Blackberrydienst mit weiteren Sicherheitslücken

Foto: Blackkberry 7100v

Auf dem 22. Chaos Communication Congress in Berlin wurden von der Hackergruppe Phenoelit weitere erhebliche Sicherheitslücken des E-Mail-Push-Dienstes Blackberry des kanadischen Herstellers Research in Motion (RIM) aufgezeigt. Die Probleme betreffen gemäß des Vortrags alle Ebenen des Dienstes von der Nachrichtenübertragung über die Geräte bis hin zum Server. So wurde zum Beispiel kritisiert, dass Pin-Botschaften unverschlüsselt auf das Endgerät geschickt werden. Des Weiteren konnten die Tester Integerüberläufe erzeugen und so die Router- und Serverseite in eine endlose Decodierungsschleife versetzen.

Bei der Java Virtual Machine fanden die Hacker ebenfalls einige Kritikpunkte: Die Handheld-Steuerung erfolgt über eigene Java-Klassen, die von RIM signiert werden und dafür von den Partnern eine Gebühr verlangen. Die Binärapplikationen, ähnlich der DLL-Dateien für Windows, könnten dabei auch von externen Angreifern an die Geräte geschickt werden und so bösartige Software-Installationen ermöglichen.

Schon im Oktober warnte das Bundesamtes für Sicherheit in der Informationstechnik (BSI) vor gravierenden Sicherheitslücken. Zurückzuführen ist dieser Sicherheitsmangel darauf, dass der gesamte E-Mail-Verkehr über ein britisches Rechenzentrum geleitet wird. Nach britischem Rechtsstand können die örtlichen Sicherheitsbehörden unter sehr weit gefassten Voraussetzungen Zugang zu allen Verbindungsdaten und Inhalten erhalten. Damit besteht die Möglichkeit, dass Dritte auf die über Blackberry versandten E-Mails zugreifen. Inwieweit dies in der Vergangenheit bereits geschehen ist, darüber schweigt sich der BSI-Bericht bislang aus. RIM reagierte bereits in Kooperation mit dem Sicherheitstechnik-Anbieter Utimaco und stellte eine Verschlüsselungslösung für Push-Mails vor. Neben den technischen Problemen sieht sich RIM jedoch auch einem wirtschaftlich-juristischem Problem gegenüber. Der zwischen den Kanadiern und NTP geht am Ende des Jahres erneut in eine neue Einigungsrunde. Dabei soll rund eine halbe Milliarde Dollar als mögliche Schadensersatzsumme im Raum stehen. Trotz der vielen Schwierigkeiten konnte RIM im abgelaufenen Quartal einen Rekord bei Umatz und Gewinn erzielen.