Samsung dementiert erneut Leck in seiner Sicherheitslösung Knox

Samsung hat den Bericht eines nicht näher genannten Sicherheitsforschers zurückgewiesen, der in Samsungs Sicherheitslösung Knox eine kritische Anfälligkeit entdeckt haben will. Ihm zufolge soll Knox eine bei der Einrichtung der App festgelegte PIN im Klartext speichern. Den Vorwurf erhob er nur wenige Tage, nachdem Knox die wichtige US-Zertifizierung im Programm Commercial Solutions for Classified (CSfC) der National Information Assurance Partnership (NIAP) erhalten hatte.

Nach Angaben des Forschers speichert Knox die PIN unverschlüsselt in einer Datei namens pin.xml. Sie könne daraus ausgelesen und benutzt werden, um einen Passworthinweis abzufragen. Der Hinweis wiederum bestehe aus dem ersten und letzten Buchstaben des Kennworts. Darüber hinaus erhalte ein Hacker mit Zugriff auf ein Smartphone oder Tablet auch die genaue Länge des Passworts.

Diese Lücke sei aber nur der Anfang eines viel größeren Sicherheitsproblems, so der Forscher weiter. „Jetzt ist klar, dass Samsung Knox Ihr Passwort irgendwo auf dem Gerät speichert.“ Er behauptet zudem, er habe in einem Ordner auch den Verschlüsselungsschlüssel gefunden.

Demnach verbirgt Samsung Knox das Verfahren zur Generierung des Schlüssels in einer Vielzahl von Java-Klassen und -Proxies. Zudem soll Samsung für den Schlüssel auch die eindeutige Android-Geräte-ID benutzen. „Samsung hat wirklich versucht, die Funktion für die Generierung des Schlüssels zu verstecken. Schließlich verwendet es lediglich die Android ID zusammen mit einem hardwarebasierten String und mischt beides für den Verschlüsselungsschlüssel. Ich hätte von einem Produkt mit dem Namen Knox ein anderes Vorgehen erwartet.“

Nach Ansicht des Forschers kompromittiert die Speicherung des Passworts auf dem Gerät die gesamte Sicherheit von Knox. „Bei einem solchen Produkt sollte das Passwort niemals auf dem Gerät abgelegt werden“, ergänzte der Forscher. „Es gibt keinen Grund dafür, außer man verliert sein Passwort. Aber dann sollten die Daten verloren sein.“ Eine Wiederherstellungsoption bedeute, dass die Daten nicht sicher seien.

„Wir haben die Vorwürfe detailliert untersucht und festgestellt, dass die Schlussfolgerung falsch ist. Wir möchten unseren Kunden erneut versichern, dass das Knox-Passwort und das Schlüssel-Management nach den besten Sicherheitsmethoden implementiert wurden. Die Sicherheitszertifizierungen, die Knox-Geräte erhalten haben, sind eine unabhängige Bestätigung für Samsung Knox.“

In einem Nachtrag zu seinem Blogeintrag weist der Forscher darauf hin, dass er die Version 2.0.2 der auf seinem Samsung Galaxy S4 vorinstallierten App Knox Personal analysiert hat und nicht die gleichnamige Enterprise-Mobility-Lösung Knox EMM. „Ich würde wirklich gerne auch das sogenannte MyKnox untersuchen und prüfen, ob die in Ihrer Pressemitteilung genannten Sicherheitsmaßnahmen wahr sind. Bitte lassen Sie mich wissen, welches Gerät ich kaufen muss, um die sichere Version zu erhalten.“

Samsung Knox erlaubt es, separate Partitionen auf einem Android-Gerät anzulegen, um beispielsweise geschäftliche von privaten Daten zu trennen. Diese auch als Container bezeichneten Partitionen haben ein eigenes verschlüsseltes Dateisystem, das Apps innerhalb des Containers von Anwendungen außerhalb abgrenzt. Einige der Funktionen von Knox hat Google auch in die neue Android-Version 5.0 Lollipop integriert.

Schon im Januar hatte das koreanische Unternehmen eine Datenlücke in Knox bestritten. Ein israelischer Forscher hatte zu dem Zeitpunkt behauptet, Malware könne trotz Verschlüsselung E-Mails mitlesen und Datenkommunikation aufzeichnen.

[mit Material von Duncan Macrae, TechWeekEurope]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de