Mobile Geräte erfassen mehr Daten, als sie tatsächlich benötigen. Das Problem: Diese Erfassung wird dem Nutzer nicht immer mitgeteilt. Viele Apps verlangen übermäßige Berechtigungen, und im Fall von Browsern werden Daten der integrierten Sensoren abgegriffen. Eine Gruppe von Forschern der Newcastle University hat gezeigt, dass dies auf böswillige Weise ausgenutzt werden kann – mit einem neuen Angriff namens PINLogger, der Sensordaten interpretiert und die PIN mit einer Genauigkeit von 94 Prozent in nur drei Versuchen berechnet.
Viele Android- und iOS-Spiele verlangen aus technischen Gründen Zugriff auf die Sensoren des Mobilgeräts, aber ich habe Beispiele gesehen, die direkt missbräuchlich sind. Wozu braucht ein Spiel mein Kalender oder meine Kontakte? Als erstes fällt uns dieses magische Wort ein: Werbung. Der durchschnittliche Nutzer misst diesen sekundären Daten keinen großen Wert bei, aber es gibt Leute da draußen, die bereit sind, dafür zu zahlen und ein „personalisierteres Erlebnis“ zu bieten. Was aber, wenn jemand einen Weg findet, diese Daten für böswillige Zwecke zu nutzen? Was kann unser Smartphone preisgeben, ohne dass wir es merken?
Zunächst... die PIN. Laut einer Gruppe von Forschern der Newcastle University kann der JavaScript-basierte Angriff PINLogger die Bewegung und Ausrichtung eines Android-Geräts „belauschen“, ohne dass der Benutzer zustimmt, die von den Sensoren gesendeten Datenströme mit einem neuronalen Netz analysieren und daraus die PIN berechnen. Die Studie zeigt, dass PINLogger bei einer vierstelligen PIN den Code beim ersten Versuch in 74 Prozent der Fälle, beim zweiten in 86 Prozent und beim dritten in 94 Prozent der Fälle herausfindet. Im Gegensatz zu anderen Angriffen erfordert PINLogger keine Installation von Software auf dem Smartphone. Es reicht, dass ein Browser mit dem bösartigen Code in einer Webseite geöffnet bleibt, während der Benutzer die PIN eingibt.
Natürlich hängt die Wirksamkeit von PINLogger davon ab, wie viele Sensoren der Browser abrufen kann, und das variiert stark je nach Software und Betriebssystem. Die geteilten Beispiele konzentrieren sich auf iOS 8 und Android Lollipop, die technisch nicht mehr unterstützt werden, aber dennoch weit verbreitet sind. Im Allgemeinen sind alternative Browser die invasivsten, angeführt von Baidu und CM Browser. Derzeit ist der Zugriff per JavaScript auf ein paar Sensoren beschränkt, aber das könnte sich in Zukunft ändern. Vielleicht ist es an der Zeit, Einschränkungen des Sensorzugriffs „pro Anwendung“, Whitelists oder direkt die Manipulation von Berechtigungen zu implementieren.
