Sicherheit

Unsichere Apps: Millionen Kundendaten gefährdet

Posted on Updated on

 

Unsichere Apps

Noch immer gehen App-Entwickler fahrlässig mit Benutzerdaten um. Eine Studie des Fraunhofer SIT ergab, dass mehrere Millionen Datensätze in der Cloud gefährdet sind – wegen eines zu laxen Umgangs mit der Authentifizierung.

Entwickler legen immer noch bevorzugt geheime Schlüssel und Token für den Zugang zum Cloudspeicher ungeschützt in ihren Apps ab. Mit nur wenig Aufwand lassen sie sich auslesen. Damit könnten sich Kriminelle Zugang zu Datenbanken etwa in den Amazon Web Services (AWS) oder bei Facebook verschaffen. Bis zu 56 Millionen Datensätze seien so gefährdet, schätzt das Fraunhofer Institut für Sicherheit in der Informationstechnik (SIT).

Zusammen mit der Technischen Universität Darmstadt und Experten bei Intel untersuchte das Fraunhofer SIT in einem automatisierten Verfahren etwa zwei Millionen Apps in Googles Play Store und Apples App Store. In vielen sei die einfachste Form der Authentifizierung für den Zugang zu Cloud-Anbietern umgesetzt. Den Entwicklern sei offenbar nicht bewusst, wie unzureichend die von den Apps gesammelten Daten damit geschützt seien.

Uneingeschränkter Zugang zu Kundendaten

Bei ihren Versuchen konnten die Wissenschaftler nicht nur höchst persönliche Daten auslesen, etwa wer mit wem bei Facebook befreundet ist oder gesundheitliche Informationen einiger App-Benutzer. Mit Hilfe der eigentlich geheimen Schlüssel hätten sie komplette Benutzerdatenbanken auslesen oder sogar manipulieren können.

Der Bericht kommt zu dem Schluss, dass Anwender sich kaum aktiv schützen können. Sie sollten daher vorsichtig sein, welcher App sie persönliche Informationen anvertrauen. Entwickler hingegen sollten sich über die Sicherheitsvorkehrungen der Cloud-Anbieter besser informieren und restriktivere Zugangskontrollen in ihren Apps implementieren. Die Forscher haben bereits einige Entwickler über besonders kritische Schwachstellen informiert.

Cloud-Anbieter müssen handeln

Auch mit den Anbietern der Cloud-Dienste stehe das Fraunhofer SIT in Kontakt. Sowohl Amazon als auch Facebooks Parse.com, Google und Apple wurden über den Befund informiert. Den Cloud-Anbietern obliege ebenfalls die Verantwortung, die App-Entwickler dazu zu bringen, nicht nur die schwächsten Authentifizierungen zu nutzen. Außerdem sollten die Cloud-Anbieter nicht bequeme, sondern möglichst sichere Standards zur Pflicht machen.

Das Problem ist nicht neu. Bereits im Juni 2014 machten Forscher an der New Yorker Columbia-Universität eine ähnliche Untersuchung und legten dabei Tausende geheime Zugangs-Token für Amazons Web Services offen. Die Forscher kritisierten damals, dass viele Entwickler den empfohlenen Umsetzungen bei der Programmierung der Apps nicht folgten und geheime Schlüssel direkt in den Quellcode einbetteten. Ihnen sei offenbar nicht bewusst, wie einfach Quellcode zurückübersetzt werden könne. Im März 2014 hatten Forscher Zehntausende AWS-Zugangsdaten auf Github entdeckt.

Quelle:

http://www.golem.de/news

Unsichere Apps: Millionen Kundendaten gefährdet

Posted on Updated on

 

Unsichere Apps

Noch immer gehen App-Entwickler fahrlässig mit Benutzerdaten um. Eine Studie des Fraunhofer SIT ergab, dass mehrere Millionen Datensätze in der Cloud gefährdet sind – wegen eines zu laxen Umgangs mit der Authentifizierung.

Entwickler legen immer noch bevorzugt geheime Schlüssel und Token für den Zugang zum Cloudspeicher ungeschützt in ihren Apps ab. Mit nur wenig Aufwand lassen sie sich auslesen. Damit könnten sich Kriminelle Zugang zu Datenbanken etwa in den Amazon Web Services (AWS) oder bei Facebook verschaffen. Bis zu 56 Millionen Datensätze seien so gefährdet, schätzt das Fraunhofer Institut für Sicherheit in der Informationstechnik (SIT).

