Java-Sicherheit auf Handys ausgehebelt

Diskutiere Java-Sicherheit auf Handys ausgehebelt im BenQ-Siemens Forum Forum im Bereich Sonstige Forum; Quelle: heise news
P

Piotr Lamasz

USP-Guru
Threadstarter
Dabei seit
01.07.2004
Beiträge
1.183
Ort
München
Modell(e)
MDAcompact @ 2GBSanDiscUltraII
Java-Sicherheit auf Handys ausgehebelt

Ein polnischer Sicherheitsexperte hat erstmals gezeigt, dass eine manipulierte Java-Applikation auf einem Mobiltelefon sämtliche Sicherheitsfunktionen vollständig aushebeln kann. Auf der Konferenz Hack in the Box demonstrierte Adam Gowdiak seinen Exploit auf einem Nokia 6310i. Mit den entdeckten Sicherheitslücken, die im Prinzip sämtliche Java-fähigen Handys aller Hersteller betreffen, konnte der Hacker auf Speicherbereiche und Systemfunktionen des Telefons außerhalb der Virtual Machine zugreifen, ohne dass ein Anwender davon etwas merken würde.

Ein vom Handy-Besitzer blauäugig installierter Trojaner, der sich etwa als Spiel tarnt, könnte mit den gezeigten Tricks großen Schaden anrichten: Persönliche Daten aus dem Telefonbuch und gespeicherte Kurznachrichten könnte ein Schadprogramm etwa per SMS an beliebige Telefonnummern versenden. Sogar teure Internetverbindungen ließen sich aufbauen und der Trojaner könnte den internen Flash-Speicher überschreiben, um darin weitere Schadfunktionen zu installieren oder das Telefon unbrauchbar zu machen.

In einer Java-Virtual-Machine sind einige Sicherheitschecks eingebaut, die das beschriebene Horrorszenario verhindern sollten. In der abgespeckten KVM für Handys verzichtet Sun aus Performancegründen auf eine Sicherheitskontrolle des vom Java-Compiler erzeugten Bytecodes zur Laufzeit, wie es bei den Java-Umgebungen für PCs und Server der Fall ist: Die Bytecode Verifier genannte Komponente läuft nicht auf dem Handy, sondern prüft den Code auf dem Entwickler-PC nach dem Kompilieren, um ihn mit speziellen "Stack-Map-Attributen" als ungefährlich zu markieren. Adam Godwiak ist es gelungen, eigenen Bytecode so zu manipulieren, dass ihn die Handy-VM als geprüft akzeptiert. Darüber hinaus fand er einen Weg, um direkt auf den Hauptspeicher des Gerätes zuzugreifen und damit Systemfunktionen außerhalb der VM zu nutzen und zu verändern.

Godwiak hatte Sun und die Handy-Hersteller bereits vor einiger Zeit auf das Problem aufmerksam gemacht. In seinem Vortrag klammerte er wichtige Details aus, um den Herstellern gegenüber böswilligen Programmierern einen Vorsprung zu verschaffen.

Gegenüber heise security bestätigte Sun-Sprecher Russ Castronovo, dass Sun das Problem seit mehreren Monaten bekannt sei. Man habe mit dem Hacker zusammengearbeitet, die Lücke beseitigt und allen Lizenznehmern eine neue Version der Java-Umgebung zur Verfügung gestellt. Bisher hat aber noch kein Handy-Hersteller konkrete Angaben gemacht, wann entsprechende Firmware-Updates veröffentlicht werden und wie die Endkunden ihre Handys aktualisieren können.

Die im Handy-Java entdeckten Lücken sind brisant und zeigen, dass es auch auf Mobiltelefonen gefährlich ist, Software aus zweifelhaften Quellen zu installieren. Auch für andere Handy-Umgebungen lassen sich Schädlinge programmieren: Das Magazin iX hatte bereits im April dieses Jahres einen eigenen Trojaner als Proof-of-Concept für das Handy-Betriebssystem Symbian entwickelt. (kav/c't)

Quelle: heise news
 
B

Braindead

Junior Mitglied
Dabei seit
04.07.2004
Beiträge
18
Das mag sich ziemlich derbe anhören, allerdings kann es auch von Vorteil sein. Durch eine Lücke in Java lassen sich z.B. manche Siemens Handys unlocken, wo es sonst durch ein Bugfix von S. ansonsten nicht mehr möglich wäre.
Desweiteren hat man als Entwickler somit die endlich die Möglichkeit, direkt auf die Hardware zugreifen zu können, was man ja bei J2ME so schmerzlich vermisst.

Es könnten natürlich Leute auf den Trichter kommen das zu missbrauchen, aber ich denke, dafür ist die Lücke a) noch zu unbekannt und b) relativ kompliziert zu benutzen (was ich jetzt nur von Siemens behaupten kann, wie es bei anderen Herstellern aussieht, weiß ich nicht).
 
P

Piotr Lamasz

USP-Guru
Threadstarter
Dabei seit
01.07.2004
Beiträge
1.183
Ort
München
Modell(e)
MDAcompact @ 2GBSanDiscUltraII
Originally posted by Braindead@20.10.2004, 14:58
Desweiteren hat man als Entwickler somit die endlich die Möglichkeit, direkt auf die Hardware zugreifen zu können, was man ja bei J2ME so schmerzlich vermisst.

Es könnten natürlich Leute auf den Trichter kommen das zu missbrauchen, aber ich denke, dafür ist die Lücke a) noch zu unbekannt
Naja ich glaube.. wenn jemmand raus hat, wie er die Lücke Positiv nutzen kann, weiß er auch wie er sie negativ nutzen kann.

Vorallem ist das ja am Anfang ein unbekanntes undokumentiertes Gebiet, wo man sich und anderen schnell was zerschiessen kann.
 
Thema:

Java-Sicherheit auf Handys ausgehebelt

Java-Sicherheit auf Handys ausgehebelt - Ähnliche Themen

Android - Begriffserklärungen von A - Z: Alle Infos sind nach besten Wissen recherchiert worden. Fehler, Änderungen oder Ergänzungen bitte ich per PN mitzuteilen. A2SD (ApptoSD)...
Sicherheitslücken in Handy-Java J2ME: Hallo, schaut mal was ich heute bei PC Welt gelesen habe: Sun bestätigt schwere Sicherheitslücken in Handy-Java J2ME Die in Java-fähigen...
Messebericht CeBIT 2006: BenQ Mobile auf der CeBIT 2006 In diesem Jahr präsentierte sich das neue Unternehmen BenQ Mobile sowie die Doppelmarke BenQ-Siemens erstmals auf...

Sucheingaben

java sicherheitsbeyschränkungen im nokia handy

Oben