Forscher des Helmholtz-Zentrums für Informationssicherheit (CISPA) haben sechs potenzielle Sicherheitslücken in beliebten Diensten zum drahtlosen Datenaustausch gemeldet. Drei davon betreffen AirDrop von Apple, die anderen drei Quick Share, das Kommunikationssystem zwischen Android-Geräten und Windows-PCs. Nach Einschätzung der Experten hat das Problem einen systemischen Charakter, da beide Dienste im Hintergrund laufen und den Raum kontinuierlich scannen, um nahegelegene Geräte zu erkennen.

Sechs Schwachstellen in zwei Ökosystemen

Die entscheidende Eigenschaft von AirDrop und Quick Share besteht laut Forschern darin, dass für das Lesen und Verarbeiten von Daten keine vorherige Bestätigung durch den Gerätebesitzer erforderlich ist. Das bedeutet, dass die Dienste den Äther faktisch kontinuierlich „abhören', selbst wenn der Nutzer keine Dateiübertragung initiiert. Genau diese Architektur schafft eine Angriffsfläche: Ein Angreifer kann mit dem Hintergrundprozess interagieren, ohne die Zustimmung des Opfers einzuholen.

Angriffsmechanik: Hintergrundscannen und 30 Meter

Um einen Angriff gemäß den Daten von CISPA durchzuführen, genügt es einem Angreifer, einen Laptop mit einem Wi-Fi-Modul zu besitzen und sich im Abstand von 10 bis 30 Metern vom Ziel zu befinden, vorausgesetzt, in den Erkennungseinstellungen ist die Option „Für alle' gewählt. Bei Apple-Geräten treten Störungen aufgrund eines Defekts im Hintergrundprozess „sharingd' auf, der nicht nur für AirDrop, sondern auch für Continuity Camera, Handoff und andere Funktionen des Ökosystems verantwortlich ist. Durch das Senden speziell formatierter Befehle kann ein Angreifer diesen Prozess vollständig lahmlegen und einen Notfall-Abbruch der Dienste auslösen.

Umgehung von Prüfungen in Quick Share und Windows

Beim Quick Share und Windows ist die Situation nach Einschätzung der Forscher aufgrund der Möglichkeit der Umgehung integrierter Sicherheitsprüfungen komplexer. Wichtig zu betonen: Die entdeckten Schwachstellen ermöglichen Angreifern laut CISPA nicht den Diebstahl persönlicher Daten der Nutzer. Der Effekt besteht in der Störung der stabilen Funktion der Geräte und dem Ausfall der Austauschdienste, nicht in einem Datenleck. Dennoch kann ein solcher Ausfall in Unternehmens- und öffentlichen Szenarien, in denen der Dateiaustausch kritisch ist, praktische Folgen haben.

Widersprüchliche Daten

In der ursprünglichen Beschreibung der Forscher und in Materialien spezialisierter Medien (securitylab.ru) wird von sechs Schwachstellen gesprochen und davon, dass Patches erst für zwei davon veröffentlicht wurden, während die Arbeit an den restlichen vier fortgesetzt wird. Eine Reihe von Veröffentlichungen (insbesondere rbc.ua) verwendet jedoch in den Überschriften die Zahl „5 Millionen iPhone und Android im Visier von Hackern'. Eine konkrete Begründung für diese Einschätzung fehlt in den bereitgestellten Quellen, daher sollte sie als redaktionelle Extrapolation und nicht als von Herstellern oder Forschern bestätigte Tatsache betrachtet werden. Unterschiede in der Darstellung der Anzahl betroffener Geräte und im Status der Patches sind die Diskrepanzen, die die Redaktion separat herausstellt.

Was Nutzer tun sollten: Sichtbarkeitseinstellungen

Bis offizielle Updates für alle vier verbleibenden Schwachstellen veröffentlicht sind, raten Experten dazu, die Angriffsfläche eigenständig zu verringern. Die praktische Empfehlung lautet, die Sichtbarkeitseinstellungen für AirDrop und Quick Share zu ändern, den Modus „Für alle' zu deaktivieren und auf „Nur Kontakte' oder eine ähnliche eingeschränkte Option umzuschalten. Dies reduziert die Anzahl der Geräte, die der Dienst im Äther empfangen soll, und verringert die Wahrscheinlichkeit, dass der Hintergrundprozess bösartige Befehle von einer externen Quelle verarbeitet.

Status der Patches und Reaktion der Hersteller

Die Forscher von CISPA haben bereits Berichte über die gefundenen Probleme an Apple und Google übermittelt. Zum Zeitpunkt der Veröffentlichung haben die Entwickler nach vorliegenden Daten Sicherheitspatches für zwei der sechs Schwachstellen veröffentlicht, während an offiziellen Updates für die restlichen vier gearbeitet wird. Nutzern beider Ökosysteme wird empfohlen, die Support-Kanäle ihrer Geräte im Auge zu behalten und Updates nach Maßgabe ihrer Verfügbarkeit zu installieren, ohne diese zu verschieben.