Samsung hat den Bericht eines nicht näher genannten Sicherheitsforschers zurückgewiesen, der in Samsungs Sicherheitslösung Knox eine kritische Anfälligkeit entdeckt haben will. Ihm zufolge soll Knox eine bei der Einrichtung der App festgelegte PIN im Klartext speichern. Den Vorwurf erhob er nur wenige Tage, nachdem Knox die wichtige US-Zertifizierung im Programm Commercial Solutions for Classified (CSfC) der National Information Assurance Partnership (NIAP) erhalten hatte.
Diese Lücke sei aber nur der Anfang eines viel größeren Sicherheitsproblems, so der Forscher weiter. „Jetzt ist klar, dass Samsung Knox Ihr Passwort irgendwo auf dem Gerät speichert.“ Er behauptet zudem, er habe in einem Ordner auch den Verschlüsselungsschlüssel gefunden.
Demnach verbirgt Samsung Knox das Verfahren zur Generierung des Schlüssels in einer Vielzahl von Java-Klassen und -Proxies. Zudem soll Samsung für den Schlüssel auch die eindeutige Android-Geräte-ID benutzen. „Samsung hat wirklich versucht, die Funktion für die Generierung des Schlüssels zu verstecken. Schließlich verwendet es lediglich die Android ID zusammen mit einem hardwarebasierten String und mischt beides für den Verschlüsselungsschlüssel. Ich hätte von einem Produkt mit dem Namen Knox ein anderes Vorgehen erwartet.“
Die Verwaltbarkeit von Mobilgeräten mit Android, Blackberry, iOS und Windows Phone wird für IT-Manager immer wichtiger. Carsten Mickeleit, Gründer und CEO von EMM-Spezialist Cortado skizziert die neuen Funktionen von iOS 8 und zeigt, wo die Unterschiede zum Mitbewerb liegen.
Nach Ansicht des Forschers kompromittiert die Speicherung des Passworts auf dem Gerät die gesamte Sicherheit von Knox. „Bei einem solchen Produkt sollte das Passwort niemals auf dem Gerät abgelegt werden“, ergänzte der Forscher. „Es gibt keinen Grund dafür, außer man verliert sein Passwort. Aber dann sollten die Daten verloren sein.“ Eine Wiederherstellungsoption bedeute, dass die Daten nicht sicher seien.
„Wir haben die Vorwürfe detailliert untersucht und festgestellt, dass die Schlussfolgerung falsch ist. Wir möchten unseren Kunden erneut versichern, dass das Knox-Passwort und das Schlüssel-Management nach den besten Sicherheitsmethoden implementiert wurden. Die Sicherheitszertifizierungen, die Knox-Geräte erhalten haben, sind eine unabhängige Bestätigung für Samsung Knox.“
In einem Nachtrag zu seinem Blogeintrag weist der Forscher darauf hin, dass er die Version 2.0.2 der auf seinem Samsung Galaxy S4 vorinstallierten App Knox Personal analysiert hat und nicht die gleichnamige Enterprise-Mobility-Lösung Knox EMM. „Ich würde wirklich gerne auch das sogenannte MyKnox untersuchen und prüfen, ob die in Ihrer Pressemitteilung genannten Sicherheitsmaßnahmen wahr sind. Bitte lassen Sie mich wissen, welches Gerät ich kaufen muss, um die sichere Version zu erhalten.“
Samsung Knox erlaubt es, separate Partitionen auf einem Android-Gerät anzulegen, um beispielsweise geschäftliche von privaten Daten zu trennen. Diese auch als Container bezeichneten Partitionen haben ein eigenes verschlüsseltes Dateisystem, das Apps innerhalb des Containers von Anwendungen außerhalb abgrenzt. Einige der Funktionen von Knox hat Google auch in die neue Android-Version 5.0 Lollipop integriert.
Schon im Januar hatte das koreanische Unternehmen eine Datenlücke in Knox bestritten. Ein israelischer Forscher hatte zu dem Zeitpunkt behauptet, Malware könne trotz Verschlüsselung E-Mails mitlesen und Datenkommunikation aufzeichnen.
[mit Material von Duncan Macrae, TechWeekEurope]
Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Bösartige QR-Codes, die per E-Mail versendet werden, eignen sich sehr gut, um Spam-Filter zu umgehen.
Unsichere Websites und Phishing-Mails in Verbindung mit Black Friday können kauffreudigen Konsumenten zum Verhängnis werden.
Malware SmokeLoader wird weiterhin von Bedrohungsakteuren genutzt, um Payloads über neue C2-Infrastrukturen zu verbreiten.
Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.
Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…
Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…