Schlagwort: Apps

Apps vor dem Gebrauch auf Sicherheitslücken testen lassen

13. März 2014

Für Unternehmen bietet das Fraunhofer Institut für Sichere Informationstechnologie SIT  das Test-Framework „Appicaptor“ an. Hiermit kann ein Unternehmen Apps automatisiert dahingehend prüfen, ob die App den unternehmenseigenen IT-Sicherheitsvorschriften entspricht, bevor es seinen Mitarbeitern die Verwendung der App

 Da Apps in den verschiedenen App-Stores hauptsächlich nur auf Malware, nicht aber auf Sicherheitseigenschaften testen, stellt es gerade für Unternehmen ein Sicherheitsrisiko dar, wenn Mitarbeiter für dienstliche Zwecke beliebige Apps nutzen. „Appicaptor“ erstelle für jede Firma und zu jeder App individuelle Testberichte, wie das Institut mitteilt. Mit Hilfe des Programms können Unternehmen auch White- oder Blacklists erstellt, anhand denen ersichtlich ist, welche Apps genutzt werden können. „Appicaptor“ sucht vor allem nach Datenschutzverstößen, Fehlern bei der Implementierung und Sicherheitsschwachstellen, wie heise online schreibt.

“Appicaptor“ selbst ist ein Framework, das sich aus unterschiedlichen Analysetools und Analysemethoden zusammensetzt. Es lässt sich nahezu beliebig um neue Verfahren und Tools erweitern, wie dem Projektblatt zu entnehmen ist

Auf der diesjährigen Cebit präsentiert das Fraunhofer Institut auch Testverfahren für Code-Analysen, die sogar komplexe Sicherheitsschwachstellen auffinden sollen. Es wird damit gerechnet, dass 2015 erste Produkte dieser Reihe auf den Markt kommen werden.

Zu dem Thema hat Dr. Jens Heider, Leiter des Testlabors Mobile Sicherheit am Fraunhofer Institut für Sichere Informationstechnologie den Beitrag verfasst „Die Gretchenfrage: Wie halten Sie´s mit der App-Sicherheit? Herausforderungen und Strategien für den Umgang mit Apps im Arbeitsumfeld“ , der auf verständliche und kompakte Weise erläutert, worauf es im Allgemeinen bei der dienstlichen Verwendung von Apps ankomme und was von Unternehmerseite beachtet werden müsse. Wegen der stetig anwachsenden Integration von mobilen Geräten in den Arbeitsalltag, ist das Thema Sicherheit für Unternehmen von besonders großer Bedeutung. Er rät deshalb Unternehmen zu einem Konzept für App-Sicherheit, in dem Maßnahmen der IT-Abteilung, Freigabeprozesse, Fragen zur Geräte- und App-Auswahl etc. unternehmensindividuell geregelt sind.

 

Kategorien: Allgemein · Mobile Business
Schlagwörter: ,

TÜV vergibt Prüfzeichen für Apps

7. Oktober 2013

Das neutrale und weltweit anerkannte Prüfinstitut TÜV Rheinland hat in einem Testverfahren 500 Smartphone- und Tablet-Apps dahingehend getestet, wie bei der Verwendung der Produkte mit den Daten des Nutzers umgegangen wird. Das Ergebnis zeigt, laut Haufe.de, dass etwa 40 Prozent der getesteten Apps Daten ausspähen, ohne dass es für die eigentliche Funktion des Programms notwendig sei. Getestet wurden Apps der drei großen Betriebssysteme iOS, Android und Windows Phone.

Auf www.checkyourapp.de stellt der TÜV die Apps vor, die er nach erfolgreich bestandenem Test für sicher im Umgang mit Nutzerdaten erachte. Darüber hinaus kann man hier in einer Datenbank nach Apps suchen, wenn man wissen will, ob die heruntergeladene App nach TÜV-Kriterien sicher ist – oder noch besser: vor dem Download erst einmal dort nachschauen. Angezeigt werden dort alle erfolgreich getesteten Apps, zu denen unter anderem die Apps von HolidayCheck und Lufthansa für Android gehören. Anbieter sicherer Apps haben mit dem TÜV-Prüfsiegel die Möglichkeit sich seriös im Markt zu platzieren.

Die TÜV-Prüfer schätzen, dass etwa 30 Prozent aller Anwendungen dazu dienen, unbemerkten Datenklau als Geschäftsmodell zu nutzen.  Kostenlose Apps seien hiervon besonders betroffen, so Dieter Schober, Projektleiter des Testverfahrens beim TÜV Rheinland, aber auch öffentliche, ungesicherte Netzwerke, sogenannte HotSpots. Besonders gefährlich werde es, wenn sensible Daten wie Passwörter oder private Fotos, die sich auf dem Smartphone oder Tablet befinden, ausgelesen oder auf die Server des App-Anbieters übertragen werden.

