Diese Woche findet in Las Vegas die Black Hat-Konferenz statt, bei der sich Hacker, Sicherheitsexperten und Vertreter großer Unternehmen treffen, um alles rund um die Informationssicherheit zu diskutieren. Wenn Sie heute die Neuigkeiten der Konferenz verfolgen, sind Sie möglicherweise auf Berichte über eine neue Sicherheitslücke in Android (und NFC-fähigen Meego-Telefonen) gestoßen, die einen böswilligen Zugriff ermöglichen könnte NFC (Near-Field-Communication)-Tag, um Malware direkt auf Ihr Telefon zu übertragen. Klingt erschreckend, oder? Jetzt können Hacker Ihr Smartphone übernehmen, ohne dass Sie etwas tun müssen. Aber wie immer bei solchen Sicherheitsproblemen ist es nicht so einfach, wie es scheint. Und dieser NFC-„Hack“, so sexy und technisch beeindruckend er auch ist, ist es nicht Wirklich etwas, das für normale Smartphone-Benutzer besonders beängstigend ist.
Lesen Sie weiter, um herauszufinden, warum.
Zunächst einmal sollten wir kurz erklären, was NFC eigentlich ist. Es steht für Nahfeldkommunikation und ist eine drahtlose Kommunikationstechnologie mit sehr kurzer Reichweite, die für die sofortige Übertragung kleiner Datenmengen über sehr kurze Entfernungen entwickelt wurde. Auf Smartphones können damit beispielsweise URLs von einem Mobilteil auf ein anderes übertragen werden Alternativ zum Scannen von NFC-Tags, die selbst kleine Datenmengen enthalten können, die das Telefon verarbeiten kann dann handeln. Es kann auch zur Erleichterung von Zahlungen verwendet werden, beispielsweise über Google Wallet. (Lesen Sie mehr in unserem Android A-Z)
Mehrere Quellen berichten, dass der Sicherheitsforscher Charlie Miller verschiedene Hacking-Techniken demonstriert hat das Nexus S (auf Gingerbread), das Galaxy Nexus (auf Ice Cream Sandwich) und das Nokia N9 mit Meego-Antrieb bei Black Hat dabei Woche. Viele der gruseligsten Exploits wurden auf dem N9 gefunden, aber wir konzentrieren uns hier auf Android, denn das ist es, was wir tun. (Und darauf konzentrieren sich auch viele der heutigen Schlagzeilen.)
Beginnend mit dem High-End-Gerät demonstrierte Miller auf dem Galaxy Nexus, dass NFC-fähige Android-Telefone funktionieren Ice Cream Sandwich oder höher verwenden Android Beam, eine Funktion, die einige (aber nicht alle) aktiviert haben Standard. Mit Beam können Benutzer unter anderem URLs von einem anderen Telefon oder NFC-Tag direkt in den Webbrowser des Geräts laden. Das bedeutet, dass es mit einem bösartigen NFC-Tag möglich ist, einen unauffälligen Benutzer direkt auf eine bösartige Webseite zu leiten. Damit das funktioniert, muss sich das Tag jedoch innerhalb der sehr kurzen Reichweite befinden, in der NFC-Funkgeräte funktionieren können – im Grunde genommen so weit, dass es die Rückseite des Geräts nicht berührt. Android Beam öffnet markierte URLs automatisch und ohne Aufforderung. Es handelt sich um ein berechtigtes Sicherheitsrisiko, aber nicht um einen Exploit im herkömmlichen Sinne, denn um überhaupt etwas unternehmen zu können, muss man eine Schwachstelle im Webbrowser seiner Wahl finden.
Wenn Sie den integrierten Android-Browser unter Android 4.0.1 verwenden, liegt ein solcher Fehler vor, der es einer speziell entwickelten Webseite ermöglichen könnte, Code auf dem Gerät auszuführen. Auch hier handelt es sich um ein völlig berechtigtes Sicherheitsproblem, aber die Verwendung von NFC als Übermittlungsmethode für diese Art von Exploit ist alles andere als praktikabel. Ganz zu schweigen davon, dass Android 4.0.1 nur auf dem Galaxy Nexus veröffentlicht wurde, einem Telefon, das inzwischen je nach Mobilfunkanbieter auf Android 4.0.4 oder 4.1.1 aktualisiert wurde.
Miller demonstrierte auch, wie er Fehler in der Speicherverwaltung von Android 2.3 ausnutzen konnte, um ein Gingerbread-Gerät mit NFC-Unterstützung dazu zu bringen, Code mithilfe eines bösartigen Tags auszuführen. Dies gibt einem Angreifer möglicherweise die Möglichkeit, mit nur einem die vollständige Kontrolle über das Gerät zu übernehmen NFC-Tag, aber wir sollten auf einige Faktoren hinweisen, die dies zu einem weniger schwerwiegenden Problem machen, als Sie es möglicherweise tun denken. Sicher, Android 2.3 Gingerbread ist immer noch die am häufigsten verwendete Android-Version und viele neue Android-Geräte werden mit NFC-Unterstützung ausgeliefert, aber es gibt kaum Überschneidungen zwischen den beiden. Das Nexus S war das erste Android-Handy, das NFC unterstützte, aber inzwischen wurde es auf Jelly Bean aktualisiert. Andere NFC-unterstützende Geräte wurden mit 2.3 ausgeliefert, aber die meisten Mainstream-Android-Telefone mit NFC laufen mindestens in Version 4.0.3, die nicht anfällig für die in dieser Demo verwendeten Exploits ist. Tatsächlich fällt uns kein einziges Gingerbread-Telefon mit NFC ein, das noch nicht auf mindestens Android 4.0.3 aktualisiert wurde.
Es gibt also sicherlich Sicherheitslücken, aber derzeit sind die einzigen schwerwiegenden Schwachstellen auf einen sehr kleinen Teil der Android-Bevölkerung mit NFC beschränkt. Und eine ganz bestimmte Betriebssystemversion. Darüber hinaus muss das Telefon eingeschaltet sein, der NFC-Funk muss aktiviert sein und der Benutzer muss ausreichend abgelenkt sein, um den verräterischen NFC-Ton oder die NFC-Vibration nicht zu bemerken.
Letztendlich wird jeder Exploit, der physischen Zugriff auf das gehackte Gerät beinhaltet, für die wirklichen Bösewichte nur von begrenztem Nutzen sein. Die Kontrolle über ein Smartphone über NFC in der realen Welt zu übernehmen, wird für potenzielle Täter gefährlich und unpraktisch sein, selbst nachdem die bei Black Hat gezeigten Methoden publik gemacht wurden. Wenn ich mit böswilliger Absicht über einen längeren Zeitraum hinweg Zugriff auf Ihr eingeschaltetes Telefon habe, ist NFC nicht meine erste Anlaufstelle. Die Heldentaten, die Charlie Miller diese Woche vorführte, sind genial und unbestreitbar cool, darüber zu lesen. Aber es ist leicht, die tatsächliche Gefahr, die sie darstellen, zu übertreiben, insbesondere wenn die Mainstream-Berichterstattung über diese Hacks nur wenig über wichtige technische Details berichtet.
Fazit: Wenn Sie von Zeit zu Zeit gerne NFC auf Ihrem Android-Telefon verwenden, können Sie dies auch weiterhin tun.
Mehr: Arc Technica