Kritische Schwachstelle in der belgischen eID: Eine manipulierte Website konnte bis zum Computer des Opfers vordringen

Betroffene Komponente für die Authentifizierung per Personalausweis

Die Connective Signing Extension verbindet den Browser mit der lokal installierten Software, die für die Nutzung des belgischen elektronischen Personalausweises auf Behörden- und Bankportalen erforderlich ist.

Der Ablauf umfasst vier Komponenten:

• einen elektronischen Personalausweis;
• ein USB-Smartcard-Lesegerät;
• die auf dem Computer installierte Host-Software;
• die Connective-Erweiterung für den Browser.

Im Jahr 2021 gab Nitro Software Belgium an, die Technologie werde von mehr als 60 Behörden und Regierungsstellen, acht der zehn größten belgischen Banken sowie über 1.000 Unternehmen eingesetzt. Im Chrome Web Store kommt die Erweiterung außerdem auf mehr als zwei Millionen Nutzer. Dort erreicht sie eine durchschnittliche Bewertung von 1,7 von 5 Sternen auf Grundlage von 542 Rezensionen.

Generisches Token ersetzte die Identität der Website

Die Schwachstelle lag in der Art und Weise, wie die Erweiterung die für die Kommunikation mit der Host-Software autorisierte Website überprüfte.

Statt die Adresse des tatsächlich besuchten Portals an die Host-Software zu übermitteln, verwendete die Erweiterung ein generisches „Aktivierungs“-Token. Dieser Wert konnte auch von anderen Websites abgerufen werden, die Connective integrierten.

Die Forscher, darunter James Arnott, Gründer von Bay Area Labs, zeigten, dass sich ein von einer belgischen Plattform für die digitale Verwaltung kopiertes Token wiederverwenden ließ. Eine manipulierte Website konnte sich dadurch als legitime Integration ausgeben und mit dem eID-System des Opfers interagieren.

Die Schwachstelle wurde kürzlich auf der DEF CON 34 offengelegt. Die Probleme waren am 22. Juli behoben.

Personenbezogene Daten, Zahlungen und ausführbarer Code gefährdet

Ein erfolgreicher Angriff hätte den Diebstahl der auf dem Ausweis gespeicherten Daten und der Identitätsinformationen des Nutzers ermöglicht. Ein Angreifer hätte außerdem die digitale Identität des Opfers kompromittieren oder dessen Zahlungskarten missbrauchen können.

Am schwerwiegendsten war jedoch die mögliche Ausführung von Code auf dem lokalen Computer – auch aus der Ferne. Eine bösartige Webseite hätte die Verbindung zur Host-Software ausnutzen können, um auf Ressourcen zuzugreifen, die normalerweise nur autorisierten Behörden- oder Bankdiensten zur Verfügung stehen.

Betroffen waren somit Nutzer, die sich per eID bei Behörden, Banken und anderen mit Connective kompatiblen Diensten authentifizieren.

Ein CVSS-Score oder CVE-Kennungen wurden nicht vergeben.

Was Nutzer und Organisationen tun sollten

Die Schwachstellen waren am 22. Juli behoben, allerdings wurden weder die betroffenen Versionen noch die Nummern der korrigierten Releases oder detaillierte technische Anweisungen für das Update veröffentlicht.

Die überprüfbare Maßnahme besteht darin, eine aktuelle, korrigierte Version der Connective Signing Extension und der zugehörigen Host-Software zu verwenden und ältere Installationen zu vermeiden. Organisationen und Administratoren sollten außerdem die auf den Computern der Nutzer bereitgestellten Installationen überprüfen.

Spezifische Indicators of Compromise oder weitere Workarounds wurden nicht genannt. Nitro Software Belgium hatte auf eine Anfrage von Dark Reading zunächst keinen Kommentar abgegeben.