Untaugliche Security
Gehackte Messenger geben persönliche Daten weiter
Obwohl mobile Messenger wie WhatsApp seit geraumer Zeit in der Kritik stehen, die Daten ihrer Nutzer weiterzugeben, sind diese Daten noch immer „massiv“ bedroht. Das ergibt eine Studie der TU Darmstadt und der Uni Würzburg.
Die derzeit verwendeten Methoden zur Kontaktermittlung gefährdeten die Privatsphäre von weit mehr als einer Milliarde Nutzenden weiter massiv, so die Forscher. Unter Verwendung sehr weniger Ressourcen waren sie in der Lage, praktikable Crawling-Angriffe auf die populären Messenger WhatsApp, Signal und Telegram durchzuführen. Die Experimente zeigen, dass bösartige Nutzende oder Hacker in großem Stil und ohne nennenswerte Einschränkungen sensible Daten sammeln können, indem sie bei Diensten zur Kontaktermittlung zufällige Telefonnummern abfragen.
Für die Studie fragten die Forscherinnen und Forscher 10% aller Mobilfunknummern in den USA für WhatsApp und 100% für Signal ab. Dadurch waren sie in der Lage, persönliche (Meta-) Daten zu sammeln, wie sie üblicherweise in den Nutzerprofilen der Messenger gespeichert sind, inklusive Profilbilder, Nutzernamen, Statustexte und die „zuletzt online“ verbrachte Zeit. Die analysierten Daten offenbarten auch interessante Statistiken über das Nutzerverhalten. Nur wenige ändern die standardmäßigen Privatsphäre-Einstellungen, die für die meisten Messenger ganz und gar nicht Privatsphäre-freundlich sind.
Das Team fand heraus, dass ungefähr 50% aller WhatsApp-User in den USA ein öffentliches Profilbild haben und 90% einen öffentlichen Infotext. Interessanterweise verwenden 40% aller bei Signal Registrierten (von denen man allgemein vermuten würde, dass sie mehr um ihre Privatsphäre besorgt sind) auch WhatsApp, und die Hälfte von diesen hat ein öffentliches Profilbild bei WhatsApp. Solche Daten über die Zeit zu verfolgen ermöglicht Angreifenden, genaue Verhaltensmodelle zu erstellen. Wenn die Daten mit sozialen Netzen und anderen öffentlichen Datenquellen abgeglichen werden, können Dritte auch detaillierte Profile erstellen und beispielsweise für Betrugsmaschen nutzen.
Bezüglich Telegram fanden die Forscherinnen und Forscher heraus, dass der Dienst zur Kontaktermittlung auch sensible Informationen selbst über die Besitzerinnen und Besitzer von Telefonnummern preisgibt, die nicht bei dem Dienst registriert sind. Welche Informationen während der Kontaktermittlung preisgegeben und über Crawling-Angriffe gesammelt werden können, hängt vom Dienstanbieter und den gewählten Privatsphäre-Einstellungen ab. Beispielsweise übertragen WhatsApp und Telegram das komplette Adressbuch der Nutzenden an entsprechende Server.
Privatsphäre-schützende Messenger wie Signal übertragen nur kurze kryptographische Hashwerte von Telefonnummern oder verlassen sich auf vertrauenswürdige Hardware. Die Forschungs-Teams zeigen jedoch, dass es mit Hilfe neuer und optimierter Angriffsstrategien möglich ist, innerhalb von Millisekunden von den Hashwerten auf die zugehörigen Telefonnummern zurückzuschließen.
Noch gravierender, da es keine nennenswerten Hürden für die Registrierung bei solchen Messengern gibt, ist dies: Dritte können eine große Anzahl an Accounts erstellen und die Nutzerdatenbanken eines Messengers nach Informationen durchforsten, indem Daten für zufällige Telefonnummern abgefragt werden. „Wir empfehlen bei der Verwendung von mobilen Messengern dringend, sämtliche Privatsphäre-Einstellungen zu überprüfen. Dies ist derzeit der effektivste Schutz gegen unsere untersuchten Crawling-Angriffe“ sind sich Prof. Alexandra Dmitrienko (Universität Würzburg) und Prof. Thomas Schneider (TU Darmstadt) einig.
Die Forschenden haben ihre Erkenntnisse mit den jeweiligen Dienstanbietern geteilt. WhatsApp hat seine Schutzmaßnahmen daraufhin derart verbessert, dass großangelegte Angriffe nun erkannt werden und Signal hat die Anzahl möglicher Abfragen reduziert, um Crawling zu erschweren. Die Forscherinnen und Forscher schlagen auch verschiedene andere Techniken zum Schutz vor, inklusive eines neuen Verfahrens zur Kontaktermittlung, das die Effizienz von Angriffen reduzieren würde, ohne die Nutzbarkeit negativ zu beeinflussen. Sämtliche Ergebnisse sind in dem Paper “All the Numbers are US: Large-scale Abuse of Contact Discovery in Mobile Messengers” beschrieben, das im Februar 2021 auf dem 28. Annual Network and Distributed System Security Symposium (NDSS) präsentiert wird.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
Entwicklung sicherer Software
Sicherheitslücken vorab identifizieren
Amtsgericht München
Keyless-Go-System-Hacken ist kein Aufbruch
