Kritische Schwachstellen in der belgischen digitalen Identität Connective: PINs, elektronische Signaturen und PCs gefährdet

Von Millionen Menschen verwendete Erweiterung

Der Sicherheitsforscher James Arnott, Gründer von Bay Area Labs, hat schwerwiegende Schwachstellen in Connective entdeckt, einer von Nitro Software Belgium entwickelten Browsererweiterung.

Die Software wird in Belgien von mehr als 2 Millionen Menschen, acht der zehn größten nationalen Banken und über 60 Regierungsbehörden eingesetzt. Die genau betroffenen Versionen wurden nicht veröffentlicht; CVE-IDs wurden bislang nicht vergeben.

Nitro schloss die Sicherheitslücken Ende Juli – 146 Tage nach der ursprünglichen Meldung. Der Forscher erhielt eine Prämie in Höhe von 200 US-Dollar.

Jede Website konnte mit der lokalen Anwendung kommunizieren

Connective überprüfte die Herkunft von Browseranfragen nicht ordnungsgemäß. Dadurch konnte eine bösartige Website oder sogar eine in eine legitime Seite eingebettete Werbung ohne ausdrückliche Zustimmung mit der installierten Anwendung kommunizieren.

Dieser Zugriff ermöglichte es, unbemerkt Informationen vom elektronischen Personalausweis und von verknüpften Zahlungskarten auszulesen. Webseiten konnten außerdem den Inhalt von Authentifizierungsfenstern manipulieren, ohne die tatsächlich für die Anfrage verantwortliche Domain anzuzeigen.

Dadurch konnten glaubwürdige Fenster erstellt werden, um die eID-PIN abzugreifen. Die eingegebene PIN wurde an die anfragende Webseite übermittelt.

Befand sich die Karte physisch im Lesegerät, konnte ein Angreifer die PIN und die verfügbaren Daten nutzen, um unbefugte Freigabetoken zu erzeugen und rechtlich gültige elektronische Signaturen zu erstellen. Zu den möglichen Szenarien gehörten Identitätsdiebstahl, das betrügerische Eröffnen von Diensten und die Übernahme digitaler Konten.

Auch die Ausführung von Schadcode war möglich

Darüber hinaus wurde eine von der Anwesenheit der eID-Karte im Lesegerät unabhängige Schwachstelle entdeckt. Durch die Verarbeitung lokaler Dateien konnte eine bösartige Website Connective dazu bringen, vom Angreifer kontrollierten Code mit den Rechten des angemeldeten Benutzers auszuführen.

Der Angriff setzte voraus, dass das Opfer eine als gewöhnliches Dokument getarnte Datei herunterlud und eine speziell präparierte Webseite besuchte. Besondere Berechtigungen waren nicht erforderlich.

Die Kontrolle über Zugangsdaten hätte eine wurmartige Verbreitung ermöglichen können, etwa durch das Versenden bösartiger Links an die Kontakte des Opfers. Fälle einer tatsächlichen Ausnutzung wurden nicht gemeldet.

Die Folgen hätten auch Dienste betreffen können, die eID-Signaturen verwenden, darunter das Regierungsportal CSAM.be und der Anbieter Itsme. Die beiden Plattformen waren nicht direkt verwundbar; das Risiko entstand durch die Kompromittierung von Connective.

Sicherheitsupdates und Hinweise für Nutzer

Nitro blockierte Anfragen von nicht autorisierten Web-Ursprüngen und ergänzte gezielte Schutzmaßnahmen für die PIN-Verarbeitung.

Nutzer sollten:

• alle von Nitro bereitgestellten Updates installieren;
• überprüfen, ob das Authentifizierungsfenster zur erwarteten Domain und zum erwarteten Dienst gehört;
• die PIN nicht in Fenstern eingeben, die die anfragende Website nicht eindeutig ausweisen;
• Dateien aus unerwarteten Webseiten oder Nachrichten meiden.

James Arnott stellte die Ergebnisse auf der DEF-CON-Konferenz vor und veröffentlichte eine zusätzliche technische Analyse.