NFC gibts ja schon eine ganze Weile, wenn auch bislang nur in ganz wenigen Low-Level-Phones – jetzt hab ich erstmals einen tieferen Einblick in die Technik und – vorallem – die Sicherheitslage im Praxiseinsatz gekriegt, und die ist scheinbar katastrophal.
In seinem Vortrag First look at the security of NFC mobile phones hat der Programmierer Collin Mulliner gleich eine riesen Menge potenzieller Schwachstellen und Angriffsmöglichkeiten auf Services gezeigt, die mit der neuen Nahfunktechnik für Handys betrieben werden.
NFC (Near-field-communication) hat eine Reichweite von ein paar CM, es ist … RFID-ähnlich oder basiert auf RFID, weiß ich gerade nicht ganz sicher…. und damit werden bereits vereinzelt Micropayment-Dienste wie Fahrkartenverkauf im ÖPNV oder an Getränkeautomaten betrieben, u.A. in Wien und Frankfurt.
Mulliner erläuterte nun, wie NFC im Detail funktioniert, wie die Transaktionen ablaufen, und führte aus, dass man nur herumlaufen muss, die NFC-Tags, die Lesesensoren also, die die Serviceanbieter überall angebracht haben mit eigenen Tags zu überkleben braucht, und dann arbeiten sie nicht mehr für den Serviceanbieter, sondern…. naja – für den bösen Buben halt.
Und wo ist die Gefahr?
NFC ist völlig Low-Tech, d.h. es ist sehr primitiv und bedarf nicht viel Kreativität, um es zu missbrauchen.
Mit entsprechendem Knowhow kann man statt der gewollten Aktion durch manipulierte Tags teure Premium-Nummern anrufen lassen oder extrem teure SMS auslösen, oder man schickt die Leute auf Websites, wo dann Schadcode lauert.
Die User sind in den meisten Fällen keine Tech-Freaks, zumal NFC zurzeit nur in ganz simplen Handys, z.B. zwei S40 Modellen von Nokia, zum Einsatz kommt, und es noch kein einziges NFC-Smartphone gibt.
Sie werden an irgend einen Fehler am Gerät oder am Service glauben, günstigstenfalls, und sind total anfällig für verseuchte Tags, die sich z.B. als Touristeninfo ausgeben oder Ähnliches.
Fazit
Falls NFC tatsächlich kommt, und sich auf breiterer Basis durchsetzt, wird sich wahrscheinlich eine ganz neue Kunst formieren, nämlich die, die profitabelsten NFC-Tags zu produzieren.
Auf die Verbraucher kommen dann vermutlich höchst unerquickliche Zeiten zu, das wäre dann neben Onlinebanking die zweite Hoch riskante, weil anfällige Anwendung, die mit Geld zu tun hat und von einer breiten Masse eingesetzt wird.
Siehe auch
Der Vorträger wirkt ganz cool, ein Blick in sein Blog oder auf seine Twitter-Seite könnte interessant sein.
Und dann ist hier noch die Seite von ihm bei seiner Arbeit, scheinbar irgendwo bei der Fraunhofer-Gesellschaft.
Verfasst von STRANDED 
Verfasst von STRANDED 
Verfasst von STRANDED 