Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Mobile Web-Apps bieten Einfallstore für Datenspione

11.02.2014
TZI-Wissenschaftler testen mobile Web-Apps von namhaften Software-Herstellern. Ergebnis: Schwachstellen eröffnen die Möglichkeit das Smartphone zu knacken. Vor allem fanden die Forscher zahlreiche Einfallstore aufgrund des fehlerhaften Einsatzes des Web-Frameworks Cordova.

Wie sicher sind mobile Web-Apps eigentlich und welches sind die zentralen Schwachstellen?

Dieser Frage sind Wissenschaftler des Technologie-Zentrum Informatik und Informationssicherheit (TZI) der Universität Bremen auf den Grund gegangen. Sie haben aus dem Play Store von Google exemplarisch Apps namhafter Hersteller heruntergeladen und dann zum einen das Kommunikationsverhalten und zum anderen den Softwarecode analysiert.

„Wir sind dabei immer auf das gleiche Problem in unterschiedlichen Variationen gestoßen. Die Programmierer machen Fehler beim Einsatz des sehr oft genutzten Web-Frameworks Apache Cordova (PhoneGap)“, sagt Karsten Sohr, Geschäftsführer des TZI-Leitthemas Softwarequalität und Informationssicherheit.

„Wer Cordova einsetzt, muss den gesamten Softwarecode sicher machen, eine unsichere Verbindung in der App reicht Datenspionen als Einfallstor. Und er muss sich Zeit nehmen, nur die Berechtigungen vom Nutzer abzufordern, die für die Funktionalität der Web-App unerlässlich sind“, fügt Christian Liebig hinzu, der aktuell am TZI seine Masterarbeit über das Thema schreibt.

Einfallstor: Berechtigungen

Cordova (PhoneGap) kann ohne großen Aufwand für die verschiedenen App-Stores angepasst werden, fordert aber standardmäßig in älteren Versionen viele Berechtigungen. Oft passen das Programmierer nicht mehr an, obwohl ihre Apps viel weniger Berechtigungen für die Funktionalität benötigen. Ein prägnantes Beispiel, das die Wissenschaftler fanden, ist eine vermeintlich harmlose App, über welche ein großer Konzern Unternehmensnachrichten verbreitet.

„22 Berechtigungen haben wir registriert, wirklich gebraucht wird eigentlich nur der Zugriff auf das Internet. Doch das Problem ist, dass diese Berechtigungen Spionen ermöglichen, Daten abzugreifen oder sogar auf Funktionen des Handys, wie Kamera, Mikro, Kontakte oder GPS-Ortung, zuzugreifen. Das Perfide dabei: Der Nutzer bemerkt davon nichts“, sagt Christian Liebig.

Einfallstore: Debug-Flag und Whitelist

Ein weiteres Einfallstor bei Cordova ist das sogenannte Debug-Flag. Es wird im Framework für die Entwicklung einer App genutzt, muss am Ende in der veröffentlichten Version aber wieder raus sein. „War es aber nicht bei einigen von uns untersuchten Apps“, erklärt Liebig. „Und bei eingeschaltetem Debug-Flag ist auch die SSL-Verschlüsselung deaktiviert, weil es dann einfacher ist, die App zu programmieren. Auch das wird vielfach in der finalen Version nicht wieder geändert.“ Probleme gibt es auch mit der sogenannten Whitelist, die festlegt, mit wem die App kommunizieren darf.

„Bei falsch konfigurierter Whitelist können Datenspione ausspionierte Daten unerlaubt an ein von ihnen kontrolliertes System übermitteln und so auf Smartphones zugreifen“, berichtet Liebig. Besonders problematisch ist die Tatsache, dass viele Cordova Apps anfällig gegenüber einer bekannten Android-Sicherheitslücke in der Schnittelle zwischen JavaScript und Java sind. Hierdurch kann ein Angreifer Code mit den Berechtigungen der angegriffenen App ausführen. Die benannten Einfallstore sind nur die markantesten bei Apps, die das Web-Framework Cordova nutzen. „Wir haben noch weitere und komplexere gefunden“, erläutert Karsten Sohr.

Checkliste mit Sicherheitsregeln für die Arbeit mit Cordova

Hilfestellung geben die Wissenschaftler allerdings auch. „Wir haben eine kurze Checkliste für die Arbeit mit Cordova erstellt. Wer sich an diese wichtigsten Regeln hält, erhöht die Sicherheit der mobilen Web-App signifikant“, sagt Christian Liebig.

