Jan Schejbal berichtet von einer Sicherheitslücke in der Auto-Update-Funktion der zum neuen ePerso gehörenden Ausweis-App: Weil das Zertifikat des Update-Servers nicht ausreichend geprüft wird, kann nach einer DNS- oder /etc/hosts-Manipulation mit Hilfe eines beliebigen gültigen Zertifikats beliebiger Code über eine .zip-Datei eingespielt werden. Die Ausweis-App selbst allerdings kann nicht so einfach modifiziert werden, weil die Signatur des Installers geprüft wird. Details hier.
Im Klartext heißt das: Theoretisch kann Schadcode nachgeladen werden. Die dafür notwendigen Manipulationen setzen aber neben einem gültigen Zertifikat entweder einen guten DNS-Hack, physikalischen Zugriff mit Admin-Rechten, oder eine bereits vorhandene Hintertür voraus: Wenn ich auf einem Rechner die Möglichkeit habe, die /etc/hosts zu editieren, bin ich als Angreifer im Zweifelsfall nicht mehr darauf angewiesen, mir über die Ausweis-App Schadcode nachzuladen.
Der Angriff ist gegen die aktuelle AusweisApp getestet, die sich bei der Installation als 1.0.1, beim Update als 1.0.0 identifiziert.
PS: Wo liegt die /etc/hosts eigentlich bei Windows-Rechnern?