Categories: MobileMobile Apps

Forscher finden Schwachstellen in Samsung Knox

Die beiden Informatiker Uri Kanonov und Avishai Wool von der Universität Tel Aviv beschreiben in einem Forschungsbericht (PDF), mehrere Lecks in der mobilen Sicherheitslösung Samsung Knox. Die beiden bezeichnen die Samsung-Lösung, die auf bestimmten Android-Geräten des Herstellers gegen unautorisierten Zugriff oder Datenverlust schützen soll, zwar als “vielversprechend”, dennoch konnte ihr Team in der Lösung auch Sicherheitslecks entdecken.

Die Forscher beschreiben drei Lecks etwas näher. Alle drei wurden inzwischen durch den Hersteller behoben. Bei CVE-2016-1919 handelt es sich um eine Schwäche in der “eCryptFS Key Generation”. Betroffen ist Knox in der ersten Version. CVE-2016-1920 tritt ebenfalls in KNOX 1.0 auf. Hierbei handelt es sich um ein VPN-Man-in-the-Middle-Leck, das im Wesentlichen dadurch entsteht, dass sich Knox und Anwendungen von Drittherstellern Zertifikate teilen. CVE-2016-3996 beschreibt eine Knox Clipboard Data Disclosure in den Versionen Knox 1.0 – Knox 2.3. Des Weiteren verweisen die Forscher auf Arbeiten einer Forschergruppe der Ben Gurion Universität, die ein Leck bei Data in Transit (DIT) entdeckt hat, zu dem jedoch noch keine technischen Details veröffentlicht wurden.

Die verschiedenen Sicherheits-Layer der Knox-Lösung (Bild: Samsung).

Kanonov und Wool haben laut eigenen Angaben ihre Erkenntnisse Samsung im Dezember vergangenen Jahres vorgelegt, aber die Veröffentlichung der technischen Details bislang verschoben, um dem Hersteller genügend Zeit einzuräumen, die Lecks zu beheben. Die Forscher kritisieren, dass der Hersteller zu wenig transparent und über die Architektur der aus verschiedenen Modulen bestehenden Lösung zu wenig bekannt sei.

Zudem wollen die Forscher Schwachstellen im Design der Lösung aufzeigen. “Wir zeigen auch, die Gefahren, die damit einhergehen, Knox-Services mit Nutzer-Anwendungen zu teilen, auch wenn dedizierte Sicherheitsmaßnahmen präsent sind”, so Kanonov und Wool. “Das Teilen von Services ist ein zweischneidiges Schwert: auf der einen Seite erlaubt das ein einfacheres Design und einfachere Implementierung, aber auf der anderen Seite entsteht so ein dauerhaftes Sicherheitsrisiko.”

Große Teile der Forschungsarbeit konzentrieren sich auf die Version 1.0. “Wir vergleichen auch Knox 1.0 mit der aktuellsten Version von Knox und zeigen, dass die neue Version die Sicherheit verbessert – gleichzeitig opfert die neue Version Sicherheit für eine bessere Verwendbarkeit.”

Eines der Sicherheitsmodule ist die “ARM TrustZone”. Diese reduziere effektiv die Gefahr von Root-Exploits und Sicherheitslecks im Kernel. Dies gelte allerdings nur dann, wenn die Lösung richtig implementiert sei. Laut den Forschern erfordere das den richtigen Gebrauch von Knox und “aller Features in allen Bereichen”, um den maximalen Nutzen zu bekommen.

Die beschrieben Lecks sind, auch wenn in allen Fällen kein Root-Zugriff für die Ausführung nötig ist, nicht gerade leicht auszunutzen, wie aus dem Forschungsbericht hervorgeht. Die Forscher wollen eigenen Angaben zufolge durch diese Arbeit helfen, Design-Schwächen zu beheben und so künftige BYOD-Lösungen sicherer machen.

Ausgewählte, passende Whitepaper:

Redaktion

Recent Posts

Cyberabwehr mit KI und passivem Netzwerk-Monitoring

Schiffl IT: Anomalien im Netzwerkverkehr und in den Systemen in Echtzeit identifizieren.

5 Stunden ago

Zero Trust bei Kranich Solar

Absicherung der IT-Infrastruktur erfolgt über die Zero Trust Exchange-Plattform von Zscaler.

5 Stunden ago

KI in der Medizin: Mit Ursache und Wirkung rechnen

Maschinen können mit neuen Verfahren lernen, nicht nur Vorhersagen zu treffen, sondern auch mit kausalen…

1 Tag ago

Sicherheit für vernetzte, medizinische Geräte

Medizingeräte Hersteller Tuttnauer schützt Gerätesoftware mit IoT-Sicherheitslösung.

1 Tag ago

Blockchain bleibt Nischentechnologie

Unternehmen aus der DACH-Region sehen nur vereinzelt Anwendungsmöglichkeiten für die Blockchain-Technologie.

2 Tagen ago

Branchenspezifische KI-Modelle

SAS bietet einsatzfertige KI-Modelle für konkrete Herausforderungen wie Betrugserkennung und Lieferkettenoptimierung.

2 Tagen ago