News Online-Personalausweis: Identitätsdiebstahl durch Schwachstelle im eID-Verfahren möglich

[Unnu]

Der "modified eID Kernel" dürfte sich meiner Meinung nach auf die manipulierte App beziehen.

Weiter unten führt er/sie aus, dass eine beliebige App genutzt werden kann.
Die muss nur diesen Kernel enthalten. Und wenn die das plausibel einbettet, bspw. Glückspiel, dann ist die Chance dass das Teil nicht gefunden wird, eher groß.
Du hast keine Chance.

 

[Thomrock]

Das ist doch keine neue Sicherheitslücke. Ist ein bekanntes Risiko wenn für die Eingabe der PIN eine App bzw. Software genutzt wird was auch andere Apps bzw. Software zutreffen kann. Abhilfe schafft ein Cardreader mit interner Tastatur für die PIN.

 

[Reglohln]

Ich verstehe nicht, weshalb diese "Lücke" gemeldet wird. Es dürfte wohl nahezu jedes System aushebelbar sein, wenn manipulierte Originalsoftware den Weg auf's Gerät findet. Daher kann ich die Aussage des BSI vollkommen nachvollziehen.

Warum die Aluhutfraktion das direkt wieder zur Stimmungsmache nutzt und Likes generiert, verstehe wer will. Populismus in Reinform halt.

 

[DerKonfigurator]

eID ist ein Segen und habe ich oft schon genutzt. Auf dieses Fuchteln des Persos vor die Handykamera vor einem unhöflichen Mitarbeiter, der einem im gebrochenen Deutsch anschreit kann ich verzichten. Vom "Datenschutz" dieser Klitschen mal zu schweigen. Ich wähle sogar explizit die Dienste aus, die auch eID anbieten. Das ist auf jeden Fall sicherer als das andere.

 

[Termy]

Weiter unten führt er/sie aus, dass eine beliebige App genutzt werden kann.

Ich bin mir SEHR sicher, dass du das falsch verstehst.
Ansonsten bitte gerne mal die Stelle zitieren.

The next screen shows the triggering of the “AusweisApp”. It is important to note that this is not the legitimate AusweisApp downloaded just a minute ago, but an app owned by the author, including a modified eID kernel. The victim is now within the malicious app, performing an eID identification. This eID process takes a bit longer than normal.

Das ist in meinen Augen sehr deutlich und entspricht meiner Auffassung bzw widerspricht deiner Behauptung.

Und daher ist die Aussage "Du hast keine Chance" schlichtweg komplett falsch, man muss nur einfachste Best Practices und etwas Sorgfalt walten lassen!

Aufwand dafür scheinbar 0, denn benutzt du eID nach einer Installation einer präparierten App aus dem Appstore auf dem smartphone, wird ALLES Notwendige geloggt

Hört doch BITTE auf, solche reißerischen Falschaussagen zu verbreiten!
Wenn du sauber die AusweisApp verwendest, dann wird eben NICHT alles geloggt, sondern du musst die präparierte App nutzen UND der Angreifer muss GLEICHZEITIG dann die Auth an anderer Stelle nutzen.
Sprich er kann es nicht beliebig oft nutzen, nachdem er dich einmal "erwischt" hat.

Ich hätte erwartet das man dann eine Auswahl treffen muss,

Jap, so kenne ich es auch. Man kann dann "immer" oder "nur jetzt" auswählen, aber zumindest einmal muss man imho die Auswahl treffen, wenn eine weitere App sich für die eid:// deeplinks registriert.

 

[n8mahr]

bevor du mich auslachst und dadurch nur selbst deine eingeschränkte weltsicht zeigst:
dank der fingerabdruck- und faceID geschichte sind die nutzer nicht mehr gezwungen, jedes mal ein sicheres passwort einzugeben oder einen "passwortmanager" einzurichten. du glaubst doch nicht, dass die mehrzahl der "handynutzer" dazu in der lage ist? da wurde dann 123 als passwort für alles verwendet, hauptsache, das nervt nicht. daher bleibe ich dabei: fingerabdruck/faceID ist ein sicherheitsgewinn; ob DU das glaubst, oder nicht.

 

[Thomrock]

fingerabdruck/faceID ist ein sicherheitsgewinn; ob DU das glaubst, oder nicht.

Ja ist ein Sicherheitsgewinn im Vergleich mit einer schwachen Pin. Aber auch Fingerabdruck und FaceID läuft in Software und kann manipuliert werden.

 

[n8mahr]

Smartphones sind unsicherer als Windows PCs und da heutzutage die meisten Menschen ihre "wichtigen" Daten eher auf Smartphones als auf PCs speichern, ist das Risiko entsprechend größer.

hat ein windows-pc in der regel automatisch verschlüsselte partitionen? hat der immer einen fingerabdruck-scanner dabei, um komplexe passwörter zu ersetzen? nein, hat der nicht.
dazu bist du bei windows standardmäßig admin, bei android / iOS aber niemals "root".
und das installieren von "apps" bzw programmen "aus dem internet" ist da die regel und nicht die ausnahme.

aus diesen gründen tendiere ich nachwievor dazu, das smartphone als sicherer zu bezeichnen.

Ergänzung (17. Februar 2024)

Ja ist ein Sicherheitsgewinn im Vergleich mit einer schwachen Pin. Aber auch Fingerabdruck und FaceID läuft in Software und kann manipuliert werden.

klar, aber die anzahl der leute, die 123 als passwort verwenden dürfte höher sein, als die anzahl derer, die in der lage sind, faceID zu manipulieren.

 

[rzweinig]

wer lädt denn bitte banking oder die ausweis app aus dem nicht offiziellen appstore?

es geht darum das es ausreicht hier aus dem OFFIZIELLEM Store eine App zu laden das kann "solitär" "Horoskop" oder sonst was sein! in der App ist dann eine Abfrage der ECHTEN APP.

 

[Termy]

Wie oft denn noch?!
NEIN, das reicht NICHT!

Bitte bitte lest euch den Blogartikel doch wenigstens mal durch bevor ihr solchen Stuss erzählt.

 

[Boimler]

Wer eine Horoskop-App betreibt, ist am Ende einer Kette vieler falscher Entscheidungen angekommen

 

[rzweinig]

manipulierte Originalsoftware den Weg auf's Gerät findet

es geht ja nicht um manipulierte original sondern 3. App die hier die Daten auch mitlesen darf weil davor nicht geschützt wird.

 

[Reglohln]

sondern 3. App

Evtl. war das hier schon Thema im Verlauf der Kommentarspalte. Habe mir ehrlich gesagt nicht alle Seiten durchgelesen.

Ich lese das im Artikel halt anders:

Um den Angriff zu simulieren, passte der Hacker den Code der offiziellen Ausweis-App an, der öffentlich zugänglich ist.

Ist der Artikel hier ungenau oder falsch?

 

[Termy]

Ist der Artikel hier ungenau oder falsch?

Ungenau bzw missverständlich.
Es muss in einer modifizierten App der komplette Authentifizierungsprozess durchgeführt werden, diese modifizierte App kann dann diese Auth ausleiten und dem Angreifer auf einem anderen Gerät ermöglichen (zum gleichen Zeitpunkt!), eine andere Auth im Namen des Opfers durchzuführen.

 

[mae1cum77]

Ich lese aus allem auch heraus, dass der Angriff direkt über die manipulierte App ausgeführt wird. Im Hintergrund zu sein, reicht nicht aus die Daten der echten App abzufangen. So funktioniert das einfach nicht.

 

[Reglohln]

@Termy Hmm, das passt dann ja aber auch wieder nicht mit rzweinigs Aussage zusammen (sofern ich sie richtig verstanden habe), dass eine andere App parallel läuft und Eingaben Abfängt, weil die Ausweis-App nicht korrekt "abgeriegelt" ist.

Klingt für mich weiterhin nach "Ja, möglich ist vieles, aber es ist für mich weiterhin keine Sicherheitslücke im eigentlichen Sinne.".

