PDF 941kB - Hochschule Ulm

Sicherheitsschwachstelle: Social Engineering
gebeten, ob er die App oder die URL im Internet Explorer öffnen möchte oder im Windows
Phone Store nach einer passenden App suchen möchte. Unter Android 4.3 wird der
Anwender grundsätzlich nicht gefragt, was ein Sicherheitsproblem darstellt. Es wird erst
dann gefragt, sobald mehr als eine App ein URI-Schema registriert, um den Anwender
auswählen zu lassen, welche App geöffnet werden soll. Tests im Labor ergaben jedoch,
dass offensichtlich nicht immer gefragt wird, beispielsweise nach der Installation des
Browsers Opera in der Version 15.0.1162.61541 aus dem Google Play Store. Empfängt
das Smartphone über NFC eine URL, so wird ohne nachzufragen Opera geöffnet ohne
dem Anwender die Wahl zu lassen, ob er nicht die URL eventuell in Googles eigenem
Browser Chrome in der Version 27.0.1453.111 öffnen möchte. Es scheint also möglich zu
sein, dass Apps ein URI-Schema für sich beanspruchen können, obwohl alternative Apps
installiert sind, die ebenfalls mit dem URI-Schema umgehen können. Inwiefern das
automatische Öffnen von Apps über NFC ein Sicherheitsrisiko darstellt, wird in zwei
Beispielen beschrieben.
Im ersten Beispiel zeigt Collin Mulliner in [Mul08], S.60-61, wie ein einfacher Tag
mit einem neuen Tag des Angreifers ” überklebt“ werden kann. Eine Möglichkeit ist
mit einem sog. RFID-Zapper durch zu hohe Spannung ein Bauelement in der Schaltung
des RFID-Chips im Tag durchbrennen zu lassen. Eine andere Möglichkeit ist jedoch, den
originalen Tag mit Alufolie abzuschirmen und mit dem Tag des Angreifers zu überkleben.
Ein typisches Ziel von Angreifern ist es Tags von Dienstanbietern zu überkleben, da
Anwender dem Dienstanbieter vertrauen und nichts Böses beim Tag vermuten.
Im nächsten Beispiel kann ein Angreifer einen Tag mit einer URL zu einer Webseite
mit Schadcode unter einem Tisch verstecken. Sobald ein NFC Gerät mit entsperrtem
Bildschirm sich über dem Tag befindet, wird der Tag ausgelesen und je nach Smartphone
Betriebssystem wird die Webseite des Angreifers, die Schadcode enthält, automatisch
geladen. Tests im Labor mit den Geräten Nokia Lumia 925, LG Nexus 4 und ASUS Nexus
7 ergaben, dass der Durchmesser eines Holztisches zwischen 2,0 und 2,5cm betragen kann.
Wie in Kapitel 3.1 festgestellt wurde, beträgt eine mögliche Distanz zwischen einem Tag
und dem Smartphone etwa 2,5 bis 3,0cm und ist demnach auch hardwareabhängig. Mit
dem Holztisch zwischen dem Tag und dem Gerät beeinflusst ein weiterer Parameter die
mögliche Distanz.
Die Beispiele unterscheiden sich in dem Punkt, dass im ersten Beispiel der Anwender
bewusst den Tag mit seinem Smartphone ausliest, da der Anwender dem Dienstanbieter
vertraut. Im zweiten Beispiel aber verläuft alles automatisch, ohne dass der Anwender
das bewusst angestoßen hat. Wie im zweiten Beispiel schon genannt wurde, besteht
die Gefahr bei Webseiten, die Schadcode enthalten. Sicherheitsschwachstellen können
dadurch in den Browsern ausgenutzt werden um das Smartphone Betriebssystem zu
kompromittieren. Im Gegensatz zu Android 4.3 fragt Windows Phone 8 den Anwender,
ob dieser die Webseite öffnen möchte. Dabei wird dem Anwender nur der Hostname und
die Top-Level-Domain (TLD) angezeigt, wie z.B. hs-ulm.de.
30