Suchen Sie jetzt einen Anwalt:
   

JuraForum.deNachrichtenWissenschaftInformatiker finden Sicherheitslücke: Eduroam-Accounts von Studierenden und Mitarbeitern gefährdet 

Informatiker finden Sicherheitslücke: Eduroam-Accounts von Studierenden und Mitarbeitern gefährdet

19.01.2016, 18:10 | Wissenschaft | Autor: idw | Jetzt kommentieren

(0)

Informatiker der Uni Ulm haben eine Sicherheitslücke im Netzwerk "Eduroam"aufgedeckt. Über Eduroam verbinden sich täglich Tausende Studierende und Beschäftigte an Forschungseinrichtungen auf der ganzen Welt mit dem Internet. Das beunruhigende Szenario: Ohne großen Aufwand gelingt es Betrügern, sich als Eduroam-Zugangspunkt auszugeben und so Accountdaten auszuspionieren. Im schlimmsten Fall könnten diese Angreifer E-Mails im Namen der Smartphone-Besitzer verschicken oder sogar Prüfungsergebnisse verändern. Dabei lässt sich ein Eduroam-Account ganz einfach absichern.

Täglich verbinden sich Tausende Studierende und Beschäftigte an Forschungseinrichtungen weltweit über den Dienst Eduroam mit dem Internet. Doch wer seinen Eduroam-Account auf dem Smartphone nicht ausreichend sichert, öffnet Betrügern Tür und Tor: Informatiker der Universität Ulm haben nämlich herausgefunden, dass Benutzernamen und Passwörter von Uni-Mitgliedern ohne großen technischen Aufwand ausgespäht werden können. „Datenabgreifer“ könnten Studierende zu Prüfungen an- und abmelden oder E-Mails in ihrem Namen versenden. Sind Accounts von Prüferinnen und Prüfern betroffen, wäre es sogar möglich, Noten zu verändern. Grund für diese Sicherheitslücke ist die fehlerhafte Konfiguration der Nutzerdaten auf Smartphones mit dem Betriebssystem Android.

Dabei lässt sich der Eduroam-Account ganz einfach absichern: Nutzer müssen bei der Anmeldung lediglich ein Zertifikat der Deutschen Telekom herunterladen. Doch das versäumen vor allem Smartphone-Besitzer mit dem Betriebssystem Android: „Android verwendet in den Standardeinstellungen kein solches Zertifikat und warnt Nutzer auch nicht vor möglichen Gefahren“, sagt Thomas Lukaseder vom Institut für Verteilte Systeme. Bereits vor einigen Monaten hatte der Wissenschaftliche Mitarbeiter die potentielle Sicherheitslücke entdeckt und eine entsprechende Bachelorarbeit ausgeschrieben. Der Informatikstudent Manuel Strobel benötigte dann lediglich einen handelsüblichen Laptop, um sich vor der Mensa, in Vorlesungen und auf dem Campus als Eduroam-Zugangspunkt „auszugeben“ und Accountdaten auszuspähen. Ein wichtiges Ergebnis seiner Bachelorarbeit: 47 Prozent der in Eduroam genutzten Geräte an der Universität Ulm sind angreifbar. „Hierbei handelt es sich nicht um ein alleiniges Problem der Universität Ulm. Eine ähnliche Studie aus Bochum zeigt: Auch an der Ruhr-Universität sind 52 Prozent der Eduroam-Accounts gefährdet. Wahrscheinlich sind alle Einrichtungen im Eduroam-Verbund betroffen“, betont Lukaseder. Das Kommunikations- und Informationszentrum (kiz) der Universität Ulm trifft keine Schuld: Auf der Webseite des „Rechenzentrums“ findet sich eine Anleitung zur Installation des Netzwerks, in der auf das Zertifikat der Deutschen Telekom hingewiesen wird.

Ein weiteres Ergebnis der Bachelorarbeit: Technisches Hintergrundwissen hat offenbar keinen Einfluss darauf, ob die Einrichtung des Netzwerks korrekt durchgeführt wird. Gerade die Accounts von angehenden Informatikerinnen und Informatikern sind gefährdet, da diese Studierenden besonders oft das Betriebssysteme Android nutzen und über das eigentlich als sicher geltende Netzwerk Eduroam im Internet surfen. Auf Nachfrage waren viele Betroffene irrtümlich davon überzeugt, das Zertifikat zu verwenden.

Natürlich hat Bachelorstudent Manuel Strobel keine Accountdaten abgespeichert, sondern lediglich die Angreifbarkeit festgestellt. Eduroam-Nutzer an der Universität Ulm und anderswo sollten dennoch ihre Einstellungen überprüfen und gegebenenfalls um das Telekom-Zertifikat erweitern. Danach sollte auch das Passwort geändert werden.

Wissenschaftler um Professor Frank Kargl, Leiter des Instituts für Verteilte Systeme, haben schon öfter Sicherheitslücken aufgedeckt. Als nächsten Schritt will Doktorand Thomas Lukaseder weitere Betriebssysteme untersuchen und die bisherigen Ergebnisse publizieren.

Weitere Informationen:
- http://www.uni-ulm.de/einrichtungen/kiz/service-katalog/netzwerk-konnektivitaet/wlan/eduroam.html Anleitung zur korrekten Installation von Eduroam

Quelle: idw



Nachricht per E-Mail verschicken:

  1. 2 + 6 =

Hinweise:
Die hier eingegebenen Daten werden von uns nur dazu verwendet, die E-Mail zu versenden. Es erfolgt keine Weitergabe an Dritte oder eine Analyse zu Marketing-Zwecken. Ihre IP-Adresse und E-Mail werden aus Sicherheitsgründen gespeichert.


Kommentar schreiben

38 - Zw;ei =

Bisherige Kommentare zur Nachricht (0)

(Keine Kommentare vorhanden)

Weitere Nachrichten zum Thema


Ähnliche Themen in den JuraForen




JuraForum.deNachrichtenWissenschaftInformatiker finden Sicherheitslücke: Eduroam-Accounts von Studierenden und Mitarbeitern gefährdet 

Fragen Sie einen Anwalt!
Anwälte sind gerade online.
Schnelle Antwort auf Ihre Rechtsfrage.

JuraForum-Newsletter

Kostenlose aktuelle Urteile und Rechtstipps per E-Mail:

Top 10 Orte in der Anwaltssuche

JuraForum-Suche

Durchsuchen Sie hier JuraForum.de nach bestimmten Begriffen: