Einem Team der US-Uni Georgia Tech und des Massachusetts Institute of Technology (MIT) ist es gelungen die durch die Tastatureingabe entstehenden Erschütterungen mit dem Beschleunigungssensor eines iPhone 4, das neben der Tastatur lag, mitzuschneiden und den eingegebenen Text zu rekonstruieren. Das iPhone kann somit über Spyware zu einer Art akustischen Keylogger umfunktioniert werden. Der Artikel bringt dieses neue Sicherheitsrisiko in Beziehung zum IT-Grundschutzkatalog des BSI.
Das iPhone als Keylogger
Durch das Drücken einer Taste auf der PC- / Notebooktastatur entstehen Schwingungen, die auf den Tisch übertragen werden. Diese Vibration kann der sehr empfindliche Beschleunigungssensor im iPhone aufzeichnen. Es wurden hier jedoch keine einzelnen Tastenanschläge sondern aufeinanderfolgende Tastenkombinationen ausgewertet. Damit soll sich zumindest die ungefähre Postion auf der Tastatur und der Abstand der Tasten untereinander ermitteln lassen. Bei der eigentlichen Ermittlung wurde eine Liste mit 58.000 Wörter und den dazugehörigen möglichen Kombinationen von Eingabeorten auf der Tastatur verwendet. Die Erkennungsrate soll bei 80 Prozent liegen.
Mit einer auf dem iPhone / Android-Smartphone des PC-Besitzers installierten Spionagesoftware können so vertrauliche Informationen und insbes. Passwörter ausgespäht werden. Als wirksame Gegenmaßnahme empfehlen die Forscher, das iPhone weiter von der Tastatur wegzulegen oder es in eine Hülle zu schieben (diese dämpft anscheinend die Schwingungen). Dann seien die Daten kaum noch auswertbar.
Quelle: http://www.heise.de/../iPhone-spuert-Eingaben-auf-PC-Tastatur-1364077.html
Einordnung in IT-Grundschutz-Katalog des BSI
Es handelt sich hier um eine Gefährdung durch „Vorsätzliche Handlungen“ (G 5), da sich hier eine Dritte Person mit Wissen und Wollen Zugang zu vertraulichen Informationen verschaffen will.
In Frage kommen hier folgende Gefährdungen:
Für diesen Zweck können aber auch speziell manipulierte Mobiltelefone benutzt werden, denen nicht einmal angesehen werden kann, dass sie eingeschaltet sind. Das Mobiltelefon dient dabei als Abhöranlage, die über das Telefonnetz von jedem Ort der Welt aktiviert werden kann, ohne dass dies am Mobiltelefon erkennbar wäre.
Der in G 5.95 Abhören von Raumgesprächen über Mobiltelefone erwähnte Einbau zusätzlicher elektronischer Schaltungen ist eine typische Hardware-Manipulation. Damit diese Manipulation durchgeführt werden kann, muss sich das zu manipulierende Gerät für eine gewisse Zeit im Besitz des Angreifers befinden.
Unter G 5.95 fallen also nur Hardwaremanipulationen. Diese liegt beim iPhone-Beschleunigungssensor nicht vor. Es wird für diesen Angriff der serienmäßige Beschleunigungssensor verwendet.
Eine andere Möglichkeit, Mobiltelefone für Abhörzwecke nutzbar zu machen, besteht in der Manipulation der geräteinternen Steuersoftware (Firmware). Derartige Manipulationen sind weitaus schwerer zu entdecken als Hardware-Manipulationen.
Unter G 5.96 fallen Firmware-Manipulationen. Dies könnte hier vorliegen. Wahrscheinlicher ist jedoch, dass hier die für den Beschleunigungssensor bereits implementierte Firmware verwendet wird. Die Aufzeichnung und Auswertung wird dann durch eine Art Spy-App erledigt, welche über die Firmware auf die Daten des Beschleunigungssensor zugreift.
Da sensitive Daten oft nicht ausreichend geschützt werden, können diese oft auf optischem, akustischem oder elektronischen Weg ausgespäht werden.
Der iPhone-Keylogger könnte eine Gefährdung nach G 5.104 darstellen. Hier wird über den Beschleunigungssensor des iPhones die Information (z.B. ein geheimes Passwort) über akustischen Weg ausgespäht. Die durch den Tastenanschlag verursachten Schwingungen sind akustische Signale, die durch Vibration übertragen werden. Eine Gefährdung nach G 5.104 kommt damit in Frage.
Viele mobile Endgeräte wie Laptops, PDAs oder Mobiltelefone werden mittlerweile mit integriertem Mikrofon oder Kamera ausgeliefert. Mit diesen können nicht nur Ideen oder Schnappschüsse unterwegs aufgenommen werden, sie können auch dazu benutzt werden, unbemerkt Gespräche aufzuzeichnen oder abzuhören (siehe auch G 5.95 Abhören von Raumgesprächen über Mobiltelefone ).
Hierunter fällt also nur das Abhören von Informationen mittels Mikrofon. Der Beschleunigungssensor ist jedoch kein Mikrofon, da er die Beschleunigung misst, indem die auf eine Testmasse wirkende Trägheitskraft bestimmt wird. Somit kann z. B. bestimmt werden, ob eine Geschwindigkeitszunahme oder -abnahme stattfindet. G 5.123 kann somit ausgeschlossen werden.
