idw – Informationsdienst Wissenschaft

Nachrichten, Termine, Experten

Grafik: idw-Logo
Grafik: idw-Logo

idw - Informationsdienst
Wissenschaft

Science Video Project
idw-Abo

idw-News App:

AppStore

Google Play Store



Instance:
Share on: 
01/19/2016 17:13

Informatiker finden Sicherheitslücke: Eduroam-Accounts von Studierenden und Mitarbeitern gefährdet

Annika Bingmann Pressestelle
Universität Ulm

    Informatiker der Uni Ulm haben eine Sicherheitslücke im Netzwerk "Eduroam"aufgedeckt. Über Eduroam verbinden sich täglich Tausende Studierende und Beschäftigte an Forschungseinrichtungen auf der ganzen Welt mit dem Internet. Das beunruhigende Szenario: Ohne großen Aufwand gelingt es Betrügern, sich als Eduroam-Zugangspunkt auszugeben und so Accountdaten auszuspionieren. Im schlimmsten Fall könnten diese Angreifer E-Mails im Namen der Smartphone-Besitzer verschicken oder sogar Prüfungsergebnisse verändern. Dabei lässt sich ein Eduroam-Account ganz einfach absichern.

    Täglich verbinden sich Tausende Studierende und Beschäftigte an Forschungseinrichtungen weltweit über den Dienst Eduroam mit dem Internet. Doch wer seinen Eduroam-Account auf dem Smartphone nicht ausreichend sichert, öffnet Betrügern Tür und Tor: Informatiker der Universität Ulm haben nämlich herausgefunden, dass Benutzernamen und Passwörter von Uni-Mitgliedern ohne großen technischen Aufwand ausgespäht werden können. „Datenabgreifer“ könnten Studierende zu Prüfungen an- und abmelden oder E-Mails in ihrem Namen versenden. Sind Accounts von Prüferinnen und Prüfern betroffen, wäre es sogar möglich, Noten zu verändern. Grund für diese Sicherheitslücke ist die fehlerhafte Konfiguration der Nutzerdaten auf Smartphones mit dem Betriebssystem Android.

    Dabei lässt sich der Eduroam-Account ganz einfach absichern: Nutzer müssen bei der Anmeldung lediglich ein Zertifikat der Deutschen Telekom herunterladen. Doch das versäumen vor allem Smartphone-Besitzer mit dem Betriebssystem Android: „Android verwendet in den Standardeinstellungen kein solches Zertifikat und warnt Nutzer auch nicht vor möglichen Gefahren“, sagt Thomas Lukaseder vom Institut für Verteilte Systeme. Bereits vor einigen Monaten hatte der Wissenschaftliche Mitarbeiter die potentielle Sicherheitslücke entdeckt und eine entsprechende Bachelorarbeit ausgeschrieben. Der Informatikstudent Manuel Strobel benötigte dann lediglich einen handelsüblichen Laptop, um sich vor der Mensa, in Vorlesungen und auf dem Campus als Eduroam-Zugangspunkt „auszugeben“ und Accountdaten auszuspähen. Ein wichtiges Ergebnis seiner Bachelorarbeit: 47 Prozent der in Eduroam genutzten Geräte an der Universität Ulm sind angreifbar. „Hierbei handelt es sich nicht um ein alleiniges Problem der Universität Ulm. Eine ähnliche Studie aus Bochum zeigt: Auch an der Ruhr-Universität sind 52 Prozent der Eduroam-Accounts gefährdet. Wahrscheinlich sind alle Einrichtungen im Eduroam-Verbund betroffen“, betont Lukaseder. Das Kommunikations- und Informationszentrum (kiz) der Universität Ulm trifft keine Schuld: Auf der Webseite des „Rechenzentrums“ findet sich eine Anleitung zur Installation des Netzwerks, in der auf das Zertifikat der Deutschen Telekom hingewiesen wird.

    Ein weiteres Ergebnis der Bachelorarbeit: Technisches Hintergrundwissen hat offenbar keinen Einfluss darauf, ob die Einrichtung des Netzwerks korrekt durchgeführt wird. Gerade die Accounts von angehenden Informatikerinnen und Informatikern sind gefährdet, da diese Studierenden besonders oft das Betriebssysteme Android nutzen und über das eigentlich als sicher geltende Netzwerk Eduroam im Internet surfen. Auf Nachfrage waren viele Betroffene irrtümlich davon überzeugt, das Zertifikat zu verwenden.

    Natürlich hat Bachelorstudent Manuel Strobel keine Accountdaten abgespeichert, sondern lediglich die Angreifbarkeit festgestellt. Eduroam-Nutzer an der Universität Ulm und anderswo sollten dennoch ihre Einstellungen überprüfen und gegebenenfalls um das Telekom-Zertifikat erweitern. Danach sollte auch das Passwort geändert werden.

    Wissenschaftler um Professor Frank Kargl, Leiter des Instituts für Verteilte Systeme, haben schon öfter Sicherheitslücken aufgedeckt. Als nächsten Schritt will Doktorand Thomas Lukaseder weitere Betriebssysteme untersuchen und die bisherigen Ergebnisse publizieren.


    More information:

    http://www.uni-ulm.de/einrichtungen/kiz/service-katalog/netzwerk-konnektivitaet/... Anleitung zur korrekten Installation von Eduroam


    Images

    In seiner Bachelorarbeit hat Manuel Strobel (links) eine Sicherheitslücke im Netzwerk Eduroam aufgedeckt. Betreut wurde er von Thomas Lukaseder (rechts) vom Institut für Verteilte Systeme
    In seiner Bachelorarbeit hat Manuel Strobel (links) eine Sicherheitslücke im Netzwerk Eduroam aufged ...
    Foto: Matousek/Uni Ulm
    None


    Criteria of this press release:
    Journalists
    Electrical engineering, Information technology, Media and communication sciences
    transregional, national
    Research results
    German


     

    Help

    Search / advanced search of the idw archives
    Combination of search terms

    You can combine search terms with and, or and/or not, e.g. Philo not logy.

    Brackets

    You can use brackets to separate combinations from each other, e.g. (Philo not logy) or (Psycho and logy).

    Phrases

    Coherent groups of words will be located as complete phrases if you put them into quotation marks, e.g. “Federal Republic of Germany”.

    Selection criteria

    You can also use the advanced search without entering search terms. It will then follow the criteria you have selected (e.g. country or subject area).

    If you have not selected any criteria in a given category, the entire category will be searched (e.g. all subject areas or all countries).