Genau diese Diskussion gab es bereits bei HBCI Chipkarten und anderen durch PIN geschützten externen Speichermedien. Im Grunde sind diese Medien “nur” durch mehr oder weniger gute gegen Missbrauch geschützt. Zum Beispiel hat eine HBCI-Karte einen Chip, auf dem sich ein Mikroprozessor und dahinter etwas Speicherplatz befindet. Möchte man auf die Daten im Speicher zugreifen, verlangt der Prozessor eine PIN. Wird die PIN öfter falsch eingegeben, sperrt der Prozessor und die Daten können nicht mehr (oder nur noch mit extrem hohem Aufwand) ausgelesen werden. Auf dem “Speicherplatz” ist eigentlich auch nur ein Sicherheitszertifikat, das zur Anmeldung am Banking-Server und zur Verschlüsselung/Signierung der Daten verwendet wird, abgelegt.
HBCI-Chipkarten sind als sicher anzusehen, solange die PIN geheim bleibt. Schafft es ein Angreifer die Karten Pin (oder das Zertifikat) zu stehlen, ist alles vorbei.
Und genau hier ist die Schwachstelle der Basisleser anzusiedeln. Der Anwender gibt die PIN an seinem PC/Notebook/Tablet ein und nicht am Kartenleser. Ein Angreifer könnte also die PIN während der Eingabe abfangen. Zumindest in der Theorie.
Praktisch ist das auf einem gesicherten System kaum möglich. Ein Angriff auf die zu signierenden Daten oder ein SSL Man-in-the-Middle Angriff auf die Session selbst ist wahrscheinlicher. Selbst wenn die Daten direkt im Leser verschlüsselt werden, irgendwie müssen sie ja dort hineinkommen. Ist der PC erst einmal infiziert, hilft weder der Basisleser noch ein teurer mit Eingabetastatur vor einem gezielten Angriff. Es mag sein dass ein einfacher Keyloggerangriff zum Erspähen der PIN Erfolg hat, allerdings muss der chinesische Hacker dann persönlich vorbeikommen und den Ausweis klauen.
Primäres Angriffsziehl wird sowieso nicht der Ausweis, sondern die Ausweis-APP. Knackt man diese, hat man eine Backdoor für Linux, Windows und MAC-Systeme. Auch bereits erwähnter SSL-Proxy in einem rootkit versteckt sollte ganz nützliche Dienste zum Abfangen der Kommunikation zwischen Ausweis-App und Website-Authenticator leisten. Mal sehen, was die Szene in den kommenden Jahren so ausbrütet.
500 Besucher über Googlehaben hier nach Informationen zu diesem Koffer gesucht.Im letztem Beitrag habe ich ja nur die “unklug” übersetzte Willkommensmeldung an-gemeckert.