Knut Köstergarten
Presse- und Öffentlichkeitsarbeit
TZI Uni Bremen
Fon: +49(0)421.3800353
Fax: +49(0)421.3800354

Knut Köstergarten | TZI Bremen
Weitere Informationen:
http://www.tzi.de

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Verlässliche Quantencomputer entwickeln
22.02.2018 | Albert-Ludwigs-Universität Freiburg im Breisgau

nachricht Wie Drohnen die Unterwelt erkunden
21.02.2018 | Technische Universität Bergakademie Freiberg

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Verlässliche Quantencomputer entwickeln

Internationalem Forschungsteam gelingt wichtiger Schritt auf dem Weg zur Lösung von Zertifizierungsproblemen

Quantencomputer sollen künftig algorithmische Probleme lösen, die selbst die größten klassischen Superrechner überfordern. Doch wie lässt sich prüfen, dass der...

Im Focus: Developing reliable quantum computers

International research team makes important step on the path to solving certification problems

Quantum computers may one day solve algorithmic problems which even the biggest supercomputers today can’t manage. But how do you test a quantum computer to...

Im Focus: Innovation im Leichtbaubereich: Belastbares Sandwich aus Aramid und Carbon

Die Entwicklung von Leichtbaustrukturen ist eines der zentralen Zukunftsthemen unserer Gesellschaft. Besonders in der Luftfahrtindustrie und in anderen Transportbereichen sind Leichtbaustrukturen gefragt. Sie ermöglichen Energieeinsparungen und reduzieren den Ressourcenverbrauch bei Treibstoffen und Material. Zum Einsatz kommen dabei Verbundmaterialien in der so genannten Sandwich-Bauweise. Diese bestehen aus zwei dünnen, steifen und hochfesten Deckschichten mit einer dazwischen liegenden dicken, vergleichsweise leichten und weichen Mittelschicht, dem Sandwich-Kern.

Aramidpapier ist ein etabliertes Material für solche Sandwichkerne. Sein mechanisches Strukturversagen ist jedoch noch unzureichend erforscht: Bislang fehlten...

Im Focus: Die Brücke, die sich dehnen kann

Brücken verformen sich, daher baut man normalerweise Dehnfugen ein. An der TU Wien wurde eine Technik entwickelt, die ohne Fugen auskommt und dadurch viel Geld und Aufwand spart.

Wer im Auto mit flottem Tempo über eine Brücke fährt, spürt es sofort: Meist rumpelt man am Anfang und am Ende der Brücke über eine Dehnfuge, die dort...

Im Focus: Eine Frage der Dynamik

Die meisten Ionenkanäle lassen nur eine ganz bestimmte Sorte von Ionen passieren, zum Beispiel Natrium- oder Kaliumionen. Daneben gibt es jedoch eine Reihe von Kanälen, die für beide Ionensorten durchlässig sind. Wie den Eiweißmolekülen das gelingt, hat jetzt ein Team um die Wissenschaftlerin Han Sun (FMP) und die Arbeitsgruppe von Adam Lange (FMP) herausgefunden. Solche nicht-selektiven Kanäle besäßen anders als die selektiven eine dynamische Struktur ihres Selektivitätsfilters, berichten die FMP-Forscher im Fachblatt Nature Communications. Dieser Filter könne zwei unterschiedliche Formen ausbilden, die jeweils nur eine der beiden Ionensorten passieren lassen.

Ionenkanäle sind für den Organismus von herausragender Bedeutung. Wenn zum Beispiel Sinnesreize wahrgenommen, ans Gehirn weitergeleitet und dort verarbeitet...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

VideoLinks
Industrie & Wirtschaft
Veranstaltungen

DFG unterstützt Kongresse und Tagungen - April 2018

21.02.2018 | Veranstaltungen

Tag der Seltenen Erkrankungen – Deutsche Leberstiftung informiert über seltene Lebererkrankungen

21.02.2018 | Veranstaltungen

Digitalisierung auf dem Prüfstand: Hochkarätige Konferenz zu Empowerment in der agilen Arbeitswelt

20.02.2018 | Veranstaltungen

VideoLinks
Wissenschaft & Forschung
Weitere VideoLinks im Überblick >>>
 
Aktuelle Beiträge

Von Hefe für Demenzerkrankungen lernen

22.02.2018 | Biowissenschaften Chemie

Sektorenkopplung: Die Energiesysteme wachsen zusammen

22.02.2018 | Seminare Workshops

Die Entschlüsselung der Struktur des Huntingtin Proteins

22.02.2018 | Biowissenschaften Chemie

Weitere B2B-VideoLinks
IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics