Android 4.3: VPN-Sicherheitslücke entdeckt

Den Sicherheitsforschern zufolge sind Android-4.3-Geräte diverser Hersteller betroffen. Die Schadprogramme können Datenverkehr an einer VPN-Verbindung vorbeileiten und unverschlüsselte Daten lassen sich dann abfangen und im Klartext anzeigen.

Die Schwachstelle erlaubt es, unverschlüsselten Datenverkehr, der über eine aktive VPN-Verbindung übertragen wird, abzufangen. Mitarbeiter des Cyber Security Labs der Ben Gurion University haben diesen Fehler in der Implementierung virtueller privater Netzwerke (VPN) in Android 4.3 entdeckt.

Android 4.3 Jelly Bean

Den Forschern zufolge kann eine schädliche App die VPN-Verbindung auf Jelly-Bean-Geräten umgehen und jegliche Kommunikation an eine andere Netzwerkadresse weiterleiten. In einem Video zeigen sie, wie eine solche Anwendung die Betreffzeile einer E-Mail abfängt, obwohl eine VPN-Verbindung etabliert war. Die gesammelten Daten lägen dann im Klartext vor, obwohl sie eigentlich durch den VPN-Tunnel geschützt sein sollten, so die Forscher.

Eine schädliche Anwendung benötige für das Abfangen des VPN-Datenverkehrs nicht einmal Root-Rechte, heißt es in dem Blogeintrag. Die Umleitung erfolge im Hintergrund und lasse den Nutzer in dem Glauben, seine Daten seien „verschlüsselt und sicher“.

Schon Ende Dezember hatten die Forscher eine Lücke in Samsungs Security-Plattform Knox gemeldet. Auch hier soll es mithilfe eines Schadprogramms möglich sein, trotz Verschlüsselung E-Mails mitzulesen und Datenkommunikation aufzuzeichnen.

In der vergangenen Woche bestritten Google und Samsung die Datenlücke. Ihnen zufolge nutzten die Forscher eine legitime Netzwerkfunktion von Android auf eine nicht vorgesehene Weise. Samsung empfahl Nutzern zudem, für jegliche unverschlüsselte Datenkommunikation die in Android integrierte VPN-Funktion zu verwenden.

Die Forscher haben Google nach eigenen Angaben über die fehlerhafte VPN-Implementierung informiert. Sie hätten aber bisher noch keine Antwort erhalten. Zudem wiesen sie darauf hin, dass der Exploit auf Android-4.3-Geräten verschiedener Hersteller funktioniere. Per SSL/TLS verschlüsselter Datenverkehr könne zwar auch abgefangen, aber nicht entschlüsselt werden.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de

Anja Schmoll-Trautmann
Autor: Anja Schmoll-Trautmann
Redakteurin
Anja Schmoll-Trautmann Anja Schmoll-Trautmann Anja Schmoll-Trautmann

Neueste Kommentare 

Noch keine Kommentare zu Android 4.3: VPN-Sicherheitslücke entdeckt

Schreib einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *