info@PortalDerWirtschaft.de | 02635/9224-11
Suchmaschinenoptimierung
mit Content-Marketing - Ihre News
Fraunhofer-Institut für Sichere Informationstechnologie |

Fraunhofer SIT: Viele Android-Passwort-Manager unsicher

Bewerten Sie hier diesen Artikel:
0 Bewertungen (Durchschnitt: 0)


Unterschiedliche Implementierungsfehler

Das Fraunhofer-Institut für Informationstechnologie SIT hat gravierende Sicherheitslücken in Passwort-Apps für Android entdeckt. Bei vielen der beliebtesten Passwort-Manager konnten Cyberkriminelle leicht Zugriff auf die geschützten Informationen erhalten, beispielsweise, wenn sich der Angreifer im selben Netzwerk befindet. Die Hersteller wurden informiert und haben die Fehler mittlerweile behoben. Nutzer sollten jedoch sicherstellen, dass sie die aktuelle App-Version verwenden. Die Details ihrer Analysen stellen die Experten des Fraunhofer SIT im April auf der "Hack In The Box"-Konferenz in Amsterdam vor. Das für die Tests genutzte Werkzeug CodeInspect zeigt das Institut bereits vom 20.-24. März in Halle 6 am Stand B 36 auf der CeBIT in Hannover.



Für jede Anwendung und jedes Benutzerkonto wird ein eigenes Passwort benötigt. Dadurch können Nutzer leicht den Überblick verlieren und Passwörter vergessen. Abhilfe schaffen Passwort-Manager: Dabei muss sich der Nutzer nur noch ein einziges Masterpasswort merken, alle anderen Zugänge und Passwörter werden sicher verschlüsselt in der Applikation gespeichert. Doch was wenn die Sicherheitsmechanismen Fehler haben? Ein Forscherteam des Fraunhofer SIT hat eine Reihe beliebter Android-Passwort-Manager-Apps analysiert. Ergebnis: Viele dieser Passwort-Apps waren unsicher.



Unterschiedliche Implementierungsfehler



In einigen der analysierten Apps, darunter LastPass, Dashlane, Keeper und 1Password, fanden die Security-Experten gleich mehrere Implementierungsfehler, die zu ernsthaften Sicherheitslücken führten. "Einige Anwendungen speichern beispielsweise das eingegebene Master-Passwort im Klartext auf dem Smartphone", erklärt Dr. Siegfried Rasthofer, Android-Experte am Fraunhofer SIT. Infolgedessen kann die Verschlüsselung leicht umgangen werden und alle Daten stehen dem Angreifer zur Verfügung - ohne dass der Nutzer dies merkt.



Darüber hinaus ignorieren viele Anwendungen das Problem der Zwischenablage, wodurch ein sogenanntes "Sniffing" möglich wird. Das bedeutet, die Zwischenablage wird nicht bereinigt, nachdem die Anmeldeinformationen dorthin kopiert wurden. Zugriffe zum Auslesen der Zwischenablage könnten praktisch von jeder anderen App ausgeführt werden; und wer kann sich sicher sein, dass eine bestimmte andere App nicht gerade dies ausnutzt und sich somit die Zugangsinformation für den Passwort-Manager verschafft. In anderen Fällen hätte es für Angreifer ausgereicht, sich im selben Netzwerk zu befinden, aber auch ein Geräteverlust hätte erhebliche Risiken für die Nutzer mit sich bringen können.



"Sicherheitsanalysen von Apps gehören bei uns zum Tagesgeschäft. Mit CodeInspect und Appicaptor haben wir eigene Werkzeuge entwickelt, mit denen wir Apps sehr effizient und detailliert auf ihre Sicherheit überprüfen können, selbst wenn uns die Apps nicht im Quellcode vorliegen. Dies gilt sowohl für Android als auch für iOS", erklärt Dr. Rasthofer. Mit seinen Werkzeugen konnte das Fraunhofer SIT bereits viele Schwachstellen in Apps aufdecken. Dazu gehören solche, die eher aus Unachtsamkeit bei der Programmierung entstanden sind, aber auch solche, die wahrscheinlich absichtlich in Apps eingebaut wurden.



Sicherheitslücken zwischenzeitlich geschlossen



"Wir haben die Hersteller der betroffenen Passwort-Manager über die Sicherheitslücken informiert. Alle haben reagiert und die Verwundbarkeiten geschlossen.", erklärt Rasthofer. Auf Geräten, auf denen sich die Apps Sicherheitsupdates aus dem App-Store herunterladen, sind die Probleme behoben. Wenn Nutzer keine automatischen Updates aktiviert haben, sollten die Applikationen umgehend aktualisiert werden. Welche Apps betroffen sind und weitere Details zu den jeweiligen Schwachstellen können unter http://sit4.me/pw-manager eingesehen werden.


Für den Inhalt der Pressemitteilung ist der Einsteller, Herr Oliver Küch (Tel.: +49 6151 869-213), verantwortlich.

Pressemitteilungstext: 509 Wörter, 4238 Zeichen. Pressemitteilung reklamieren

Unternehmensprofil: Fraunhofer-Institut für Sichere Informationstechnologie


Kommentare:

Es wurde noch kein Kommentar zu diesem Thema abgegeben.



Ihr Kommentar zum Thema





Weitere Pressemitteilungen von Fraunhofer-Institut für Sichere Informationstechnologie lesen:

Fraunhofer-Institut für Sichere Informationstechnologie | 20.03.2018

Eberbacher Gespräch: Fraunhofer SIT veröffentlicht Positionspapier zur Zukunft der Kryptografie

Ob Online-Banking oder Blockchain - die meisten IT-Sicherheitsmechanismen für Daten und digitale Kommunikation beruhen auf Kryptografie. Quantencomputer und neue Angriffsmöglichkeiten bedrohen zahlreiche dieser IT-Sicherheitsmechanismen. Wie Wirtsc...
Fraunhofer-Institut für Sichere Informationstechnologie | 10.01.2018

Deutsch-Israelischer Partnerschafts-Accelerator zeigt neue Produktideen zur Cybersicherheit

Mit der Präsentation von neuen Cybersicherheitsentwicklungen endete am 9. Januar der erste Durchlauf des hessisch-israelischen Partnerschafts-Accelerators (HIPA). Beim Abschlussevent in der hessischen Landesvertretung in Berlin zeigten die teilnehme...
Fraunhofer-Institut für Sichere Informationstechnologie | 21.11.2017

Geheime Datensammler auf dem Smartphone enttarnen

Fraunhofer SIT entwickelt im Rahmen des Forums Privatheit ein neues Datenschutz-Tool für mobile Apps - MetaMiner enttarnt und blockiert Tracking-Dienste in Apps, die Verbraucher insgeheim ausspionieren. Die Verfolgung von Benutzeraktivitäten im Ne...