24.07.2018
Verschlüsselung knackbar
Bluetooth-Lücke ermöglicht Ausspähen fremder Übertragungen
Autor: Andreas Fischer
Media Whalestock / shutterstock.com
Ein Fehler bei der Verschlüsselung in Bluetooth-Verbindungen kann nach Angaben der Carnegie Mellon University zum Ausspähen und Manipulieren übertragener Daten führen.
In dem vor allem für Nahverbindungen genutzten Funkstandard Bluetooth ist durch Wissenschaftler der Carnegie Mellin University ein neuer Bug gefunden worden, der im schlimmsten Fall dazu führen kann, dass Angreifer übertragene Daten ausspähen und verändern können. Bluetooth wird mittlerweile für viele Arten von Verbindungen genutzt, sei es für das Verbinden von Maus und Tastatur mit einem PC, das Ankoppeln eines drahtlosen Kopfhörers oder für die Datenübertragung zwischen zum Beispiel zwei Smartphones.
Fehlerhafte Validierung der Verschlüsselung
Eigentlich werden die dabei übertragenen Informationen automatisch verschlüsselt. Wie die Forscher aber nachweisen konnten, findet sich dabei jedoch in vielen Firmwares und Treibern eine fehlerhafte Implementierung der zur Verschlüsselung genutzten elliptischen Kurven. Zwei Geräte, die kommunizieren wollen, müssen sich zunächst über die dabei zu verwendenden Schlüssel verständigen, bevor sie Daten sicher miteinander austauschen können. Fehler in der Umsetzung der dabei genutzten Validierung können aber laut Carnegie Mellon University dazu führen, dass sich ein Angreifer Zugriff auf einen der privaten Schlüssel verschaffen kann.
Damit soll es möglich sein, dass Hacker unbemerkt einen ungültigen öffentlichen Schlüssel in die Kommunikation einfügen, um so alle übertragenen Daten abfangen und entschlüsseln zu können. Auch das Hinzufügen eigener, gefälschter Nachrichten in die Kommunikation sei möglich, schreiben die Forscher in einem Bericht, der vom Computer Emergency Response Team (Cert) der amerikanischen Universität veröffentlicht wurde.
Betroffen sollen unter anderem Produkte von Apple, Broadcom, Intel und Qualcomm sein. Microsoft-gehört nicht dazu. Noch unklar sei, wie weit Systeme mit Android sowie Linux gefährdet sind. Zum Schließen der Lücke werden Updates der jeweiligen Hersteller benötigt. Sie sollen bereits in den kommenden Wochen veröffentlicht werden.
Eine ganz ähnliche Lücke fanden Forscher des IT-Sicherheitsexperten Armis auch schon im Herbst des vergangenen Jahres. Das seinerzeit identifizierte Leck betraf unzählige Geräte von nahezu allen Herstellern. In diesem Fall war es Angreifern ohne vorherige Kopplung mit den betroffenen Geräten möglich, eine Man-in-the-Middle-Attacke zu starten oder beliebigen Code auf den Geräten auszuführen.
WebGPU
Sicherheitslücke in Browser-Schnittstelle erlaubt Rechnerzugriff via Grafikkarte
Forschende der TU Graz waren über die Browser-Schnittstelle WebGPU mit drei verschiedenen Seitenkanal-Angriffen auf Grafikkarten erfolgreich. Die Angriffe gingen schnell genug, um bei normalem Surfverhalten zu gelingen.
>>
World Cybercrime Index
Cybercrime konzentriert sich auf sechs Länder
China, Russland, Ukraine, USA, Rumänien und Nigeria sind laut World Cybercrime Index führend. Sie gehören zu den Top 10 in jeder der fünf untersuchten Kategorien.
>>
Termine
SecDays - Securepoint geht auf Tour
Der Sicherheitsspezialist Securepoint erwartet auf seiner Roadshow rund 1.000 Systemhäuser und Fachhändler. Unter dem Motto „Horizon“ erfahren diese Neues über die Channel- und Produktstrategie des Herstellers.
>>
In-Ear-Kopfhörer
Fairphone bringt nächste Generation der Fairbuds
Die neuen kabellosen In-Ear-Kopfhörer von Fairphone sollen dank austauschbarer Komponenten besonders langlebig sein und Premium-Sound bieten.
>>