Zusammen mit der Technischen Universität Darmstadt und Experten bei Intel untersuchte das Fraunhofer SIT in einem automatisierten Verfahren etwa zwei Millionen Apps in Googles Play Store und Apples App Store. In vielen sei die einfachste Form der Authentifizierung für den Zugang zu Cloud-Anbietern umgesetzt. Den Entwicklern sei offenbar nicht bewusst, wie unzureichend die von den Apps gesammelten Daten damit geschützt seien.

Uneingeschränkter Zugang zu Kundendaten

Bei ihren Versuchen konnten die Wissenschaftler nicht nur höchst persönliche Daten auslesen, etwa wer mit wem bei Facebook befreundet ist oder gesundheitliche Informationen einiger App-Benutzer. Mit Hilfe der eigentlich geheimen Schlüssel hätten sie komplette Benutzerdatenbanken auslesen oder sogar manipulieren können.

Der Bericht kommt zu dem Schluss, dass Anwender sich kaum aktiv schützen können. Sie sollten daher vorsichtig sein, welcher App sie persönliche Informationen anvertrauen. Entwickler hingegen sollten sich über die Sicherheitsvorkehrungen der Cloud-Anbieter besser informieren und restriktivere Zugangskontrollen in ihren Apps implementieren. Die Forscher haben bereits einige Entwickler über besonders kritische Schwachstellen informiert.

Cloud-Anbieter müssen handeln

Auch mit den Anbietern der Cloud-Dienste stehe das Fraunhofer SIT in Kontakt. Sowohl Amazon als auch Facebooks Parse.com, Google und Apple wurden über den Befund informiert. Den Cloud-Anbietern obliege ebenfalls die Verantwortung, die App-Entwickler dazu zu bringen, nicht nur die schwächsten Authentifizierungen zu nutzen. Außerdem sollten die Cloud-Anbieter nicht bequeme, sondern möglichst sichere Standards zur Pflicht machen.

Das Problem ist nicht neu. Bereits im Juni 2014 machten Forscher an der New Yorker Columbia-Universität eine ähnliche Untersuchung und legten dabei Tausende geheime Zugangs-Token für Amazons Web Services offen. Die Forscher kritisierten damals, dass viele Entwickler den empfohlenen Umsetzungen bei der Programmierung der Apps nicht folgten und geheime Schlüssel direkt in den Quellcode einbetteten. Ihnen sei offenbar nicht bewusst, wie einfach Quellcode zurückübersetzt werden könne. Im März 2014 hatten Forscher Zehntausende AWS-Zugangsdaten auf Github entdeckt.

Quelle:

http://www.golem.de/news

Luxushotels: Hacker greifen Geschäftsreisende über W-Lan im Hotel an

Posted on Updated on

Seit vier Jahren werden hochrangige Manager auf ihren Geschäftsreisen nach Asien von Hackern gezielt ausspioniert. Das hat die russische Sicherheitsfirma Kaspersky Lab herausgefunden und in dieser Woche einen Bericht zu der Masche namens Darkhotel veröffentlicht.

Betroffen sind Geschäftsreisende, die unterwegs in teuren Hotels wohnen. Die Angreifer suchen sich ihre Opfer gezielt aus und starten einen Angriff, nachdem die anvisierte Person eingecheckt hat und ihren Rechner aufklappt. Sobald sich der Gast mit seinem Nachnamen und der Zimmernummer ins hoteleigene W-Lan einloggt, schlagen die Kriminellen zu: Sie schicken ihrem Opfer eine Benachrichtigung, dass ein bestimmtes Programm ein Update benötigt, zum Beispiel Google Toolbar, Adobe Flash oder der Windows Messenger. Der Betroffene wird aufgefordert, sich zu diesem Zweck ein bestimmtes Programm herunterzuladen und zu installieren.

Tatsächlich handelt es sich dabei um Schadsoftware, mit deren Hilfe die Hacker alle Daten vom Laptop fischen können, auf die sie es abgesehen haben. Und sie können weitere Spähprogramme auf den infizierten Rechner laden; die Sicherheitsexperten haben zum Beispiel einen Trojaner gefunden und einen Keylogger, also eine Software, mit der die Hacker die Tastatureingaben ihrer Opfer aufzeichnen können.

Mischung aus gezielten und wahllosen Angriffen

Zu den Opfern zählen vor allem hochrangige Manager aus den USA und Asien, die offenbar gezielt für einen Angriff ausgesucht wurden. Chefs großer Unternehmen waren darunter oder Führungskräfte in Forschung und Entwicklung. Es geht bei den Angriffen also vornehmlich um Industriespionage, um das Abfischen sensibler Firmendaten und Passwörter und dem Ausspähen von Betriebsgeheimnissen. Nach dem erfolgreichen Angriff ziehen sich die Hacker zurück und hinterlassen keine Spuren, heißt es von den russischen Sicherheitsexperten.

