Sicherheitslücke in Skype für Android (Update)

Justin Case von 'Android Police' wurde im Zuge des Tests von Skype für Android auf eine kritische Sicherheitslücke aufmerksam. Angeblich werden diverse persönliche Informationen nicht ausreichend gesichert. Die betrifft unter anderem die Telefonnummer, das Geburtsdatum und die E-Mail-Adresse im Zusammenhang mit der Skype Anwendung für Android, sowie einer durchgesickerten Version von Skype Video. Unter der Haube steht die Problematik in Verbindung mit der eingesetzten SQLite3 Datenbank.

Darin werden persönliche Informationen der Nutzer gespeichert. Augenscheinlich hat es Skype hierbei versäumt, für eine ausreichende Verschlüsselung zu sorgen. Die Entwickler aus dem Hause 'Skype' kümmern sich bereits um diese Problematik.

Folglich hätten Anwendungen wie beispielsweise Skypwned, ein Testprogramm welches von Android Police zur Feststellung von Schwachstellen eingesetzt wird, Zugriff auf verschiedene persönliche Daten der Nutzer.

Update - 15:50 Uhr
Skype für Android legt bei der Installation auf einem Smartphone einen Ordner an, der als Bezeichnung den Skype-Namen des Anwenders trägt. Darin werden einige persönliche Informationen abgelegt, darunter das Profil, die Kontakte und die Nachrichten-Logs. Einige weitere Daten liegen in einer SQLite3-Datenbank.

Problematisch ist die Tatsache, dass die Entwickler der App für keinerlei Absicherung dieser Informationen gesorgt haben. Sie lassen sich auslesen, ohne dass eine Verschlüsselung oder ein anderer Schutzmechanismus umgangen werden muss. Lediglich der Skype-Name des Opfers muss bekannt sein. Da die App den Namen immer an der gleichen Stelle speichert, kann auch dieser ohne Probleme ausgelesen werden.

Die für einen Angreifer interessanteste Datei ist die main.db, die den vollständigen Namen, eventuelles Skype-Guthaben, Anschrift, Telefonnummern, Geburtstag, Homepage, Biografie und mehr enthält. Über die Nachrichten-Logs kann ein Angreifer noch viele weitere Informationen sammeln, die man im Gespräch mit anderen Leuten offenbart hat.

Die Entwickler von Skype haben inzwischen auf den Bericht über die Schwachstelle reagiert und erklären auf ihrer Website, dass sie bereits an zusätzlichen Sicherheitsmaßnahmen arbeiten, die das einfache Auslesen der persönlichen Daten erschweren.