Penetrationstest für Android-Apps

Beschreibung

Beim Verbindungsaufbau zum Shop-Server prüft die Android-App nicht, ob das Sicherheitszertifikat echt ist. Wer im selben öffentlichen WLAN sitzt, etwa im Café oder im Zug, kann sich als Shop-Server ausgeben. Die App schickt ihm dann Passwort und Sitzung des Kunden und übernimmt veränderte Antworten.

Reproduktion

1. Ein Testhandy mit der App mit einem Test-WLAN verbinden, das der Tester kontrolliert.
2. Der App ein selbst erstelltes Zertifikat für api.admin-soehne.example vorlegen.
3. Die App meldet sich ohne jede Warnung an, die Anmeldedaten sind für den Tester sichtbar.

Verbindungsprotokoll der App (Testgerät)
TLS: Zertifikatsaussteller "Tester Lab CA" (nicht vertrauenswürdig)
  → akzeptiert
POST /v2/login  {"email":"test-a@…","password":"<sichtbar>"}

Geschäftliche Auswirkung

Kunden, die im öffentlichen WLAN einkaufen, kann das Konto unbemerkt übernommen werden. Angreifer sehen dann Bestellungen und gespeicherte Adressen oder bestellen in ihrem Namen. Jedes betroffene Konto enthält personenbezogene Daten eines Kunden, jeder Fall ist also ein DSGVO-relevanter Vorfall.

Empfehlung

Den eigenen Code entfernen, der die Zertifikatsprüfung überspringt, und die Standardeinstellungen von Android für sichere Verbindungen nutzen. Certificate Pinning für die Shop-API erwägen. Ein Test in der Release-Pipeline schlägt fehl, wenn die App ein nicht vertrauenswürdiges Zertifikat akzeptiert.