Christoph Kemetmüller, IT-Sicherheitsspezialist beim TÜV SÜD erklärt, dass das Betriebssystem Android von Google – gegenüber den Systemen von Apple (iOS) und Windows – anfälliger sei für Datenmissbrauch durch App-Anbieter. Es sei mit über 750 Millionen Installationen aber auch das meistgenutzte mobile Betriebssystem, wie Stern.de schreibt.

Nutzer sollten also vor der Installation einer App immer sorgfältig die Berechtigungen durchlesen und hinterfragen, ob diese tatsächlich für die angebotenen Services von Bedeutung sind.

Verbraucherzentrale Sachsen warnt vor Apps

25. März 2013

Die Verbraucherzentrale Sachsen erinnerte die Anwender von Apps daran, dass sie stets sorgfältig kontrollieren sollten, welche Berechtigungen sie den Betreibern von Apps für iOS und Android Geräte eingeräumt haben.

Zwar müssen die Anwender bei dem Herunterladen der App kein Geld als Gegenleistung erbringen, dafür spähen viele kostenfreie Apps die Daten der Anwender für Vermarktungszwecke aus. Dies gelte sogar für Kontaktdaten aus dem Adressbuch, die letztlich für Werbung und Spam-Mail benutzt werden.

Ratsam sei es daher solche Apps gar nicht erst zu installieren bzw. alsbald zu löschen.

Weiter, so die sächsische Verbraucherzentrale, haben iPhone und iPad mit der gegenwärtig aktuellen Betriebssystemversion iOS 6 umfassende Kontrollmöglichkeiten. So enthält der Menüpunkt „Einstellungen“ den Unterabschnitt „Datenschutz“, wodurch manuell und für jede App festgelegt werden könne, ob diese auf Kontakte, Kalender, Fotos oder Ordnungsdienste zugreifen dürfen.

Android-Apps und deren Berechtigungseinstellungen seien zwar detaillierter , jedoch müssen die Anwender allen Berechtigungen zustimmen, anderenfalls können sie eine App nicht nutzen und müssen sie wieder löschen.

 

Kategorien: Allgemein · Mobile Business
Schlagwörter: , ,

Einkaufen per Apps oft gefährlich

30. November 2012

Smartphone- und Tablet-Apps ermöglichen den Nutzern sämtliche Waren nicht nur bequem von zu Hause aus zu bestellen, sondern dies auch mobil zu erledigen. Vielfach wurde in diesem Zusammenhang darüber berichtet, dass insbesondere offene WLAN-Netze ein Sicherheitsrisiko darstellen. Viele App-Hersteller deklarieren ihre Apps jedoch für hinreichend sicher und klären den Nutzer darüber auf, dass das Risiko eines Datenverlustes – u.a. wegen durchgehender Verschlüsselungen – ausgeschlossen sei. Nach einem Bericht der Tagesschau ist dies hingegen nicht immer der Fall. Ein durchgeführter Test habe erhebliche Lücken erkennen lassen, die in offenen WLAN-Netzen ein erhebliches Risiko darstellen. Dritte könnten sich somit auch ohne entsprechende Hacker-Kenntnisse in die Sicherheitslücken einklinken und mit einfach zu bedienenden Programmen sensible Daten der Nutzer (z.B. Kreditkartennummern) abfangen. Den Angaben der App-Hersteller über die absolute Sicherheit ihrer Apps wäre insofern kein Glauben zu schenken, als dass diese Aussagen den Hauptrisikofaktor der WLAN-Netze unberücksichtigt lassen.

Kategorien: Hackerangriffe · Mobile Business · Online-Datenschutz
Schlagwörter: , ,

BMELV: Datensicherheit von Smartphones obliegt Herstellern

9. November 2012

Die Ministerin des Bundesministeriums für Ernährung, Landwirtschaft und Verbraucherschutz (BMELV)  Ilse Aigner sieht Medienangaben zufolge Entwickler von Apps und Smartphonehersteller in der Pflicht, für die Gewährleistung von hinreichendem Datenschutz zu sorgen. Insbesondere Apps würden eine Haupteinfallstelle für Datenmissbrauch darstellen, da diese auch auf Daten zugreifen, die nicht benötigt werden. Die Anbieter müssen nach Aigner die Verbraucher mit hohen Sicherungsvorkehrungen effektiv vor Datenmissbrauch schützen. Jeder Verbraucher müsse “jederzeit die volle Kontrolle über seine Smartphone-Daten” behalten können. Aigner beabsichtige außerdem, sich im Rahmen der Entwicklung der zur Zeit stattfindenen Entwicklung der EU-Datenschutz-Grundverordnung für die Verpflichtung zu datenschutzfreundlichen Voreinstellungen und zur Berücksichtigung des Datenschutzes im Produkt-Design stark zu machen (privacy by design). So müsse beispielsweise stets der Verbraucher den Zugriff auf Kontaktdaten oder den Standort ausdrücklich erlauben (Opt-In-Verfahren), nicht etwa die App im Alleingang auf die Daten zugreifen.

