Forum für Wissenschaft, Industrie und Wirtschaft

Hauptsponsoren:     3M 
Datenbankrecherche:

 

Mobile Web-Apps bieten Einfallstore für Datenspione

11.02.2014
TZI-Wissenschaftler testen mobile Web-Apps von namhaften Software-Herstellern. Ergebnis: Schwachstellen eröffnen die Möglichkeit das Smartphone zu knacken. Vor allem fanden die Forscher zahlreiche Einfallstore aufgrund des fehlerhaften Einsatzes des Web-Frameworks Cordova.

Wie sicher sind mobile Web-Apps eigentlich und welches sind die zentralen Schwachstellen?

Dieser Frage sind Wissenschaftler des Technologie-Zentrum Informatik und Informationssicherheit (TZI) der Universität Bremen auf den Grund gegangen. Sie haben aus dem Play Store von Google exemplarisch Apps namhafter Hersteller heruntergeladen und dann zum einen das Kommunikationsverhalten und zum anderen den Softwarecode analysiert.

„Wir sind dabei immer auf das gleiche Problem in unterschiedlichen Variationen gestoßen. Die Programmierer machen Fehler beim Einsatz des sehr oft genutzten Web-Frameworks Apache Cordova (PhoneGap)“, sagt Karsten Sohr, Geschäftsführer des TZI-Leitthemas Softwarequalität und Informationssicherheit.

„Wer Cordova einsetzt, muss den gesamten Softwarecode sicher machen, eine unsichere Verbindung in der App reicht Datenspionen als Einfallstor. Und er muss sich Zeit nehmen, nur die Berechtigungen vom Nutzer abzufordern, die für die Funktionalität der Web-App unerlässlich sind“, fügt Christian Liebig hinzu, der aktuell am TZI seine Masterarbeit über das Thema schreibt.

Einfallstor: Berechtigungen

Cordova (PhoneGap) kann ohne großen Aufwand für die verschiedenen App-Stores angepasst werden, fordert aber standardmäßig in älteren Versionen viele Berechtigungen. Oft passen das Programmierer nicht mehr an, obwohl ihre Apps viel weniger Berechtigungen für die Funktionalität benötigen. Ein prägnantes Beispiel, das die Wissenschaftler fanden, ist eine vermeintlich harmlose App, über welche ein großer Konzern Unternehmensnachrichten verbreitet.

„22 Berechtigungen haben wir registriert, wirklich gebraucht wird eigentlich nur der Zugriff auf das Internet. Doch das Problem ist, dass diese Berechtigungen Spionen ermöglichen, Daten abzugreifen oder sogar auf Funktionen des Handys, wie Kamera, Mikro, Kontakte oder GPS-Ortung, zuzugreifen. Das Perfide dabei: Der Nutzer bemerkt davon nichts“, sagt Christian Liebig.

Einfallstore: Debug-Flag und Whitelist

Ein weiteres Einfallstor bei Cordova ist das sogenannte Debug-Flag. Es wird im Framework für die Entwicklung einer App genutzt, muss am Ende in der veröffentlichten Version aber wieder raus sein. „War es aber nicht bei einigen von uns untersuchten Apps“, erklärt Liebig. „Und bei eingeschaltetem Debug-Flag ist auch die SSL-Verschlüsselung deaktiviert, weil es dann einfacher ist, die App zu programmieren. Auch das wird vielfach in der finalen Version nicht wieder geändert.“ Probleme gibt es auch mit der sogenannten Whitelist, die festlegt, mit wem die App kommunizieren darf.

„Bei falsch konfigurierter Whitelist können Datenspione ausspionierte Daten unerlaubt an ein von ihnen kontrolliertes System übermitteln und so auf Smartphones zugreifen“, berichtet Liebig. Besonders problematisch ist die Tatsache, dass viele Cordova Apps anfällig gegenüber einer bekannten Android-Sicherheitslücke in der Schnittelle zwischen JavaScript und Java sind. Hierdurch kann ein Angreifer Code mit den Berechtigungen der angegriffenen App ausführen. Die benannten Einfallstore sind nur die markantesten bei Apps, die das Web-Framework Cordova nutzen. „Wir haben noch weitere und komplexere gefunden“, erläutert Karsten Sohr.

Checkliste mit Sicherheitsregeln für die Arbeit mit Cordova

Hilfestellung geben die Wissenschaftler allerdings auch. „Wir haben eine kurze Checkliste für die Arbeit mit Cordova erstellt. Wer sich an diese wichtigsten Regeln hält, erhöht die Sicherheit der mobilen Web-App signifikant“, sagt Christian Liebig.

