Sicherheit am Mobiltelefon

Was tun, wenn sich das Mobiltelefon selbstständig macht und Daten mit dem öffentlichen USB-Ladekabel austauscht? Zum Glück muss man sich darüber keine Sorgen machen – auch wegen der Forschungsarbeit von Florian Draschbacher und seinem Team an der TU Graz.

Der PhD-Kandidat der TU Graz hat sich dem Forschungsfeld der Mobile Security verschrieben, beschäftigt sich also mit allen Sicherheitsthemen rund um Mobiltelefone. Dazu zählen sowohl die unterschiedlichen Konnektivitäten von Handys (kabelgebunden und drahtlos) als auch Supply Chain Security und API-Schnittstellen-Sicherheit.

Zur Supply Chain Security gehört etwa, dass in einer App nicht nur originärer Code einer*eines Entwickler*in genutzt wird, sondern auch Fremdcode eingebaut ist – zum Beispiel von Werbeanbietern, Data-Analytics-Firmen oder aus unterschiedlichen Open-Source-Projekten. Diese Codezeilen können nur teilweise überprüft werden und bieten Angriffsmöglichkeiten. Und auch am Weg von dem*der Entwickler*in zum App Store und weiter zum Smartphone bestehen Möglichkeiten, bösartigen Code einzuschleusen. Der dritte Bereich seiner Arbeit in der Mobile Security sind API-Schnittstellen, also Verbindungspunkte von Betriebssystemen und Apps, die Eintrittstüren für Angreifende offen lassen können, wenn sie nicht ausreichend abgesichert wurden.

Nach Juice Jacking kam Choice Jacking

Vor rund zehn Jahren wurde der Angriff Juice Jacking bekannt. Mittels manipulierter USB-Ladegeräte, die im öffentlichen Raum zum Aufladen von Mobiltelefonen zur Verfügung standen, konnten Daten gestohlen werden. „Ein Handy hat nur eine Schnittstelle für Strom und Datenübertragung. Die Betriebssysteme sind einfach davon ausgegangen, dass ein*e User*in der Schnittstelle vertraut, wenn sie*er sich damit verbindet“, erklärt Florian Draschbacher. Die Entwickler*innen führten ein neues Dialogfeld ein, in dem die User*innen die Datenübertragung bestätigen müssen. „Wir haben eine Möglichkeit gefunden, diesen Dialog innerhalb von Millisekunden von einem manipulierten Ladegerät bestätigen zu lassen und wieder eine Datenübertragung ohne das Wissen der Besitzer*innen starten.“ Den Forschenden ist vor allem ethisches Vorgehen wichtig, weshalb die Lücke sofort an die Hersteller*innen gemeldet und dort auch behoben wurde. Damit ist aber nun noch nicht Schluss, denn: „Mein Forschungsziel ist Datensicherheit für Endnutzer*innen. Deshalb ist meine Neugierde noch nicht gestillt und ich suche weiter nach neuen Lücken.“

Von der App-Entwicklung zur Mobile Security

Das Interesse an Apps machte sich bereits in jungen Jahren bei dem heute 30-jährigen bemerkbar. Als Hobby: „Mich hat App-Entwicklung schon immer interessiert und ich fand es faszinierend, dass so kleine Geräte mit ein wenig Aufwand zu Multifunktionswerkzeugen gewandelt werden können“, erzählt er heute. „Ich habe ein Gymnasium besucht, mein Weg in die Technik war also nicht vorgezeichnet. Aber heute sehe ich es eher als Vorteil, dass die Informatik lange nur ein Hobby geblieben ist.“ Heute kann er sich ein Leben ohne die Forschung nicht mehr vorstellen: „Es ist Rätsel und Wunder zugleich. Der Forschergeist und die Neugierde sind immer präsent. Ich kann das nicht abschalten.“

Nicht „narrisch“ machen

Privat hat Florian Draschbacher einen pragmatischen Blick auf potentielle Sicherheitslücken: „Es bringt nichts, wenn man sich andauernd narrisch macht. Es ist zwar wichtig, dass man immer die neuesten Sicherheitsupdates am Mobiltelefon hat, aber als Normal-Verbraucher muss man wenig Sorge um gezielte Angriffe haben. Wichtig ist nur, sich um besonders sensible und schützenswerte Daten Gedanken zu machen.“