Allerdings fallen der Darkhotel-Masche keineswegs nur Top-Manager zum Opfer: Laut Kaspersky haben die Kriminellen nicht nur Einzelpersonen angegriffen, sondern zusätzlich auch willkürlich Schadsoftware verbreitet. Dieses Vorgehen sei in der Szene durchaus üblich. Neben dem Ausspähen von Hotelgästen setzt die Darkhotel-Gruppe auch auf Phishing-Angriffe per E-Mail und Filesharing-Server-Attacken, bei denen Opfer aus vielen verschiedenen Ländern betroffen waren – auch aus Deutschland. Die Methode werde nach wie vor engesetzt, so Kaspersky.

Manipulationen von Hotel-Netzwerken sind keine Neuheit, immer wieder sind Reisende in Hotels verschiedenen Angriffen ausgeliefert. Geschäftsreisende sollten grundsätzlich jedem Netzwerk misstrauen und sich extra absichern. Gerade auf Reisen sollte man Software-Updates mit Skepsis begegnen und lieber genauer hinsehen, raten die Sicherheitsexperten.

 

Die Homepage besuchen:

http://www.spiegel.de

Luxushotels: Hacker greifen Geschäftsreisende über W-Lan im Hotel an

Posted on Updated on

Seit vier Jahren werden hochrangige Manager auf ihren Geschäftsreisen nach Asien von Hackern gezielt ausspioniert. Das hat die russische Sicherheitsfirma Kaspersky Lab herausgefunden und in dieser Woche einen Bericht zu der Masche namens Darkhotel veröffentlicht.

Betroffen sind Geschäftsreisende, die unterwegs in teuren Hotels wohnen. Die Angreifer suchen sich ihre Opfer gezielt aus und starten einen Angriff, nachdem die anvisierte Person eingecheckt hat und ihren Rechner aufklappt. Sobald sich der Gast mit seinem Nachnamen und der Zimmernummer ins hoteleigene W-Lan einloggt, schlagen die Kriminellen zu: Sie schicken ihrem Opfer eine Benachrichtigung, dass ein bestimmtes Programm ein Update benötigt, zum Beispiel Google Toolbar, Adobe Flash oder der Windows Messenger. Der Betroffene wird aufgefordert, sich zu diesem Zweck ein bestimmtes Programm herunterzuladen und zu installieren.

Tatsächlich handelt es sich dabei um Schadsoftware, mit deren Hilfe die Hacker alle Daten vom Laptop fischen können, auf die sie es abgesehen haben. Und sie können weitere Spähprogramme auf den infizierten Rechner laden; die Sicherheitsexperten haben zum Beispiel einen Trojaner gefunden und einen Keylogger, also eine Software, mit der die Hacker die Tastatureingaben ihrer Opfer aufzeichnen können.

Mischung aus gezielten und wahllosen Angriffen

Zu den Opfern zählen vor allem hochrangige Manager aus den USA und Asien, die offenbar gezielt für einen Angriff ausgesucht wurden. Chefs großer Unternehmen waren darunter oder Führungskräfte in Forschung und Entwicklung. Es geht bei den Angriffen also vornehmlich um Industriespionage, um das Abfischen sensibler Firmendaten und Passwörter und dem Ausspähen von Betriebsgeheimnissen. Nach dem erfolgreichen Angriff ziehen sich die Hacker zurück und hinterlassen keine Spuren, heißt es von den russischen Sicherheitsexperten.

Allerdings fallen der Darkhotel-Masche keineswegs nur Top-Manager zum Opfer: Laut Kaspersky haben die Kriminellen nicht nur Einzelpersonen angegriffen, sondern zusätzlich auch willkürlich Schadsoftware verbreitet. Dieses Vorgehen sei in der Szene durchaus üblich. Neben dem Ausspähen von Hotelgästen setzt die Darkhotel-Gruppe auch auf Phishing-Angriffe per E-Mail und Filesharing-Server-Attacken, bei denen Opfer aus vielen verschiedenen Ländern betroffen waren – auch aus Deutschland. Die Methode werde nach wie vor engesetzt, so Kaspersky.

Manipulationen von Hotel-Netzwerken sind keine Neuheit, immer wieder sind Reisende in Hotels verschiedenen Angriffen ausgeliefert. Geschäftsreisende sollten grundsätzlich jedem Netzwerk misstrauen und sich extra absichern. Gerade auf Reisen sollte man Software-Updates mit Skepsis begegnen und lieber genauer hinsehen, raten die Sicherheitsexperten.

 

Die Homepage besuchen:

http://www.spiegel.de