Sicherheitslücke bedroht alle Java-fähige Handys

Wie tecChannel.de aktuell berichtet, gelang es dem Computerspezialisten Adam Gowdiak ohne direktes Insiderwissen, den Lücken im Java-System für mobile Geräte auf die Spur zu kommen. Auf einer Konferenz demonstrierte er live, dass die Sicherheitsfunktionen von Java-Handys zu überwinden sind.

Das von Gowdiak skizzierte Szenario nutzt eine Kombination diverser Schwächen und Strategien, um ein so genanntes MIDlet (Java-Programm) zu erstellen. Dies durchbricht die Schutzmechanismen unerkannt vom ahnungslosen Anwender und erhält Zugang zu allen Systemressourcen des Handys.

Der Anwender muss das MIDlet auf dem Gerät installieren und starten. Beispielsweise könnte sich in einem kostenlos zum Download angebotenen Spiel oder einer beliebigen anderen Anwendung bösartiger Code verbergen. Startet der Anwender das das Programm und damit den Schadcode, dann liegen durch die auf dem Gerät zur Verfügung stehenden Kommunikations-Features wie SMS, direkte Socket-Verbindungen oder E-Mail sehr persönliche Daten auf dem Präsentierteller. Der Angreifer könnte so auch ohne Wissen des Handybesitzers teure Mobilfunkdienste wie Premium SMS aktivieren, bei denen er der finanziell Begünstigte ist. Dieses Szenario ist vergleichbar mit Dialer-Software im Computer-Bereich.

Die Schwachstelle betrifft grundsätzlich jedes Handy, das die Java 2 Micro Edition (J2ME) verwendet. Laut einer Studie des finnischen Herstellers Nokia wurden bis Anfang 2004 weltweit schon 250 Millionen Java-fähige Geräte verkauft. Nokia gibt weiter an, dass es derzeit über 300 Modelle von 32 verschiedenen Herstellern gibt.

In seinem Vortrag ließ Gowdiak zwar wichtige Details aus, um den Handy- und Software-Herstellern genug Zeit zu geben, aktiv auf die Gefährdung ihrer Produkte einzugehen, bevor die ersten Hacker das gesamte Geheimnis lüften und missbrauchen. Allerdings ist das Bedrohungspotenzial groß, so lange die aufgedeckten Lücken nicht geschlossen werden und weit verbreitet sind. Die Handyhersteller und die Firma Sun als Java-Initiator halten sich mit Informationen noch bedeckt.