Freak: SSL-Sicherheitslücke bei Galaxy S6 und S6 Edge

(Bild: ZDNet.de)

Das Samsung Galaxy S6 und das S6 Edge sind vor der SSL-Sicherheitslücke Freak nicht gefeit. Eine Untersuchung mit den Sicherheitstests von Qualys hat nach einem Bericht von ZDNet ergeben, dass bei Galaxy Note Edge sogar noch die 2014 entdeckte Poodle-Schwachstelle bei SSL-Verbindungen ungepatcht ist.

Samsung Galaxy S6 Edge

Bild 1 von 42

Samsung Galaxy S6 (Edge)

Samsungs Galaxy S6 und das S6 Edge sind mit Android 5.0.2 Lollipop ausgerüstet. Für diese Android-Version gibt es eigentlich eine von Google aktualisierte WebView-Komponente, die über den Play Store erhältlich ist. Sie schließt die Freak-Lücke. Das Problem ist nur: Die beiden High-End-Smartphones von Samsung sind dazu nicht kompatibel.

Vermutlich nutzt Samsung eine Eigenentwicklung dieser Komponente in Verbindung mit dem integrierten Browser, der auf Chrome 38 basiert. Wie ein weiterer Test mit dem LG G Flex 2 zeigt, verwendet auch LG für ihren integrierten Browser nicht WebView. Zwar lässt sich die aktualisierte Variante aus dem Play Store installieren, die Lücke besteht aber weiterhin. Auch beim LG G3 ist dies der Fall.
(Bild: ZDNet.de)
Für das Galaxy Note Edge steht noch eine Aktualisierung auf Android 5.0 aus, sodass WebView gar nicht installiert werden kann, da es bisher nicht zu Android 4.4.4 kompatibel ist. Und selbst wenn Samsung das Lollipop-Update für das Galaxy Note Edge ausliefert, steht zu befürchten, dass das Phablet wie die S6-Modelle dazu nicht kompatibel ist.

Die Beispiele zeigen, dass für manche Smartphone-Hersteller das Schließen von Sicherheitslücken nicht von großer Bedeutung ist. Neben Samsung und LG gehört leider auch Microsoft zu dieser Gruppe. Auch für Windows Phone gibt es noch keinen Patch. Hingegen haben Apple, Blackberry und Google kurz nach Bekanntwerden der Lücke entsprechende Updates für ihre Geräte bereitgestellt.

Sofern ein Smartphone noch von der Freak-Lücke betroffen ist, was sich sehr einfach über den SSL-Client-Test von Sicherheitsanbieter Qualys überprüfen lässt, sollten Anwender einen sicheren alternativen Browser wie Chrome oder Firefox nutzen. Leider ist dadurch die Gefahr unter Android nicht gänzlich gebannt. Sehr viele Anwendungen nutzen zur Darstellung von Webinhalten die in Android integrierte WebView-Komponente. Die meisten Apps, die sich über Einblendung von Werbung finanzieren, verwenden diese beispielsweise. WebView basiert seit Android 4.4 auf Chrome und kann prinzipiell als eigenständige Applikation über den Google Play Store aktualisiert werden. Derzeit steht sie allerdings nur für Android 5.0 zur Verfügung. Dadurch sind beispielsweise alternative Browser, die WebView nutzen, automatisch geschützt oder eben nicht – je nachdem, ob Google WebView mit Sicherheitsaktualisierungen absichert. Die Beispiele Samsung und LG zeigen allerdings, dass deren integrierte Browser offenbar nicht auf Googles WebView basieren, sondern auf einer eigenen Entwicklung. In diesem Fall müssten die Hersteller selbst die Freak-Schwachstelle schließen.

Nutzer von Android 4.3 sollten zudem die Nutzung von werbefinanzierten Apps meiden. Einige Anwendungen wie Facebook erlauben in den Einstellungen Links in einem externen Browser zu öffnen. Diese Option sollte aktiviert werden, sofern Firefox oder ein anderer sicherer Browser als Standard festgelegt ist. Alternativ sollte man Dienste deren App diese Option nicht bietet, per Browser nutzen.

Freak ist eine mehr als zehn Jahre alte kryptografische Schwachstelle. Entdeckt hat sie ein Forscherteam in Paris unter Leitung von Karthikeyan Bhargavan, Computerwissenschaftler an der staatlichen französischen Forschungseinrichtung Inria. Der Name Freak steht für “Factoring Attack on RSA-Export Keys”. Er bezieht sich auf eine Richtlinie der US-Regierung, die früher den Export starker Verschlüsselungstechnologien verbot und “schwächere” Export-Produkte für Kunden in anderen Ländern vorschrieb. Die Einschränkungen seien allerdings Ende der Neunzigerjahre aufgehoben worden, die schwache Verschlüsselung findet sich aber immer noch in zahlreichen Anwendungen, die zum Teil unbemerkt auch ihren Weg zurück in die USA gefunden hätten, schrieben die Pariser Forscher. Es war ihnen nach eigenen Angaben gelungen, Browser wie Safari für iOS und Chrome für Android dazu zu zwingen, die schwächere Verschlüsselung zu nutzen. Sie hätten sie anschließend innerhalb weniger Stunden geknackt und seien dann in der Lage gewesen, persönliche Informationen und Passwörter abzufangen.

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Tags :Quellen:Mit Material von von Kai Schmerer, ZDNet.de

Hinterlasse eine Antwort

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *

Advertising