 

Kategorien: Mobile Business
Schlagwörter: , ,

Kostenlose Apps bergen häufiger Datenrisiko

7. November 2012

Wer sich kostenlose Apps herunterlädt, sollte dies nicht als wohltätige Zuwendung der Programmierer empfinden. Fast immer “bezahlt” der Nutzer mit Zugriffsrechten auf seine Daten. Nach einer Untersuchung des Netzdienstleisters Juniper Networks besteht bei kostenlosen Apps, die auf Basis der Android-Plattform operieren, ein erhöhtes Risiko für die Daten der Verbraucher. Diese greifen nach Erkenntnissen der Studie besonders häufig auf Standortdaten und Adressbücher der Nutzer zu, häufig ohne funktionelle Notwendigkeit und/oder vorherige Information des Verbrauchers. Juniper analysierte nach eigenen Angaben zwischen März 2011 und September 2012 circa 1,7 Millionen kostenlose und kostenpflichtige Apps unterschiedlicher Themenbereiche des Android-basierten Google Play Markets. Als besonders gefährliche Apps wurden dabei Renn- und Kartenspiele ausgemacht, die auffällig häufig nach SMS- und Anruf-Rechten griffen. Dabei war es jedoch unerheblich, ob diese kostenlos oder kostenpflichtig seien. Ganze 99% der kostenpflichtigen Rennspiele reklamierten unbegründet SMS-Rechts für sich. Dem gegenüber waren es noch ganze 92% bei den kostenlosen. Auch kostenlose Casino-Apps gerieten ins Visier der Untersuchung. 84% forderten unbegründet SMS-Rechte ein, 94% Anruf-Rechte und 84% Kamera-Rechte.

Juniper empfiehlt den Nutzern von Apps vor der Installation abzuwägen, ob die nicht abdingbare Zulassung der Zugriffsrechte durch die schlichte Installation der Apps tatsächlich hingenommen werden wolle oder ob es angesichts der undurchsichtigen Praktiken der Programme nicht von einer Installation Abstand genommen werden solle. Nutzer von iOS-Apps sollten sich angesichts der Ergebnisse der Studie jedoch nicht in Sicherheit wähnen. Eine Untersuchung der Apple-Apps war schlicht nicht möglich, da diese die untersuchten Informationen der Apps schon gar nicht zur Verfügung stellen.

Kategorien: Mobile Business
Schlagwörter: ,

Android: Diverse Apps verschlüsseln Kommunikation fehlerhaft

30. Oktober 2012

Wie Heise-Online berichtet besteht bei diversen Apps des Betriebssystems und der Software-Plattform Android ein erhebliches Problem mit der SSL-/TLS-Verschlüsselung. Das Online-Portal bezieht sich dabei auf eine Studie von Forschern der Leibniz-Universität in Hannover in Kooperation mit der Philipps-Universität Marburg. Diese hatten Android-Apps untersucht und dabei festgestellt, dass über 1.000 der 13.500 beliebtesten Anwendungen des im zweiten Quartal 2012 mit 68,1 % weltweiten Marktanteil stärksten Marktteilnehmers eine fehlerhafte oder unsichere Verschlüsselung aufwiesen. Die Ergebnisse veröffentlichten die Wissenschaftler in dem Paper  „Why Eve and Mallory Love Android: An Analysis of Android SSL (In)Security“.

Konkret wurden 100 Android-Apps eingehender von den Forschern unter die Lupe genommen, wobei zunächst die Codes der Apps statistisch nach typischen Anzeichen für unzureichende Überprüfung der Zertifikate, die die Identität des Kommunikationspartners zertifizieren müssen, untersucht wurden. Da sich dabei noch nicht feststellen lässt, ob tatsächlich der gefundene Code zum Einsatz kommt, wurden im Anschluss sogenannte Man-In-The-Middle-Attacken durchgeführt, um die verschlüsselte Verbindung aufzubrechen. Dabei wurde festgestellt, dass 41 der untersuchten Apps anfällig für Angriffe waren. Den Forschern gelang es über diese Apps Zugriff auf Bank- und Kreditkartenkonten sowie an Zugangs-Tokens für Email-Konten, Facebook-Konten und Messaging-Services zu erlangen. 20 Apps akzeptierten dabei schlicht jedes Zertifikat, die restlichen 21 kontrollierten zwar die Gültigkeit der Unterschrift des Zertifikats, nicht jedoch ob dieses auch auf den richtigen Namen ausgestellt war.

