Sicherheitslücke in Android-Geräten

Rowhammer: Forscher demonstrieren Hardware-Sicherheitslücken in der Speicherarchitektur mobiler Geräte

Datum
23. November 2016
Autor

Zusammenfassung

Der technische Fortschritt verschafft uns überall und jederzeit Zugang zu Informationen und Diensten. Gerade Smartphones bieten heutzutage Möglichkeiten zur Kommunikation und Kooperation im privaten, aber auch im geschäftlichen Umfeld.

Kein Wunder sind mobile Geräte für Kriminelle lohnende Ziele und werden mit unterschiedlichen Techniken attackiert  Herkömmliche Malware beispielsweise nutzt Schwachstellen in den Betriebssystemen und Apps aus.

Forschern des VUSec Labs sowie der Universitäten von Californien und Graz ist es nun gelungen, eine architektonische Sicherheitslücke auszunutzen. Die Speicherzellen moderner Arbeitsspeicher liegen sehr dicht beisammen. Die „Rowhammer“ genannte Schwachstelle nutzt aus, dass sich die elektrischen Ladungen benachbarter Speicherzellen beeinflussen. Die Forscher konnten Speicherbereiche eines Android-Gerätes manipulieren, ohne direkt auf diese Bereiche zuzugreifen.

Neu an dieser von den Forschern „Deterministic Rowhammer“ genannten Methode ist,  dass Angriffe auf die Hardware geführt werden. So können alle Sicherheitsvorkehrungen des Geräts ausgehebelt werden. Die möglichen Folgen der Attacke reichen von Beeinträchtigung der Funktionsfähigkeit der Programme bis zur kompletten Übernahme des Gerätes.

Einschätzung

Eine Schwachstelle im Design der milliardenfach eingesetzten Hardware mobiler Geräte klingt wie der Supergau für die Informationssicherheit. Weil das Problem mit der Hardware verbunden ist, sind schnelle Lösungen durch die Herstellen kaum zu erwarten.

Wie können Sie sich vor dieser Gefahr schützen?

Die Schwachstelle wird noch nicht von Hackern ausgenutzt. Die Ausnutzung setzt voraus, dass Code auf dem Gerät ausgeführt wird. Mobil Devices Management mit entsprechenden Regeln kann das verhindern und das Risiko minimieren – zumindest im Unternehmensumfeld. Ist diese Maßnahmen nicht umsetzbar, sollte der weitere Einsatz betroffener Geräte im betrieblichen Umfeld kritisch betrachtet werden.

Zielgruppen

  • Management
  • IS- und IT-Sicherheitsbeauftragte
  • Administratoren