Android-Lockscreen soll sich überlisten lassen
Die Bildschirmsperre muss dran glauben: Kürzlich wurde eine neue Schwachstelle im Lockscreen von Android veröffentlicht, wodurch es möglich ist, Vollzugriff auf das Gerät zu erhalten, indem man einen Absturz des Lockscreens herbeiführt. Diese Lücke treibt in Android 5.x sein Unwesen, betrifft aber nur Nutzer, die ein Passwort als Displaysperre eingestellt haben. Die Lücke auszunutzen ist zwar etwas aufwendiger, dafür aber auch keine Raketenwissenschaft. In einem fast neun-minütigen Video wird das Ausnutzen der Schwachstelle demonstriert, wodurch der Angreifer am Ende vollen Zugang zum Smartphone erhält.
Anschließend könnte der Angreifer theoretisch durch das Aktivieren der USB-Debugging-Einstellung tiefer in das System vordringen und noch mehr Schaden anrichten. Die Schwachstelle wurde am 13. August 2015 im Android-Quellcode und im Build LMY48M vom 9. September 2015 für die Nexus-Geräte behoben. Das LG G4 mit Android 5.1 soll aufgrund deaktivierter Zwischenablage im Notrufdialog nicht verwundbar sein, auch CyanogenMod 12.1 soll laut Kommentaren unter dem Video nicht davon betroffen sein.
(Quelle: sites.utexas.edu)
Beitrag von Patrik Kernstock, auch auf Twitter zu finden.
Wird geladen ...
Ich würde das jetzt nicht so hoch hängen, da man den Angriff nur ausführen kann, wenn man physischen Zugriff auf das Smartphone hat und dort ein Android > 5.1.1 läuft. Wobei das mit dem physischen Zugriff wohl das größere Problem für einen Angreifer sein dürfte.
Tja, wer kein Nexus hat, hat kein Nexus
@ Heiko
Meinst wohl < 5.1.1 😉
Wozu brauche ich ein Passwort?
Richtig: falls mir das Phone abhanden kommt (Diebstahl, irgendwo vergessen, Überfall, was auch immer).
Dann soll es natürlich SICHER sein. Ich finde das krass das es dann NICHT SICHER ist. Ob dadurch auch die Verschlüsselung ausgehebelt wird?
Oh Mann, Android ist schon ein lustiges System.
@Morph
was hat das mit Nexus zu tun? Das hat auch Android und das gleiche Problem…
@Norbert
Den letzten Satz hätte man sich auch sparen können – die lustige Siri hatte meine ich auch schon die Angewohnheit noch viel einfacher die ‚Tastensperre‘ zu umgehen, sofern Siri auf dem ‚Locksscreen‘ aktiviert war – was es damals per default so war.
https://discussions.apple.com/thread/6780303
@Norbert
Ich meinte damit, dass der Fehler nun bereits behoben ist. LMY48M wurde vor ein paar zur Verfügung gestellt.
Das funktioniert nur wenn man ein Passwort nutzt, mit einer Pin oder den Wischmustern geht es nicht. Und in 5.1.1 ist es bereits gefixt.
@Morph
alles klar.
Auch bei alten Nexus Phones? Mein Galaxy Nexus hatte nach 1,5 Jahren keine Updates mehr bekommen.
@proxi
Pin Codes oder Wischen ist unsicher. Ich nutze ein Passwort damit es SICHERER wird.
Nicht für das Gegenteil.
@Andreas
Android hat echt SEHR viele Sicherheitslücken. Was alleine in den letzten Monaten so rausgekommen ist, da könnte ich kotzen.
Ob SIri auch Probleme hat oder sonstwer ist mir ziemlich egal. Ich habe halt Android.
Ich werde mir das W10 Mobile bald mal genauer ansehen.
@proxi: Im Video war doch die 5.1.1. zu sehen?
@mike3k
Stimmt 5.1.1 (LMY48I) hat die Lücke noch.
In 5.1.1 (LMY48M) ist es dann gefixt.
@Norbert
Ich nutze einen sechsteiligen Pin, um das zu knacken dauert es schon ne ganze Weile. Als unsicher würde ich das nicht bezeichnen.
Hab es mit meinem Nexus 4 versucht, hat nicht geklappt.
@Norbert
Galaxy Nexus wird nicht mehr unterstützt. Erst ab Nexus 4. Und das wird denke ich noch einige Zeit wenigstens Sicherheitsupdates bekommen.
Wenn du 5.1.1 für dein GNexus willst, müsstest du rooten und ein alternatives Rom installieren.
Im Galaxy Nexus steckt ein Prozessor von Texas Instrument, und die sind aus dem Markt für Mobile Prozessoren ausgestiegen. Deshalb gab es keine Treiber mehr und mit Updates ist es das dann gewesen.
Sollte heissen: Die PIN ist aber zu knacken, per App und Sms.
@Norbert
Dazu müsste man aber zusätzlich noch den Google Account gehackt haben, sonst kannste ja die APP nicht aufs Handy schieben.
Kannt ich aber noch nicht werd ich später mal probieren, das könnte sogar mal hilfreich sein falls man seine Pin vergessen hat.
@proxi
Klar. Durch 2FA ist das natürlich schwieriger. Trotzdem erstaunlich was alles so machbar ist…
LG G3 mit Android 5.0 ist auch nicht betroffen.
Copy/Paste dürfte daher auch bei LG’s Android kleiner 5.1 im Notrufscreen deaktiviert sein. 🙂