Besondere Beachtung war nach dem Bericht von Heise dabei dem plakativen Umstand zu schenken, dass es den Forschern gelang, Zoner AntiVir für Android eine gefälschte Signatur unterzuschieben, durch welche sich das Programm anschließend selbst als Bedrohung einstufte und die eigene Löschung anbot.

Kategorien: Hackerangriffe · Mobile Business
Schlagwörter: , ,

App-Berechtigungen unter Android kontrollieren

9. Juli 2012

Die vergangene Woche vorgestellte App “SRT AppGuard” ermöglicht Android-Nutzern, die Berechtigungen der installierten Apps zu kontrollieren. Das Programm stammt von der Firma Backes SRT, einem Universitäts-Spin-Off initiiert von Prof. Dr. Michael Backes. Die App ist kostenlos herunterladbar, jedoch in Googles Play-Store derzeit nicht verfügbar. Die Anbieter haben die App auf ihrer Webseite  zum Download bereitgestellt.

Android ist von Hause aus nur darauf ausgelegt, den Nutzer über die Berechtigungen von Apps zu informieren – eine Chance, einzelne teils sehr weitgehende Berechtigungen bei der Installation abzulehnen, besteht nicht. Lässt sich beispielsweise eine Wecker-App die Berechtigung zum Lesen der Kontaktdaten sowie vollständigen Internetzugriff einräumen, müsste man entweder auf die gesamte App verzichten oder hinnehmen, dass das Adressbuch den Weg ins Internet finden könnte. Eine Möglichkeit zur Kontrolle besteht nur auf solchen Smartphones, bei denen unter Verlust der Herstellergarantie der Root-Zugriff freigeschaltet wurde.

Die App “SRT AppGuard” kommt jedoch ganz ohne Root-Zugriff aus: Sie errichtet keine Blockade oder Firewall auf Systemebene, sondern entzieht jeder App einzeln ihre Berechtigungen. In drei Schritten wird die App zunächst deinstalliert, dann modifiziert und schließlich wieder installiert. Anschließend hat man über “SRT AppGuard” die Wahl, Berechtigungen bestehen zu lassen oder gezielt zu deaktivieren. Auch der Internetzugriff lässt sich so vollständig abschalten oder auf einzelne erlaubte Adressen beschränken.

“SRT AppGuard” vermag auf diesem Weg beim Schutz der eigenen persönlichen Daten wie auch der unternehmensbezogenen Daten auf privaten Geräten im dienstlichen Einsatz  – Stichwort BYOD (“Bring Your Own Device”) – zu helfen.

Apple und Facebook mit dem BigBrotherAward 2011 “ausgezeichnet”

6. Mai 2011

Bei der Verleihung der deutschen BigBrotherAwards 2011 am 1. April 2011 in Bielefeld wurden von dem Organisator FoeBuD e.V. die Apple GmbH sowie die Facebook Deutschland GmbH mit dem “Oscar für Datenkraken” in der Kategorie “Kommunikation” ausgezeichnet.

Apple “verdiente” sich den Preis zwar nicht vordergründig aufgrund der in den letzten Tagen in Öffentlichkeit und Medien breit diskutierten Erhebung und Nutzung von Standortdaten seiner iPhone- und iPad-Kunden. Grund für die Preisverleihung ist nach der Begründung der Organisatoren vielmehr “die Geiselnahme ihrer Kunden mittels teurer Hardware und die darauf folgende Erpressung, den firmeneigenen zweifelhaften Datenschutzbedingungen zuzustimmen”. Hiernach sei es dem Nutzer im Falle einer Nichtzustimmung mit den 117-iPhone-Display-Seiten langen Regelwerken maximal möglich, dass teure und technisch potente Gerät gerade einmal zum Telefonieren zu nutzen.

Facebook wurde mit der Auszeichnung einmal mehr für seinen immensen Datenhunger und für die “gezielte Ausforschung von Menschen und ihrer persönlichen Beziehungen hinter der netten Fassade eines vorgeblichen Gratisangebots” kritisiert. Das Unternehmen schaffe mit seinen vielfältigen zahlreichen Features und Applikationen wie „Freundefinder“, “Handy-App” oder dem “Gefällt-mir”-Button eine “„Gated Community“ im Netz, in der Menschen auf Schritt und Tritt beobachtet werden” und verdiene auf diese Weise mit systematischen Datenschutzverstößen Milliarden, heißt es hier weiter in der Begründung.

1 2 3