28C3: Schwachstellen in iOS und Chrome OS

Gravierende Schwachstellen in Apples iOS und Googles Chrome OS deckten Fachleute der Security-Firma Recurity Labs am Mittwoch in Berlin beim 28. Chaos Communication Congress (28C3) auf. Sowohl in den Geräten als auch in der dazugehörigen Software sollen Lücken im System vorliegen.

Als besonders kritisch stufte das Team den App Store (Apple) ein. Mit dem Ausnutzen eines Programmierfehlers könne der Store um Funktionen erweitert werden. Bei einem Chromebook mit Googles Betriebssystem könne eine Person Hintertüren einrichten. Gerade sogenannte Erweiterungen würden gerne für die Einschleusung von Schadcodes Anwendung finden, erläuterten die Sicherheitsspezialisten. Einem Experten stoß der niedrige Schutz von Nutzerdaten bei Apple auf. Zwar setze Apple viel daran, keine Software außerhalb iTunes auf den Produkten ("i-Geräten") zu haben, allerdings seien die Maßnahmen nicht ausreichend gegen Jailbreaks.

Ein weiterer Kollege betrachtete eine "JavaScript-Bibliothek" im App-Store mit Skepsis. Sie könne als Plattform zum unerlaubten Vertrieb von Schadsoftware missbraucht werden. Auch für andere Attacken sei die oben genannte Bibliothek geeignet. Ein großes Ärgernis verspürte der Fachmann bei den grundlegendsten Sicherheitsvorrichtungen. Mit speziellen Cookies hätte ein Angreifer die Chance, Kontoinformationen eines Nutzers zu erlangen. In erster Linie probiere Apple zwar, die Einbringung von Schadsoftware zu verhindern, aber erst vor ein paar Wochen sei es gelungen, über ein Frame, Datenpakete in das System zu implantieren.

Chrome OS punktete
Im Test um Chrome OS fanden die Experten eine gute Sicherheitsaufstellung vor. Doch bei näherem Betrachten fand die Gruppe auch hier Schwachstellen, die aber wesentlich kleiner ausfielen. So könne beispielsweise bei einer Schnittstelle der Firmware bestimmte Codes eingebracht werden, die Schreibberechtigung ausführen könnten. Allerdings wiesen der Google Web Store, sowie Apps fürs Chromebook oder die sogenannte Gmail Schwachstellen auf. Der Market von Google biete die Möglichkeit, einen Banking-Trojaner anzubieten. Der Internetbrwoser Chrome könne dazu gezwungen werden, Erweiterungen herunterzuladen, die Schaden anrichten. Alle Webanwendungen von Google basierten auf einem einzigen Code. Sobald dieser verändert oder entfernt würde, wären auch die dazugehörigen Daten weg. Die Experten schärzelten über eine Denial-of-Service-Attacke mit dem Ziel "Google", die über die Serverkapazität des Internetkonzerns laufe. Schließlich biete die Firma die nötige Leitungsgröße an. Auch sollen Browsersitzungen extrem einfach zu entwenden sein.

Öffentliche Hotspots vermeiden
Die Vertreter von Recurity Labs warnten ausdrücklich vor öffentlichen W-LAN-Netzen, wie man sie oft in Cafés oder Hotels vorfinde. Sie erklärten, dass die Internet-Kriminellen verstärkt darauf setzen würden, Sitzungscookies zu entwenden. Die Übernahme sei unmittelbar nach dem Einloggen möglich. Zwei Tipps zum Schutz seien die Einrichtung eines eigenständigen Mail-Servers und die Überdenkung der Benutzung von Clouds. Mit diesen Ratschlägen verabschiedete sich das Team.