 

[DickerPirat]

@n8mahr
Einen Windows-PC trägt man nicht immer bei sich. Man muss schon in das Haus einbrechen und den PC stehlen. Ein Smartphone kann man jederzeit verlieren oder gestohlen bekommen. Und wie bereits bekannt ist, ist die Verschlüsselung irrelevant, sobald man physischen Zugriff erlangt. Und im Gegensatz zum PC kann man die Eingabe des PIN erzwingen und jederzeit beobachten.

Und ja, auch Windows hat einen Fingerabdruckscanner oder Gesichtsscanner. Gesichtsscanner scheinen aktueller beliebter als Fingerabdrücke zu sein, besonders bei iPhone Nutzern. Diese sind aber völlig egal, da man nach ein paar Fehlversuchen direkt wieder zur meist unsicheren kurzen PIN gelangt.

Und wie bereits erwähnt, lohnt sich ein Windows-PC weniger, da die wertvollen Daten meist auf den Smartphones gespeichert sind. Und die Diebstähle von Smartphones sind auch tausende Male höher als bei PCs, eben weil es so viel einfacher ist.
Und solange 2FA freiwillig bzw manuell eingerichtet werden muss, bleiben sämtliche Apps auf dem Smartphone entsperrt. Besonders die E-Mail Apps, bei denen man sich ein neues Passwort für jede App einrichten kann.

Bei 600 Millionen Downloads, nur 2023, spielt das alles aber auch keine Rolle, da man sich nicht den Aufwand machen muss, physischen Zugriff zu erlangen und vorher die PIN auszuspionieren. Beim Smartphone entspannt man sich, während die Nutzer die Malware freiwillig herunterladen.

Man darf nicht vergessen, dass die meisten Nutzer immer den schnellsten und einfachsten Weg gehen, was ein maximal unsicheres Gerät zur Folge hat.
Und obwohl ich kein Dieb bin, kenne ich von mehreren Freunden, Familienmitgliedern und Kollegen die PINs oder Passwörter... "wir" haben uns sogar einige Male Scherze erlaubt, indem wir das Smartphone entsperrt und ein anderes Hintergrundbild eingerichtet haben.
Das ist die Realität! Das vergessen Foren-Nutzer in Computerforen sehr gerne.

 

[mae1cum77]

Klingt für mich weiterhin nach

Der Nutzer muß verleitet werden die manipulierte App für die Authentifizierung zu nutzen, sonst geht es nicht.

Ist durchaus ein Problem, dass diese App den Prozess komplett übernehmen und damit aushebeln kann.

ALLERDINGS: wird das von einigen so ausgelegt als wäre eine MITM-artige Atacke auf den Prozess über eine App, die nur im Hintergrund ist, möglich. Das wäre der wortwörtliche GAU! Ist hier aber nicht der Fall.

 

[Reglohln]

Ist durchaus ein Problem, dass diese App den Prozess komplett übernehmen und damit aushebeln kann.

Aber das gilt dann meiner Meinung nach ja für so ziemlich jede Software, deren Quellcode frei zugänglich ist.

 

[Termy]

das passt dann ja aber auch wieder nicht mit rzweinigs Aussage zusammen

Das liegt einfach daran, dass rzweinig scheinbar den Blogpost gar nicht erst gelesen hat bevor er hier solche (Falsch-)Aussagen wieder und wieder und wieder wiederholt. 💩

Das ist die Realität! Das vergessen Foren-Nutzer in Computerforen sehr gerne.

Aber die Konsequenz kann doch nicht sein, dass man diese Stümpereien normalisiert und alle Eventualitäten daran ausrichtet?
Es gibt auch genügend Autofahrer, die von Schulterblick oder Blinken noch nichts gehört haben - deswegen passen wir aber doch die Gesetze bzgl Sorgfaltspflicht nicht an und verlangen von den Autoherstellern, dass das Auto nur die Spur wechselt, wenn der Fahrer tatsächlich einen Schulterblick gemacht hat.