Als Spyware werden Programme bezeichnet, die heimlich, also ohne darauf hinzuweisen, Informationen über einen Benutzer bzw. die Nutzung eines Rechners sammeln und an den Urheber der Spyware weiterleiten.
In Spyware kann auch Programme zum Mitschneiden von Tastatureingaben, sogenannte Keylogger, integriert sein. Hierbei werden alle Tastatureingaben aufgezeichnet und möglichst unbemerkt an den Angreifer übermittelt. Dieser filtert dann aus diesen Informationen für ihn wichtige Daten, wie z. B. Anmeldeinformationen oder Kreditkartennummern.
Hier wird deutlich, dass hier nur die Spyware unter diese Gefährdung fällt, die auf dem Zielrechner, auf dem sich die auszuspionierenden Informationen befinden, installiert ist. Das iPhone ist zwar mit einem Spionageprogramm infiziert, welches die Mitgeschnittenen Ergebnisse an Dritte weiterleitet. Jedoch ist dies nicht das Hauptziel des Angriffs, sondern die Informationen die auf dem PC eingegeben werden, der belauscht wird. Deswegen kommt G 5.127 eher nicht in Frage.
Grundsätzlich müssen zwei Varianten des unbefugten Abhörens von Räumen unterschieden werden. Bei der ersten Variante geht die Bedrohung ausschließlich von einem Endgerät aus. Hier sind intelligente Endgeräte mit eingebauten Mikrofonen wie Multimedia-PCs, PDAs, Mobiltelefone, aber auch Anrufbeantworter oder ISDN-Karten zu nennen. Solche Endgeräte können, wenn entsprechende Funktionalitäten implementiert sind, aus der Ferne, d. h. aus dem öffentlichen Netz, dazu veranlasst werden, die eingebauten Mikrofone freizuschalten. Ein bekanntes Beispiel hierfür ist die so genannte „Baby-Watch-Funktion“ von Anrufbeantwortern (siehe Baustein B 3.403 Anrufbeantworter ).
Die zweite Variante ist die Ausnutzung der Funktionalität der TK-Anlage selbst in Verbindung mit entsprechend ausgerüsteten Endgeräten. Diese Gefährdung entsteht durch die missbräuchliche Verwendung des Leistungsmerkmals „direktes Ansprechen“ in Kombination mit der Option „Freisprechen“. Die auf diese Weise realisierbare Funktion einer Wechselsprechanlage kann unter gewissen Umständen auch zum Abhören eines Raumes ausgenutzt werden.
Es gelten die Auführungen zu G 5.123.
Viele IT-Systeme werden mittlerweile mit Mikrofon ausgeliefert. Das Mikrofon eines vernetzten Rechners kann von denjenigen benutzt werden, die über Zugriffsrechte auf die entsprechende Gerätedateien verfügen (unter Unix ist das zum Beispiel /dev/audio, unter Windows NT ist es ein Eintrag in der Registrierung). Wenn diese Rechte nicht sorgfältig vergeben sind und dadurch auch andere als die vorgesehenen Benutzer Zugriff haben, kann das Mikrofon zum Abhören missbraucht werden.
Es gelten die Auführungen zu G 5.123.
Im Ergebnis fällt der oben beschriebene Angriff meiner Einschätzung nach unter G 5.104 Ausspähen von Informationen, wobei auch eine Einordnung unter G 5.127 Spyware je nach Auslegung denkbar ist.
Gegenmaßnahmen nach IT-Grundschutz
Es kommen folgende Gegenmaßnahmen in Frage:
- M 2.188 Sicherheitsrichtlinien und Regelungen für die Mobiltelefon-Nutzung
- M 2.309 Sicherheitsrichtlinien und Regelungen für die mobile IT-Nutzung
- M 3.60 Sensibilisierung der Mitarbeiter zum sicheren Umgang mit mobilen Datenträgern und Geräten
- M 4.114 Nutzung der Sicherheitsmechanismen von Mobiltelefonen
- M 4.345 Schutz vor unerwünschten Informationsabflüssen
- M 4.89 Abstrahlsicherheit
Die oben dargestellte einfache Gegenmaßnahme (Entfernen des iPhones von der Tastatur) fällt meiner Meinung nach unter M 4.345 Schutz vor unerwünschten Informationsabflüssen. Es handelt sich hier nämlich um den organisatorischen Ansatz (Anweisung an die Mitarbeiter), dass Mobiltelefone, die in das Unternehme / die Behörde mitgenommen werden, einen Mindestabstand von dort eingesetzten Tastaturen haben müssen.
Kurzzusammenfassung
Dieser neuartige Angriff ist damit dank der allgemeinen Formulierung des IT-Grundschutzes bereits dort enthalten. Er fällt unter G 5.104 und es kann mit der Maßnahme M 4.245 gegengesteuert werden. Es könnte jedoch ein konkretes Beispiel aufgenommen werden, damit den Anwendern des IT-Grundschutzes ein Hinweis auf die o.g. Arbeitsanweisung gegeben wird.