So testen wir die Sicherheit der Corona-Warn-Apps
- 6 Internationale Corona Warn-Apps im Sicherheits-Test
- Deutschland: Corona-Warn-App im Test
- UK: NHS Covid 19 im Test
- Südafrika: Covid Alert South Africa
- USA: Covid Alert NY im Test
- Kanada: Covid Alert Canada im Test
- Australien: Covid Safe Australia im Test
- So testen wir die Sicherheit der Corona-Warn-Apps
- Corona Warn-Apps im Sicherheits-Test: Ergebnisse & Fazit
Die Sicherheit der untersuchten internationalen Covid-Apps und ihrer Backend-Verbindungen prüfte und bewertete auch diesmal unser bewährter Partner umlaut.Weil die Covid-Warn-Apps jeweils nur in ihrer Zielregion nutzbar sind und dort in der Regel ohne direkte Konkurrenz angeboten werden, haben wir...
Die Sicherheit der untersuchten internationalen Covid-Apps und ihrer Backend-Verbindungen prüfte und bewertete auch diesmal unser bewährter Partner umlaut.
Weil die Covid-Warn-Apps jeweils nur in ihrer Zielregion nutzbar sind und dort in der Regel ohne direkte Konkurrenz angeboten werden, haben wir auf eine redaktionelle Bewertung von Aspekten wie Funktionsumfang und Bedienkomfort verzichtet.
Die Sicherheit der Apps spielt hingegen eine zentrale Rolle – weshalb sie unser Partner umlaut mit seinem bewährten Testverfahren für App-Sicherheit untersucht hat. Dafür überprüfte umlaut wie in der Vergangenheit auch schon für andere App-Kategorien in den Android-Versionen der Corona-Apps vier Bereiche:
Datenschutz, Verbindungssicherheit samt Verschlüsselung, Maßnahmen gegen Integritätsverlust und Rechteausweitung sowie die Sicherheit des App-Quellcodes.
Die untersuchten Angriffsszenarien orientieren sich an den Richtlinien zur sicheren Programmierung von Apps des Bundesamts für Sicherheit in der Informationstechnik (BSI) und des Open Web Application Security Project (OWASP).
Viele Tests hat umlaut selbst entwickelt, und alle Ergebnisse wurden zur Kontrolle von zwei Ingenieuren verifiziert. Auch im vorliegenden Fall verzichten wir aus Sicherheitsgründen auf eine detaillierte Beschreibung der entdeckten Schwachstellen, um etwaigen kriminellen Handlungen vorzubeugen.
Insgesamt kann eine App in der Sicherheitsbewertung bis zu 1000 Punkte erzielen.
Schutz persönlicher Daten
Die meisten Punkte – nämlich maximal 332 – vergeben wir dabei für den Datenschutz. Geprüft wurde in dieser Kategorie, ob die Apps personenbezogene Daten wie Login- und Benutzerinformationen ausreichend geschützt im Smartphone-Speicher ablegen.
Ergebnis:
Verbindungssicherheit und Verschlüsselung
Die Absicherung des Datenflusses zwischen App und Server trägt maximal 200 Punkte bei. Hier wurde überprüft, ob die App aktuelle Verschlüsselungsmethoden nutzt und ob sie den gesamten Datenverkehr gesichert überträgt. Zudem wurde im Test der korrekte Umgang der App mit SSL-Zertifikaten untersucht.
Ergebnis:
Integritätsverlust und Rechteausweitung
Die Kategorie Integritätsverlust wird mit maximal 268 Punkten bewertet. Hier prüft umlaut, ob sich Autorisierungsmechanismen der Apps umgehen lassen. Kritisch wäre auch, wenn eine App keinen Schutz gegen Klonung besitzt. Denn dann könnten Angreifer eine exakte Kopie der App erstellen, alle persönlichen Daten entnehmen und sich als Nutzer ausweisen.
Ergebnis:
Absicherung des App-Quellcodes
Der Schutz des Quellcodes schließlich schlägt mit weiteren 200 Punkten zu Buche. Hier kontrollierte umlaut, ob die Komponenten von Drittanbietern sicher implementiert wurden und ob die App wichtige Dateien verschleiert ablegt.
Ergebnis:
