Fraunhofer-Institut spürt Sicherheitslücke bei Standard-Handysoftware auf Brute-Force-Attacke auf Passwort-Speicherprogramm trotz Täuschung

Mitarbeiter des Fraunhofer-Instituts für Sichere Informationstechnologie in Darmstadt haben eine Sicherheitslücke in der Passwort-Software Code-Memo gefunden. Die Software ist standardmäßig auf den meisten Sony-Ericsson-Handys installiert und ermöglicht es, persönliche Passwörter und PINs verschlüsselt auf dem Mobiltelefon zu speichern.

Anbieter zum Thema

Vogel IT-Akademie

Passwörter und PINs sind nach wie vor das am weitesten verbreitete Mittel, um den Zugang zu Internetdiensten, Unternehmensanwendungen und Bankkonten zu schützen. Viele Menschen nutzen spezielle Passwortprogramme wie Code-Memo, um bei der Flut verschiedener Zugangsdaten den Überblick zu behalten.

Die Wissenschaftler des Fraunhofer-Instituts für Sichere Informationstechnik (SIT) haben im Rahmen einer Blackbox-Analyse eine Schwachstelle gefunden, durch die Angreifer trotz Verschlüsselung mit vergleichsweise einfachen Mitteln an alle mit Code-Memo gespeicherten Geheimnisse gelangen können. „Wie wir aber im Rahmen unserer Tests feststellen, schützt Code-Memo die Nutzergeheimnisse immer noch deutlich cleverer als manch anderes Programm“, sagt Fraunhofer-Mitarbeiter Ruben Wolf.

Falsche Codes durch falschen Code

Die Sony-Ericsson-Standardsoftware macht es Angreifern schwer, indem sie auch bei Eingabe eines falschen Masterpassworts keine Fehlermeldung zeigt – mit Hilfe des falschen Masterpassworts werden nämlich falsche Geheimnisse generiert. „Bei dieser eigentlich sinnvollen Irreführung macht das Programm allerdings einen schweren Fehler“, sagt Wolf, „denn es verwendet bei der gefälschten Entschlüsselung Sonderzeichen, die sich per Mobiltelefon gar nicht eingeben lassen – etwa das Paragraphen- oder das Prozentzeichen“.

Sobald eines der Passwörter ein unmögliches Sonderzeichen aufweist, weiß der Angreifer sofort, dass das eingegebene Masterpasswort falsch sein muss. Um an die Geheimnisse zu gelangen, muss er also nur alle möglichen Masterpassworte eingeben und kontrollieren, ob verbotene Sonderzeichen in den Passwörtern erscheinen. Dank Computer lässt sich dieser Prozess jedoch automatisieren und das richtige Masterpasswort dank der sehr überschaubaren Masterpasswortmenge von 10.000 verschiedenen Masterpasswortkombinationen in vergleichsweise kurzer Zeit herausfinden.

Brute-Force-Attacke mit Freeware-Tools

„Zum Brute-Force-Angriff sind keine speziellen Hackertools nötig, wir haben mit einer handelsüblichen Webcam und kostenloser Standardsoftware gearbeitet“, sagt Wolf, der die Sicherheitslücke Mitte September auf der Expertenkonferenz Mobility in Singapur vorstellte. Vorher hatte das Fraunhofer-Institut den Hersteller bereits über die Schwachstelle informiert.

Der Mobilesitter, ein ähnlich funktionierendes, kostenpflichtiges Tool des Fraunhofer-Institutes SIT, lässt eine Beschränkung der falsch ausgegebenen Zeichen zu. Damit ist dieser Verwundbarkeit beim Mobilesitter ein Riegel vorgeschoben.

(ID:2007945)