Security-Auditing mit Android-Apps

Mit kostenlosen Apps richtet der Admin sein Android-Smartphone oder -Tablet zu einem mobilen und flexiblen Securityscanner ab, der drahtlose Netzwerke untersucht.

Da Android Linux als Unterbau verwendet, besitzt es im Prinzip die gleichen Fähigkeiten zum Auditieren von Rechnern und Netzen wie ein ausgewachsenes Notebook mit WLAN. Im Android-Market stehen kostenlose Apps zur Installation bereit, mit denen der Admin Rechner und Netze auf verschiedenste Weise auf Sicherheitslücken prüfen kann.

Nessus-Client

Nessus gilt als einer der besten Securityscanner und erfreut sich großer Beliebtheit – nicht zuletzt weil seine Entwickler die Angriffssignaturen regelmäßig aktualisieren. Um den Nessus-Server auch abseits des PC zu bedienen, bietet der Hersteller Tenable über den Android-Market eine Client-App zum kostenlosen Download [1] an. Je nach Standort des Servers erreicht der Admin ihn sowohl im WLAN als auch übers Mobilfunknetz.

Nach der Installation legt der Nutzer zunächst den Server fest, mit dem sich der Client verbinden soll. Die App erlaubt das Verwalten mehrerer Server. Nach dem Login wählt der Admin, ob er die Reports (Abbildung 1) bereits gelaufener Scans einsehen möchte oder einen neuen startet.

Abbildung 1: Die Nessus-App erlaubt nicht nur den Start von Securityscans, sondern öffnet auch bereits abgeschlossene Reports.

Die Funktionalität der App ist der Übersichtlichkeit halber auf das Nötigste beschränkt. Es ist beispielsweise nicht möglich, Policies zu erstellen oder zu bearbeiten. Da der Scan nach dem Start unabhängig von der App läuft, kann der Admin diese schließen und sich später die fertigen Berichte ansehen.

Overlook Fing

Wer sich einen Überblick darüber verschaffen will, welche Hosts sich in einem WLAN befinden, nutzt dafür Overlook Fing [2]. Diese App listet alle aufgespürten Rechner auf. Die Ergebnisse exportiert das Programm wahlweise in eine CVS,- XML- oder HTML-Datei. Darüber hinaus ermöglicht sie es auch, die Scan-Ergebnisse weiterzuleiten, beispielsweise per Mail.

Um offene Ports eines Hosts zu ermitteln, genügt es, den gewünschten in einer Liste anzutippen und aus dem Auswahlmenü »Scan services« zu aktivieren. Findet die App Ports, die einen Zugriff ermöglichen, etwa SSH oder FTP, erscheint neben dem Ergebnis ein Pfeil. Ein Fingertipp darauf öffnet ein Menü, aus dem der Nutzer auswählt, mit welcher Art von Client er zugreifen möchte. Ist die benötigte Anwendung noch nicht installiert, leitet die App direkt zum Market weiter.

Den Typ des Servers zu ermitteln gelingt mit einem Druck auf »Test TCP connection« , woraufhin die Anwendung die Bannerausgabe des Daemon anzeigt. Jedoch erlaubt die Software keine freie Eingabe von Ports, sondern arbeitet stets eine Liste hinterlegter ab, die sich aber nach eigenen Wünschen verändern lässt.

Port Scanner

Wer es genauer wissen möchte, verwendet die App Port Scanner [3]. Sie erlaubt es, einen Adressenbereich zu definieren, den sie untersuchen soll. Darüber hinaus erlaubt das Programm auch die freie Eingabe von Ports, die es beim Scannen abklopft. Port-Ranges kann man jedoch nicht angeben.

Die Ausgabe zeigt neben den gefundenen Ports auch die Server-Banner. Ein weiteres Verarbeiten der Resultate, wie es etwa Overlook Fing gestattet, beherrscht die App nicht. Lediglich per Mail lassen sie sich verschicken.

