Samsung bestreitet Sicherheitslücke in Knox

Samsung dementiert die Meldungen, dass sich in der Sicherheitslösung Knox eine kritische Schwachstelle befindet. Dies hatte zuvor ein nicht näher genannter Sicherheitsforscher berichtet. Demnach speichert Knox angeblich eine bei der Einrichtung der App festgelegte PIN im Klartext. Nur wenige Tage zuvor erhielt die Lösung die wichtige US-Zertifizierung im Programm Commercial Solutions for Classified (CSfC) der National Information Assurance Partnership (NIAP).

Dem Forscher zufolge wird die PIN in einer Datei mit dem Namen pin.xml unverschlüsselt gespeichert. Man könne sie auslesen und ausnutzen, um einen Passworthinweis zu erhalten. Dieser enthalte den ersten und letzten Buchstaben des Kennworts. Ein Angreifer mit Zugriff auf ein Smartphone oder Tablet erhalte außerdem die exakte Länge des Passworts.

Die Lücke sei jedoch lediglich Teil eines weitaus größeren Sicherheitsproblems, behauptet der Forscher. “Jetzt ist klar, dass Samsung Knox das Passwort irgendwo auf dem Gerät speichert.” Er behauptet zudem, er habe in einem Ordner auch den Krypto-Schlüssel gefunden.

In einer Vielzahl von Java-Klassen und -Proxies versteckt demnach Knox das Verfahren zur Generierung des Schlüssels. Darüber hinaus verwendet Samsung für den Schlüssel angeblich auch die eindeutige Android-Geräte-ID. “Samsung hat wirklich versucht, die Funktion für die Generierung des Schlüssels zu verstecken. Schließlich verwendet es lediglich die Android ID zusammen mit einem hardwarebasierten String und mischt beides für den Schlüssel. Ich hätte von einem Produkt mit dem Namen Knox ein anderes Vorgehen erwartet.”

Die Speicherung des Passworts auf dem Gerät gefährdet nach Meinung des Forschers die gesamte Sicherheit von Knox. “Bei einem solchen Produkt sollte das Passwort niemals auf dem Gerät abgelegt werden”, ergänzte der Forscher. “Es gibt keinen Grund dafür, außer man verliert sein Passwort. Aber dann sollten die Daten verloren sein.” Eine Wiederherstellungsoption bedeute, dass die Daten nicht sicher seien.

“Wir haben die Vorwürfe detailliert untersucht und festgestellt, dass die Schlussfolgerung falsch ist. Wir möchten unseren Kunden erneut versichern, dass das Knox-Passwort und das Schlüssel-Management nach den besten Sicherheitsmethoden implementiert wurden. Die Sicherheitszertifizierungen, die Knox-Geräte erhalten haben, sind eine unabhängige Bestätigung für Samsung Knox.”

Der Forscher weist in einem Nachtrag zu seinem Blog drauf hin, dass er die Version 2.0.2 der auf seinem Samsung Galaxy S4 vorinstallierten App Knox Personal analysiert hat und nicht die gleichnamige Enterprise-Mobility-Lösung Knox EMM. “Ich würde wirklich gerne auch das sogenannte MyKnox untersuchen und prüfen, ob die in Ihrer Pressemitteilung genannten Sicherheitsmaßnahmen wahr sind. Bitte lassen Sie mich wissen, welches Gerät ich kaufen muss, um die sichere Version zu erhalten.”

Samsung Knox erlaubt es, separate Partitionen auf einem Android-Gerät anzulegen, um beispielsweise geschäftliche von privaten Daten zu trennen. Diese auch als Container bezeichneten Partitionen haben ein eigenes verschlüsseltes Dateisystem, das Apps innerhalb des Containers von Anwendungen außerhalb abgrenzt. Einige der Funktionen von Knox hat Google auch in die neue Android-Version 5.0 Lollipop integriert.

Schon im Januar hatte das koreanische Unternehmen eine Datenlücke in Knox bestritten. Ein israelischer Forscher hatte zu dem Zeitpunkt behauptet, Malware könne trotz Verschlüsselung E-Mails mitlesen und Datenkommunikation aufzeichnen.

[mit Material von Stefan Beiersmann, ZDNet.de]

Tipp: Wie sicher sind Sie bei der Sicherheit? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de