Abfragen der SSID
Die Abfrage von SSIDs und WLAN-Konfigurationsdaten kann zur Standortbestimmung eines Smartphones genutzt werden, auch ohne direkte GPS-Ortung. Über sichtbare oder gespeicherte Access-Point-Informationen lassen sich wahrscheinliche Aufenthaltsorte ableiten.
Der Vektor ist besonders relevant, wenn Anwendungen oder Webinhalte auf WLAN-nahe Schnittstellen zugreifen dürfen. Je nach Datenbasis kann bereits eine einzelne SSID, häufiger aber die Kombination mehrerer Netzmerkmale, eine ortsbezogene Zuordnung ermöglichen.
MITRE ATT&CK
T1430 – Location Tracking (T1430)
Matrix: Mobile
Taktik: Collection; Discovery (TA0035; TA0032)
Technik: Location Tracking
Auf MITRE ATT&CK ansehenDetails:
Die ermittelten SSIDs können zur Ortung mit Informationen einer Datenbank wie Skyhook[1] verglichen werden. Dadurch ist es möglich, WLAN-Umgebungsdaten in geografische Hinweise zu übersetzen und den Aufenthaltsort eines Geräts näherungsweise einzugrenzen.
Um als Angreifer an diese Informationen der WLAN-Schnittstelle heranzukommen, kann ein API-Zugriff durch eine App oder unter bestimmten Bedingungen auch über Webinhalte ausgenutzt werden. Besonders kritisch sind dauerhaft gewährte Berechtigungen und unzureichend kontrollierte Hintergrundzugriffe.
Quellen/Links:
[1] www.skyhookwireless.com [Stand 11.08.2012]
Erkennung:
Am Smartphone selbst kann der Nutzer den Angriff vor allem indirekt erkennen: auffällig sind unerwartete Standortabfragen, ungewöhnliche WLAN-bezogene Berechtigungsnutzung oder wiederkehrende Hintergrundaktivität von Apps ohne erkennbaren Nutzungsgrund.
Technisch belastbarer wird die Erkennung durch Protokollierung von App-Zugriffen auf WLAN-/Standortschnittstellen und durch Analyse von Berechtigungsänderungen. Zusätzlich sollte geprüft werden, ob Webinhalte über den Browser auf gerätespezifische Sensoren oder netznahe Daten zugreifen.
Gegenmaßnahmen:
Am Smartphone selbst sind die wichtigsten Gegenmaßnahmen eine restriktive Vergabe von Standort- und WLAN-Berechtigungen, das Deaktivieren nicht benötigter Funkfunktionen und die Begrenzung von Hintergrundaktivität verdächtiger Apps. Nutzer sollten insbesondere dauerhafte Standortfreigaben nur bei zwingendem Bedarf erlauben.
Wer Maßnahmen umsetzt: Nutzer direkt am Endgerät, Administratoren über MDM-/Richtlinienvorgaben und App-Anbieter durch datensparsame API-Nutzung. Zusätzlich helfen Betriebssystem- und App-Updates, um bekannte Schwachstellen bei Sensor- und Berechtigungszugriffen zu schließen.
