Piratenpartei beweist: \"AusweisApp\" des ePerso ist unsicher!

Sicherheitslücke in AusweisApp wenige Stunden nach Veröffentlichung von PIRATEN aufgedeckt!

Noch in der Nacht nach ihrem Erscheinen hat Jan Schejbal, Mitglied der Piratenpartei, eine Sicherheitslücke in der AusweisApp (*), der Anwendungssoftware des ePerso, aufgedeckt. Durch eine Schwachstelle in der automatischen Update-Funktion können Angreifer auf den Rechner des Nutzers Schadsoftware aufspielen und so die Kontrolle über das Gerät erlangen. Paradoxerweise wird nun gerade die Sicherheit des Computers selbst, die auch das Innenministerium als Voraussetzung für die sichere Nutzung des ePerso sieht, durch die AusweisApp unterwandert.

"Leider konnte ich nur die AusweisApp testen, weil ich weder den ePerso noch ein entsprechendes Lesegerät habe", erklärt Jan Schejbal. "Es bestehen aber garantiert noch größere Sicherheitslücken. Der eigentliche Kern des ePerso-Systems - der Chip und die Protokolle - ist zwar sicher konstruiert, aber im Umfeld gibt es Schwachstellen. Ich bin sicher, dass es auch möglich ist, die PIN und eventuell die aufgedruckte Kartenzugangsnummer zu entwenden, auch ohne dass dafür der Rechner des Nutzers verseucht werden muss. Ein anderer Angriff erlaubt es gegebenenfalls auch, dem Nutzer vorzutäuschen, dass er sich für etwas Ungefährliches ausweist, während der Angreifer mit dessen Identität einkaufen geht. Kurz: Die Behauptung des Innenministeriums, die Verwendung des ePerso sei sicher, ist – wie zu erwarten war – absolut unhaltbar."

Die AusweisApp aktualisiert sich automatisch bei jedem Start. Dabei versucht sie, eine sichere Verbindung zum Updateserver aufzubauen. Mit einer Reihe von Tricks kann ein Angreifer, der die Internetverbindung zum Beispiel über ein ungesichertes W-LAN Netzwerk oder einen manipulierten DNS-Server kontrolliert, die vermeintlich sichere Verbindung umleiten und ein gefälschtes Updatepaket einschleusen. Durch einen weiteren Fehler kann auch die zweite Sicherheitsebene umgangen werden, wodurch der Angreifer beispielsweise eigene (Schad-)Software installieren kann. Eine ausführliche technische Beschreibung des Angriffs mitsamt der zum Ausprobieren nötigen Dateien hat Jan Schejbal in seinem Blog veröffentlicht. [1]

Die Piratenpartei, die sich gegen den ePerso ausspricht, hatte vor seiner Einführung gewarnt und allen Bürgern geraten, sich rechtzeitig noch einen alten Ausweis ausstellen zu lassen. Angesichts der bestehenden Sicherheitslücken sollten Anwender vom Einsatz des Personalausweises am Computer absehen, bis eine sichere Version der dazugehörigen Software zur Verfügung steht. [2]

* Software zur Nutzung des neuen Personalausweis am Computer, früher unter dem Namen "Bürgerclient" angekündigt.
[1] janschejbal.wordpress.com/2010/11/09/ausweisapp-gehackt-m...
[2] www.piratenpartei.de/1010296-Wirklich-frei-bleiben-mit-de...

Piratenpartei Sachsen-Anhalt
Postfach 110145
06015 Halle
www.piraten-lsa.de/presse
Tel.: 0151-56105574

Über die Piratenpartei:

Die Piratenpartei Deutschland (PIRATEN) ist mit über 12.000 Mitgliedern die größte der nicht im Bundestag vertretenen Parteien. Die PIRATEN treten ein für Bürgerrechte, mehr Bürgerbeteiligung in der Politik (direktere Demokratie), Transparenz des Staates, Schutz der Privatsphäre, Bekämpfung von Monopolen, gebührenfreie Bildung sowie Offenlegung von öffentlich geförderten Forschungsergebnissen.

2009 erreichte die junge und aktuell schon in 42 Ländern weltweit vertretene Bürgerrechtspartei bei der Europawahl in Deutschland 0,9 % und bei der Bundestagswahl schon 2 % der Stimmen. Im Europaparlament stellen sie durch die schwedische »Piratpartiet« zwei Abgeordnete. In Münster und Aachen ist die Piratenpartei bereits im Rat der Stadt vertreten.

Mit nunmehr über 200 Mitgliedern arbeitet der Landesverband Sachsen-Anhalt an den entscheidenden politischen Themen des 21. Jahrhunderts, für die Bürgerinnen und Bürger unseres Landes.

Deutschland: www.piratenpartei.de
Sachsen-Anhalt: www.piraten-lsa.de
International: wiki.piratenpartei.de/PP_International

Zitiert aus: http://www.openpr.de/news/484253/Piratenpartei-beweist-AusweisApp-des-ePerso-ist-unsicher.html

Sicherheitslücke in AusweisApp wenige Stunden nach Veröffentlichung von PIRATEN aufgedeckt!

Noch in der Nacht nach ihrem Erscheinen hat Jan Schejbal, Mitglied der Piratenpartei, eine Sicherheitslücke in der AusweisApp (*), der Anwendungssoftware des ePerso, aufgedeckt. Durch eine Schwachstelle in der automatischen Update-Funktion können Angreifer auf den Rechner des Nutzers Schadsoftware aufspielen und so die Kontrolle über das Gerät erlangen. Paradoxerweise wird nun gerade die Sicherheit des Computers selbst, die auch das Innenministerium als Voraussetzung für die sichere Nutzung des ePerso sieht, durch die AusweisApp unterwandert.

"Leider konnte ich nur die AusweisApp testen, weil ich weder den ePerso noch ein entsprechendes Lesegerät habe", erklärt Jan Schejbal. "Es bestehen aber garantiert noch größere Sicherheitslücken. Der eigentliche Kern des ePerso-Systems - der Chip und die Protokolle - ist zwar sicher konstruiert, aber im Umfeld gibt es Schwachstellen. Ich bin sicher, dass es auch möglich ist, die PIN und eventuell die aufgedruckte Kartenzugangsnummer zu entwenden, auch ohne dass dafür der Rechner des Nutzers verseucht werden muss. Ein anderer Angriff erlaubt es gegebenenfalls auch, dem Nutzer vorzutäuschen, dass er sich für etwas Ungefährliches ausweist, während der Angreifer mit dessen Identität einkaufen geht. Kurz: Die Behauptung des Innenministeriums, die Verwendung des ePerso sei sicher, ist – wie zu erwarten war – absolut unhaltbar."

Die AusweisApp aktualisiert sich automatisch bei jedem Start. Dabei versucht sie, eine sichere Verbindung zum Updateserver aufzubauen. Mit einer Reihe von Tricks kann ein Angreifer, der die Internetverbindung zum Beispiel über ein ungesichertes W-LAN Netzwerk oder einen manipulierten DNS-Server kontrolliert, die vermeintlich sichere Verbindung umleiten und ein gefälschtes Updatepaket einschleusen. Durch einen weiteren Fehler kann auch die zweite Sicherheitsebene umgangen werden, wodurch der Angreifer beispielsweise eigene (Schad-)Software installieren kann. Eine ausführliche technische Beschreibung des Angriffs mitsamt der zum Ausprobieren nötigen Dateien hat Jan Schejbal in seinem Blog veröffentlicht. [1]

Die Piratenpartei, die sich gegen den ePerso ausspricht, hatte vor seiner Einführung gewarnt und allen Bürgern geraten, sich rechtzeitig noch einen alten Ausweis ausstellen zu lassen. Angesichts der bestehenden Sicherheitslücken sollten Anwender vom Einsatz des Personalausweises am Computer absehen, bis eine sichere Version der dazugehörigen Software zur Verfügung steht. [2]

* Software zur Nutzung des neuen Personalausweis am Computer, früher unter dem Namen "Bürgerclient" angekündigt.
[1] janschejbal.wordpress.com/2010/11/09/ausweisapp-gehackt-m...
[2] www.piratenpartei.de/1010296-Wirklich-frei-bleiben-mit-de...

Piratenpartei Sachsen-Anhalt
Postfach 110145
06015 Halle
www.piraten-lsa.de/presse
Tel.: 0151-56105574

Über die Piratenpartei:

Die Piratenpartei Deutschland (PIRATEN) ist mit über 12.000 Mitgliedern die größte der nicht im Bundestag vertretenen Parteien. Die PIRATEN treten ein für Bürgerrechte, mehr Bürgerbeteiligung in der Politik (direktere Demokratie), Transparenz des Staates, Schutz der Privatsphäre, Bekämpfung von Monopolen, gebührenfreie Bildung sowie Offenlegung von öffentlich geförderten Forschungsergebnissen.

2009 erreichte die junge und aktuell schon in 42 Ländern weltweit vertretene Bürgerrechtspartei bei der Europawahl in Deutschland 0,9 % und bei der Bundestagswahl schon 2 % der Stimmen. Im Europaparlament stellen sie durch die schwedische »Piratpartiet« zwei Abgeordnete. In Münster und Aachen ist die Piratenpartei bereits im Rat der Stadt vertreten.

Mit nunmehr über 200 Mitgliedern arbeitet der Landesverband Sachsen-Anhalt an den entscheidenden politischen Themen des 21. Jahrhunderts, für die Bürgerinnen und Bürger unseres Landes.

Deutschland: www.piratenpartei.de
Sachsen-Anhalt: www.piraten-lsa.de
International: wiki.piratenpartei.de/PP_International

Zitiert aus: http://www.openpr.de/news/484253/Piratenpartei-beweist-AusweisApp-des-ePerso-ist-unsicher.html

Aktuell Informativ Unabhängig: Deutsche-Politik-News.de

Deutsche Politik News und Infos: Nachrichten @ Deutsche-Politik-News.de !



Aktuell Informativ Unabhängig: Deutsche-Politik-News.de	Suche auf D-P-N.de:

Home Anmelden/Einloggen	DPN-Aktuell DPN-Exklusiv Kolumne Fakten Themen Skandale Top-News Neueste Videos