreifer, die dadurch jegliche Inhalte stehlen oder Funktionen aktivieren können. Aber, das gleich vorneweg, um einer eventuellen Panik vorzugreifen: Die Hersteller wissen seit geraumer Zeit von dem Problem und haben eventuell sogar schon einen Fix verteilt.
Denn auch dies ist der Vorteil solcher Sicherheitskonferenzen. Forscher suchen gezielt nach Lücken und informieren die Hersteller mit einem entsprechenden Vorlauf, bevor die Ergebnisse auf einer solchen Konferenz präsentiert werden. Die Lücke findet sich in den sogenannten Remote Support Tools, also Schnittstellen, die Hersteller nutzen können, um den Kunden direkt auf den Geräten zu helfen, wenn sie ein Problem haben.
Die Schwachstelle, die es beliebigen Apps ermöglicht auf die Supportschnittstellen des Smartphones zuzugreifen, wurde Certifi-gate getauft. Während die Hersteller zwar bereits vor Monaten informiert wurden, ist nicht bekannt, inwiefern schon Patches zur Verfügung stehen. HTC äußerte sich dahingehend, dass der Patch bereits fertig sei und beginnend mit dem HTC One M9 und den neueren Desire-Geräten verteilt wird.
Wer sein Smartphone auf eine solche Angreifbarkeit prüfen möchte, kann dies mittels einer im Google Play Store verfügbaren App tun. Dass diese Angriffsmethode bereits aktiv ausgenutzt wird, ist nicht bekannt. Hier hilft wie immer der Hinwies, dass Apps aus vertrauenswürdigen Quellen wie dem Google Play Store geladen werden sollten und man generell die Augen offen halten sollte, was Apps so an Berechtigungen einfordern. Sind diese nicht nachvollziehbar (was sie in den meisten Fällen sind, auch wenn es der Durchschnittsnutzer nicht nachvollziehen kann), schadet es sicher auch nicht, einmal auf eine App zu verzichten.
[appbox googleplay com.checkpoint.capsulescanner]
Wird geladen ...
Android wird mir zunehmend unsympathischer. Gleiches gilt für Windows mit ihrer Windows 10 Spyware. Und ins überteuerte Apple-Lager zu wechseln, ist ja auch keine wirkliche Alternative …
@Andreas: Dann hole doch das alte Nokia 3310 ausm Schrank. Das hat sicher auch nach Jahren noch 30% Akku. 😉
Alle Geräte (Nexus 7, OnePlus One, Wiko Darkmoon) sind nicht betroffen.
Z3C ist auch nicht betroffen 🙂
@ Andreas
Oder verzichte komplett auf alle moderne Technologie. So kannste leben wie vor hunderten von Jahren.
Getestet selbst auf einem alten 4.2.2 und dort ist alles einwandfrei. Entweder neue Verkaufstaktik oder die Lücke ist seit Ewigkeiten geschlossen. Alles Ehrlich mit Malware und konsorten ist es wie im richtigen Leben, sicher ist man gar nicht. Und wer meint ein altes Nokia sei sicher (Sicherheit von Symbian-Handys: Die Mauer bröckelt) zu finden bei Heise. Und wer sagt das andere alte Handys sicherer seinen der irrt.
Welch‘ Überraschung: Das Samsung Galaxy S5 ist betroffen. Kein Wunder bei der Updatepolitik von Samsung, auch im Umgang mit Top-Geräten, die es vor einem Jahr jedenfalls noch waren.
Nokia 3310? Du meinst sicher das 3210, welches selbst einen 40t aushält 😀
Völlig nerviger Kram, die Sicherheitsleute müssen genau wie alle Schreiberlinge ständig neue heisse Luft präsentieren um sich zu finanzieren. Am Ende jammern alle Nutzer herum, weil man auf seinem Smartphone gar nichts mehr verändern kann und es zwar sicher, aber absolut unbenutzbar in einem Harzblock eingegossen daliegt.
Genau wie der Bericht neulich über das absolut gefährliche Telefonbanking. Leute, schmeisst zuhause eure DECT Geräte weg, sonst wird euer Konto leergeräumt…
Der Anwender wird absichtlich verunsichert, um ihm was verkaufen zu können. Weshalb es dann Sicherheitslücke-ganz-schlimm-Android heisst, damit die Leute jetzt in Scharen zum Mitbewerb überlaufen, oder noch viel schlimmer, sich irgendwelche Müllsoftware installieren. Um sich dann fälschlicherweise sicher zu fühlen. Ich weiss, hier ist nicht der Ort für so eine Diskussion.
BQ Aquaris E6 nicht betroffen.
Samsung Galaxy Tab S 8.4 betroffen!
@ wollid:
Warum sollte ich mein DECT-Telefon wegwerfen? Ich mache einfach kein Telefonbanking. (Das war mir im übrigen immer schon sehr unsympathisch, darum bin ich nie auf die Idee gekommen, damit anzufangen.)
@ Sascha:
Zum Thema Berechtigungen:
„Sind diese nicht nachvollziehbar (was sie in den meisten Fällen sind, auch wenn es der Durchschnittsnutzer nicht nachvollziehen kann)“
Der Satz ist etwas verschroben, oder? 😉
Aber mal davon ab: Wie wäre es denn, wenn die App-Anbieter einfach mal plausibel darlegen würden, wofür die App welche Berechtigungen benötigt? Ich frage mich jedenfalls auch oft, wozu beispielsweise ein elektronischer Einkaufszettel Zugriff auf Telefonstatus, Konten oder Telefonbuch benötigt. In Zeiten der (von Google sehr pfiffig gewählten) Formulierung „Dies App benötigt keine *besonderen* neuen Berechtigungen“ bin ich durchaus vorsichtiger geworden. Und der Otto-Normal-Nutzer wird ggf. heftig über den Tisch gezogen.
Dank Xprivacy kommt keine App an meine echten Daten ran.
@Malcom
du meinst keine App außer Xprivacy 😉
Xprivacy ist 100% Open-Source und vertrauenswürdig.
Xiaomi Note Pro, Redmi 2, Letv 1 und Lenovo a588t sind nicht betroffen.
CyanogenMod ist wohl nicht betroffen
mein Arsch ist auch nicht betroffen