CyanogenMod Updater möglicherweise anfällig für Man-in-the-middle-Angriff
von caschy | 6 Kommentare
Das alternative Android-ROM CyanogenMod ist den meisten Lesern bekannt, es bringt Smartphones, die seitens des Herstellers kein Update mehr erhalten, unter Umständen frisches Android inklusive neuer Funktionen, andere nutzen es pauschal auf ihren Geräten, um Hersteller-Ballast loszuwerden. Der CyanogenMod bringt einen Updater mit, über den sich Nutzer frische Versionen installieren können. Hier sieht ein Blogger ein Problem, wie er in seinem Beitrag mitteilt.
Die Abfrage nach neuen Versionen geschieht über die Adresse http://download.cyanogemod.org/api. Diese Adresse wird über das HTTP-Protokoll, nicht aber via HTTPS angesteuert. Ebenfalls soll die flashbare ZIP-Datei für das Custom Recovery nicht digital signiert sein. Kyh schreibt in seinem Blog weiter, dass so theoretisch Man-in-the-middle-Angriffe auf Smartphones stattfinden können, wenn jemand im Netzwerk die echte Adresse auf eine Adresse umleiten würde, die mit einer speziell präparierten Variante der Software aufwarten würde. In einem Testaufbau stellte Kyh, so wie sich der Entdecker der Lücke nennt, ein Szenario nach und war so in der Lage, eine modifizierten CyanogenMod auf seinem Nexus zu installieren.
Wird geladen ...
So ziemlich alles unverifizierte Surfen ist einem Man-in-the-Middle schutzlos ausgesetzt… – Sogar Windows-Domänen-Logins… demnach müsste man eigentlich sagen „Software ist anfällig für Man in the Middle“…
und auch HTTPS ist nicht mehr zwingend sicher – es ist halt nur etwas schwerer per Man-in-the-Middle in sowas reinzukommen…
Naja das ist ja kein Grund, diese Sicherheitslücke nicht zu schließen. Dürfte ja eigentlich kein so großer Aufwand sein.
Noob-Frage: Falls die flashbare zip-Datei von einem Man-in-the-middle geändert wurde, ändert sich dann auch die md5-Checksum? Die könnte man ja recht leicht mit der vom CM-Team angegebenen vergleichen…
Klar ändert sich die Checksum, nur nachschauen muss man halt selber.
Das Problem ist ja, dass man auch die Checksumme irgendwoher bekommen muss. Kommt sie aus dem gleichen, unverschlüsselten Datenstrom, dann bringt diese nicht viel, weil sie ja auch verfälscht sein könnte. Einzige Abhilfe bietet eine Digitale Signatur, oder eben HTTPS bei dem sichergestellt wird, dass das Zertifikat des Servers korrekt ist.
im morgigen nightly ist das auf https umgestellt: http://m13m.de/f-v