Missbrauch möglich
ePerso: Neue Sicherheitslücke entdeckt
Jan Schejbal, Mitglied der Piratenpartei, hat erneut eine Sicherheitslücke im Zusammenhang mit dem ePerso entdeckt. Unter gewissen Umständen kann sich ein Angreifer Zugriff zum neuen Personalausweis eines Nutzers verschaffen und sich bei anderen Webseiten damit ausweisen.
Als Voraussetzungen für einen erfolgreichen Angriff muss der Nutzer ein Basislesegerät besitzen und das Browser-Plug-in "OWOK" der Firma Reiner SCT installiert haben. Die Erweiterung wird zur Nutzung der LoginCard benötigt, die gemeinsam mit dem Basislesegerät der Firma vertrieben wurde. Da das Starterkit von Reiner SCT der Zeitschrift Computerbild beilag, geht Schejbal davon aus, dass das Plug-in auf vielen Rechnern vorhanden ist. Allerdings könnten auch andere Erweiterungen von der Sicherheitslücke betroffen sein, die Zugang zu Chipkartenlesern ermöglichen.
Erst wird PIN gestohlen
Der Angriff erfolgt in mehreren Schritten. Zunächst muss der Nutzer eine präparierte Webseite besuchen, die die AusweisApp vortäuscht und ihn zur Eingabe des PINs auffordert, um zum Beispiel sein Alter zu verifizieren. So gelangt die Internetseite und somit der Angreifer in den Besitz des PIN. Auf dieses Problem machte Schejbal bereits im Januar aufmerksam.
Jetzt kommt erschwerend hinzu, dass der Angreifer über das OWOK-Plug-in auf das Lesegerät und somit auf den Ausweis des Nutzers zugreifen kann. Der Angreifer verschafft sich entweder über eine XSS-Lücke von OWOK Zugriff auf das Lesegerät oder der Nutzer bestätigt einen entsprechenden Hinweis der Internetseite, die dem Plug-in den Zugriff erlaubt. Der Angreifer kann den fremden ePerso anschließend nutzen, um sich bei anderen Internetseiten anzumelden und Aktionen im Namen des Nutzers durchführen.
Schejbal hatte zuvor auch schon auf eine Sicherheitslücke in der AusweisApp hingewiesen, die durch ein Update der Software inzwischen geschlossen wurde.
der eperso ist eh schwachsinn, es gibt immer einen weg jedes system zu umgehen!