Knut Köstergarten
Presse- und Öffentlichkeitsarbeit
TZI Uni Bremen
Fon: +49(0)421.3800353
Fax: +49(0)421.3800354

Knut Köstergarten | TZI Bremen
Weitere Informationen:
http://www.tzi.de

Weitere Nachrichten aus der Kategorie Informationstechnologie:

nachricht Platooning in der Logistikbranche: Weltweit erster Praxiseinsatz vernetzter Lkw-Kolonnen auf der A9
25.06.2018 | Hochschule Fresenius

nachricht Schnell und innovativ: Jülicher Superrechner ist eine Neuentwicklung aus Europa
25.06.2018 | Forschungszentrum Jülich

Alle Nachrichten aus der Kategorie: Informationstechnologie >>>

Die aktuellsten Pressemeldungen zum Suchbegriff Innovation >>>

Die letzten 5 Focus-News des innovations-reports im Überblick:

Im Focus: Wendelstein 7-X erreicht Weltrekord

Stellarator-Rekord für Fusionsprodukt / Erste Bestätigung für Optimierung

Höhere Temperaturen und Dichten des Plasmas, längere Pulse und den weltweiten Stellarator-Rekord für das Fusionsprodukt hat Wendelstein 7-X in der...

Im Focus: Schnell und innovativ: Jülicher Superrechner ist eine Neuentwicklung aus Europa

Bei der Entwicklung innovativer Superrechner-Architekturen ist Europa dabei, die Führung zu übernehmen. Leuchtendes Beispiel hierfür ist der neue Höchstleistungsrechner, der in diesen Tagen am Jülicher Supercomputing Centre (JSC) an den Start geht. JUWELS ist ein Meilenstein hin zu einer neuen Generation von hochflexiblen modularen Supercomputern, die auf ein erweitertes Aufgabenspektrum abzielen – von Big-Data-Anwendungen bis hin zu rechenaufwändigen Simulationen. Allein mit seinem ersten Modul qualifizierte er sich als Nummer 1 der deutschen Rechner für die TOP500-Liste der schnellsten Computer der Welt, die heute erschienen ist.

Das System wird im Rahmen des von Bund und Sitzländern getragenen Gauß Centre for Supercomputing finanziert und eingesetzt.

Im Focus: Superconducting vortices quantize ordinary metal

Russian researchers together with their French colleagues discovered that a genuine feature of superconductors -- quantum Abrikosov vortices of supercurrent -- can also exist in an ordinary nonsuperconducting metal put into contact with a superconductor. The observation of these vortices provides direct evidence of induced quantum coherence. The pioneering experimental observation was supported by a first-ever numerical model that describes the induced vortices in finer detail.

These fundamental results, published in the journal Nature Communications, enable a better understanding and description of the processes occurring at the...

Im Focus: Leichter abheben: Fraunhofer LBF entwickelt Flugzeugrad aus Faser-Kunststoff-Verbund

Noch mehr Reichweite oder noch mehr Nutzlast - das wünschen sich Fluggesellschaften für ihre Flugzeuge. Wegen ihrer hohen spezifischen Steifigkeiten und Festigkeiten kommen daher zunehmend leichte Faser-Kunststoff-Verbunde zum Einsatz. Bei Rümpfen oder Tragflächen sind permanent Innovationen in diese Richtung zu beobachten. Um dieses Innovationsfeld auch für Flugzeugräder zu erschließen, hat das Fraunhofer-Institut für Betriebsfestigkeit und Systemzuverlässigkeit LBF jetzt ein neues EU-Forschungsvorhaben gestartet. Ziel ist die Entwicklung eines ersten CFK-Bugrads für einen Airbus A320. Dabei wollen die Forscher ein Leichtbaupotential von bis zu 40 Prozent aufzeigen.

Faser-Kunststoff-Verbunde sind in der Luftfahrt bei zahlreichen Bauteilen bereits das Material der Wahl. So liegt beim Airbus A380 der Anteil an...

Im Focus: IT-Sicherheit beim autonomen Fahren

FH St. Pölten entwickelt neue Methode für sicheren Informationsaustausch zwischen Fahrzeugen mittels Funkdaten

Neue technische Errungenschaften wie das Internet der Dinge oder die direkte drahtlose Kommunikation zwischen Objekten erhöhen den Bedarf an effizienter...

Alle Focus-News des Innovations-reports >>>

Anzeige

Anzeige

VideoLinks
Industrie & Wirtschaft
Veranstaltungen

Neueste Entwicklungen in Forschung und Technik

25.06.2018 | Veranstaltungen

Wheat Initiative holt Weizenforscher aus aller Welt an einen Tisch

25.06.2018 | Veranstaltungen

Leben im Plastikzeitalter: Wie ist ein nachhaltiger Umgang mit Plastik möglich?

21.06.2018 | Veranstaltungen

VideoLinks
Wissenschaft & Forschung
Weitere VideoLinks im Überblick >>>
 
Aktuelle Beiträge

Wendelstein 7-X erreicht Weltrekord

25.06.2018 | Physik Astronomie

Schnell und innovativ: Jülicher Superrechner ist eine Neuentwicklung aus Europa

25.06.2018 | Informationstechnologie

Leuchtfeuer in der Produktion

25.06.2018 | Energie und Elektrotechnik

Weitere B2B-VideoLinks
IHR
JOB & KARRIERE
SERVICE
im innovations-report
in Kooperation mit academics