Net Swiss Tools

Wie der Name bereits ahnen lässt, verspricht die App Net Swiss Tools [4] dem Anwender eine Art Schweizer Taschenmesser zur Netzwerkanalyse. Per Drop-down-Menü bietet es ihm eine Reihe bekannter Werkzeuge, mit denen sich Rechner und Netze rudimentär auditieren lassen. Allerdings beschränkt sich die App nicht nur darauf, sondern fragt auch die Werte des eigenen Systems ab. Beispielsweise zeigt der Punkt »Process info« eine Art »ps -ax« -Output, der sämtliche laufenden Dienste des Geräts auflistet. »Route« zeigt die Einstellungen der Routingtabelle an.

Unter allen getesteten Apps bringt Net Swiss Tools den fähigsten Portscanner mit: Er erlaubt sowohl die Eingabe einzelner Ports als auch ganzer Ranges. Timeouts stellt der Admin via Schieberegler ein. Mit der Leistungsfähigkeit von Nmap kann es jedoch keine der getesteten Apps auch nur im Ansatz aufnehmen.

Faceniff

Die Gefahren beim Besuch unverschlüsselter Seiten in öffentlichen Netzen macht die Mobilanwendung Faceniff anschaulich. Sie startet eine klassische Man-in-the-Middle-Attacke, indem sie sich als Router ausgibt und den ganzen Traffic auf das Gerät umleitet. Dort schneidet die Software unverschlüsselte Logins zu diversen Webseiten wie beispielsweise Facebook, Amazon, Twitter oder Blogger.com mit und stellt die Treffer in einer Liste dar.

Für einen Angriff genügt es, auf den entsprechenden Eintrag zu klicken, um direkt auf das jeweilige Konto zuzugreifen. Bei mehreren mit dem Netz verbundenen Geräten führt der starke Traffic aufgrund der begrenzten Systemressourcen von Smartphones häufig zu langen Latenzen. Entsprechend kann der Admin dieses Verhalten als Indiz für einen Man-in-the-Middle-Angriff via Mobilgerät in seinem WLAN interpretieren.

Diese App erfordert zum Ausführen Rootrechte, was eine entsprechend vorbereitete Android-Plattform voraussetzt. Die Software steht derzeit lediglich auf der Webseite des Entwicklers [5] zum Download bereit. Die kostenlose Version beschränkt sich auf die Anzeige von drei erkannten Nutzerprofilen.

Faceniff arbeitet in allen WLAN-Netzen, und zwar unabhängig davon, ob verschlüsselt oder nicht. Die einzige Netzwerk-seitige Prävention besteht darin, in den WLAN-Settings des Routers EAP (Extensible Authentication Protocol) zu aktivieren, sofern dieser es zulässt.

Shark for Root

Wer auch mit seinem Smartphone auf gewohnten Pfaden wandeln will, für den gibt es den Paketsniffer Shark ([6], Abbildung 2), der im Backend das allseits bekannte Programm Tcpdump zum Aufzeichnen von Paketen verwendet. Auch diese App erfordert Rootrechte auf dem Android-Gerät. Um die Logdateien zu verarbeiten, benötigt die Software darüber hinaus das Vielzweck-Binary Busybox, das ebenfalls im Android-Market [7] zum kostenlosen Download bereitsteht.

Abbildung 2: Der Netzwerksniffer Shark arbeitet auf Basis von Tcpdump und erwartet auch dessen Eingabeoptionen.

Nach dem Start zeigt das Programm ein Eingabefeld neben »Parameter« . Hier trägt der Admin die von Tcpdump bekannten Optionen ein und startet den Sniffer via »Start« . Im unteren Teil des Displays informiert die App dann, wie viele Pakete sie bereits verarbeitet hat.

Der Dump landet in der Datei »/sdcard/shark_dump_Timestamp« . Der Button »Open capture file« öffnet ihn im Shark Reader [8], sofern er auf dem System installiert ist. Allerdings zeigt der Betrachter nur rudimentäre Informationen an. Erst der Import in Tools wie Wireshark offenbart den kompletten Informationsgehalt des Dump.

Ähnlich wie Faceniff eignet sich auch diese App für Man-in-the-Middle-Angriffe. Startet der Admin nämlich zunächst via Tether einen WLAN-Hotspot auf dem Mobilgerät und danach Shark, schneidet die Software den kompletten Datenverkehr aller Nutzer mit, die den Hotspot zum Surfen nutzen. (mhu)

Infos