- Anzeigen -


Sie sind hier: Home » Virenwarnung » Sicherheitslecks

Android-Passwort-Manager-Apps analysiert


Viele Android-Passwort-Manager unsicher
In einigen der analysierten Apps fanden die Security-Experten gleich mehrere Implementierungsfehler, die zu ernsthaften Sicherheitslücken führten

- Anzeigen -





Das Fraunhofer-Institut für Informationstechnologie SIT hat gravierende Sicherheitslücken in Passwort-Apps für Android entdeckt. Bei vielen der beliebtesten Passwort-Manager konnten Cyberkriminelle leicht Zugriff auf die geschützten Informationen erhalten, beispielsweise, wenn sich der Angreifer im selben Netzwerk befindet. Die Hersteller wurden informiert und haben die Fehler mittlerweile behoben. Nutzer sollten jedoch sicherstellen, dass sie die aktuelle App-Version verwenden. Die Details ihrer Analysen stellen die Experten des Fraunhofer SIT im April auf der "Hack In The Box"-Konferenz in Amsterdam vor.

Für jede Anwendung und jedes Benutzerkonto wird ein eigenes Passwort benötigt. Dadurch können Nutzer leicht den Überblick verlieren und Passwörter vergessen. Abhilfe schaffen Passwort-Manager: Dabei muss sich der Nutzer nur noch ein einziges Masterpasswort merken, alle anderen Zugänge und Passwörter werden sicher verschlüsselt in der Applikation gespeichert. Doch was wenn die Sicherheitsmechanismen Fehler haben? Ein Forscherteam des Fraunhofer SIT hat eine Reihe beliebter Android-Passwort-Manager-Apps analysiert. Ergebnis: Viele dieser Passwort-Apps waren unsicher.

Unterschiedliche Implementierungsfehler
In einigen der analysierten Apps, darunter LastPass, Dashlane, Keeper und 1Password, fanden die Security-Experten gleich mehrere Implementierungsfehler, die zu ernsthaften Sicherheitslücken führten. "Einige Anwendungen speichern beispielsweise das eingegebene Master-Passwort im Klartext auf dem Smartphone", erklärt Dr. Siegfried Rasthofer, Android-Experte am Fraunhofer SIT. Infolgedessen kann die Verschlüsselung leicht umgangen werden und alle Daten stehen dem Angreifer zur Verfügung – ohne dass der Nutzer dies merkt.

Darüber hinaus ignorieren viele Anwendungen das Problem der Zwischenablage, wodurch ein sogenanntes "Sniffing" möglich wird. Das bedeutet, die Zwischenablage wird nicht bereinigt, nachdem die Anmeldeinformationen dorthin kopiert wurden. Zugriffe zum Auslesen der Zwischenablage könnten praktisch von jeder anderen App ausgeführt werden; und wer kann sich sicher sein, dass eine bestimmte andere App nicht gerade dies ausnutzt und sich somit die Zugangsinformation für den Passwort-Manager verschafft. In anderen Fällen hätte es für Angreifer ausgereicht, sich im selben Netzwerk zu befinden, aber auch ein Geräteverlust hätte erhebliche Risiken für die Nutzer mit sich bringen können.

"Sicherheitsanalysen von Apps gehören bei uns zum Tagesgeschäft. Mit CodeInspect und Appicaptor haben wir eigene Werkzeuge entwickelt, mit denen wir Apps sehr effizient und detailliert auf ihre Sicherheit überprüfen können, selbst wenn uns die Apps nicht im Quellcode vorliegen. Dies gilt sowohl für Android als auch für iOS", erklärt Dr. Rasthofer. Mit seinen Werkzeugen konnte das Fraunhofer SIT bereits viele Schwachstellen in Apps aufdecken. Dazu gehören solche, die eher aus Unachtsamkeit bei der Programmierung entstanden sind, aber auch solche, die wahrscheinlich absichtlich in Apps eingebaut wurden.

Sicherheitslücken zwischenzeitlich geschlossen
Wenn Nutzer keine automatischen Updates aktiviert haben, sollten die Applikationen umgehend aktualisiert werden. Welche Apps betroffen sind und weitere Details zu den jeweiligen Schwachstellen können unter http://sit4.me/pw-manager eingesehen werden.
(Fraunhofer SIT: ra)

Fraunhofer SIT: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Sicherheitslecks

  • 2018: Das große Softwaresterben

    Der Patch Tuesday im Dezember 2017 hat eine recht überschaubare Anzahl von Updates gebracht. Microsoft hat insgesamt 32 einzigartige CVEs (Common Vulnerabilities and Exposures) vermeldet - keine davon wurde veröffentlicht oder ausgenutzt. Adobe hat daneben ein Update für Flash Player herausgebracht, das eine moderate Schwachstelle auflöst. Allerdings wird dieses Update in der Priorität 2 eingestuft, weshalb Microsoft es im Rahmen des Patch Tuesday für den IE als kritisch eingestufte. Es ist mal wieder die richtige Jahreszeit, um sich um End-of-Life-Angelegenheiten zu kümmern. IT-Verantwortliche sollten also Ihre Planung für 2018 beginnen, indem sie sich einen Überblick verschaffen, welche Produkte im kommenden Jahr auf EoL umgestellt werden. Der Patch Tuesday im Dezember gibt dazu einige Hinweise: Der EoL von Windows 10 1607 ist vorläufig für März 2018 geplant.

  • Security-Leck in Messaging-Diensten

    Die Sicherheitsforscher von Check Point Software Technologies enthüllten eine neue Schwachstelle in den Online-Plattformen WhatsApp und Telegram, zwei der weltweit beliebtesten Messaging-Dienste. Angreifer, die diese Schwachstelle ausnutzten, konnten Nutzerkonten vollständig übernehmen und auf die persönlichen Gespräche und Gruppenunterhaltungen, Fotos, Videos und andere geteilten Dateien, Kontaktlisten und sonstige Daten zugreifen. "Durch diese neue Schwachstelle laufen Hunderte von Millionen WhatsApp- und Telegram-Web-Nutzer Gefahr, dass ihre Accounts vollständig übernommen werden", sagt Oded Vanunu, Leiter Product Vulnerability Research bei Check Point. "Ein Hacker kann durch einfaches Versenden eines harmlos aussehenden Fotos die Kontrolle über den Account erlangen, auf den Nachrichtenverlauf sowie auf alle Fotos, die je geteilt wurden, zugreifen und Nachrichten im Namen des Nutzers versenden."

  • Android-Passwort-Manager-Apps analysiert

    Das Fraunhofer-Institut für Informationstechnologie SIT hat gravierende Sicherheitslücken in Passwort-Apps für Android entdeckt. Bei vielen der beliebtesten Passwort-Manager konnten Cyberkriminelle leicht Zugriff auf die geschützten Informationen erhalten, beispielsweise, wenn sich der Angreifer im selben Netzwerk befindet. Die Hersteller wurden informiert und haben die Fehler mittlerweile behoben. Nutzer sollten jedoch sicherstellen, dass sie die aktuelle App-Version verwenden. Die Details ihrer Analysen stellen die Experten des Fraunhofer SIT im April auf der "Hack In The Box"-Konferenz in Amsterdam vor.

  • Backdoor in der Mac-Version von Skype

    Forscher des Trustwave SpiderLabs haben eine Art Backdoor in der Mac-Version von Skype entdeckt. Über diese Sicherheitslücke, die wahrscheinlich schon seit Jahren besteht, können - ohne dass Anwender dies bemerken - Drittprogramme mit Skype kommunizieren und damit Gespräche mitgeschnitten werden. Ein Update, das diese Sicherheitslücke schließt, ist bereits Ende Oktober erschienen. Trustwave empfiehlt allen Nutzer, das Update sofort zu installieren. Bei der Sicherheitslücke handelt es sich laut den Forschern des Trustwave SpiderLabs, das aus IT-Sicherheitsexperten und ethischen Hackern besteht, nicht um einen Hackerangriff, sondern um einen Programmierfehler. Dieser besteht wahrscheinlich schon seit etwa fünf Jahren.

  • 350 veröffentlichte Android-Schwachstellen

    Nach aktuellen Zahlen der Datenbank für IT-Angriffsanalysen (Vulnerability Data Base) des Hasso-Plattner-Instituts (HPI) haben die Software-Schwachstellen bei Android-Systemen einen neuen Höchststand erreicht. Die Infografik im Anhang zeigt die Entwicklung mittelschwerer und schwerer Schwachstellen ab 2014. Weitere Informationen entnehmen Sie bitte der nachfolgenden Pressemitteilung vom 22. August: 350 veröffentlichte Android-Schwachstellen hat die Datenbank für IT-Angriffsanalysen (Vulnerability Data Base) des Hasso-Plattner-Instituts (HPI) in den ersten acht Monaten dieses Jahres registriert. Damit hat sich deren Anzahl im Vergleich zum Vorjahr bereits mehr als verdoppelt. Bei rund 70 Prozent der ermittelten Sicherheitslücken handelt es sich um gravierende, sogenannte kritische Schwachstellen. Googles Smartphone-Betriebssystem Android ist in Deutschland mit deutlichem Vorsprung Marktführer.