Überwachungs-Apps für Kinder: Welchen Preis die totale Kontrolle mit sich bringt 

Warum Apps zur Kindersicherung nicht die Lösung sind, um Ihre Kinder online zu schützen

Kinder haben heute schon früh Zugang zu Smartphones oder Tablets oder besitzen bereits eigene Geräte. Um den Zugriff auf potenziell schädliche oder nicht kinderfreundliche Inhalte zu unterbinden oder die Nutzungszeit einzuschränken, installieren Eltern häufig Kindersicherungs-Apps auf den Geräten der Kinder. Ziel dieser IT-Sicherheits-Recherche war es daher herauszufinden, ob die Benutzerkonten der Apps ordnungsgemäß voneinander getrennt sind, oder ob unbefugte Dritte auf Daten oder Geräte zugreifen können. Außerdem wollten wir herausfinden, welche und wie viele Daten diese Apps generell sammeln und speichern.

Wir haben die auf dem Gerät und beim App-Anbieter gespeicherten Informationen (z. B. Cloud-Speicher) untersucht und genau auf die Funktionen geachtet, die eine elterliche Verwaltung des Kindergeräts ermöglichen. Wir haben untersucht, ob es möglich ist, Autorisierungsprüfungen zu umgehen, sodass entfernte oder lokale Angreifer auf Funktionen der zugehörigen Geräte oder auf persönliche Informationen anderer Benutzer zugreifen können.

Dieser Blogbeitrag enthält eine Liste der untersuchten Apps, die angewandte Methodik zur Analyse und welche Schwachstellenklassen identifiziert wurden. Es werden keine detaillierten technischen Informationen offengelegt, weil einige Anwendungen immer noch anfällig für die erwähnten Angriffe sind und einige Schwachstellen möglicherweise nicht einfach gelöst werden können.

Die Applikationen im Test

Die folgende Tabelle listet die Kontroll-Apps auf, die basierend auf der unten genannten Methodik kurz analysiert wurden. Der Umfang dieser Untersuchung beschränkte sich auf Apps zur Kindersicherung für Android. Für keine dieser Apps wurde eine vollständige Sicherheitsüberprüfung durchgeführt. Die Download- und Versionsinformationen aus der folgenden Tabelle stammen aus dem Google Play Store. Die Informationen zu abrufbarer Datenschutzerklärung, Impressum und Sitz der Anbieter finden Sie auf deren jeweiligen Webseiten.

Wir haben auch festgestellt, dass viele dieser Apps ein Flag gesetzt haben, um Klartextverbindungen zuzulassen (android:usesCleartextTraffic="true"). Dieses Flag ermöglicht der Anwendung, unverschlüsselte Kommunikation zu verwenden und wäre für einen potenzieller Angreifer im selben Netzwerk leichte Beute. Beispielsweise könnte ein einfacher Man-in-the-Middle-Angriff entsprechende Zugangsdaten mitlesen oder andere PII-Daten ausspionieren. Da aber alle getesteten Apps TLS (Transport Layer Security) zur Übertragung nutzen, ist unklar, warum dieses Flag gesetzt wurde. Somit haben die Entwickler nämlich die Möglichkeit, auch unverschlüsselte Anfragen zu senden.

Als nächstes haben wir überprüft, ob im Quellcode fest codierte Zugangsdaten zu finden sind, die es einem Angreifer ermöglichen, weitere Angriffe durchzuführen. Alle identifizierten API-Keys wurden auf die Möglichkeit des Missbrauchs aufgrund fehlender API-Key-Einschränkungen geprüft.   

Dynamische Analyse

Für die dynamische Analyse haben wir die Apps auf physischen Google Pixel 4a Testgeräten mit Android 11 installiert und gerootet.

Nachdem wir uns registriert und mit den verschiedenen Apps vertraut gemacht haben, ging es an die manuelle Prüfung des internen Speichers per ADB. Sobald wir wussten, welche Daten auf dem Gerät gespeichert sind, haben wir versucht den Datenverkehr abzufangen. Wir wollten wissen, wohin Daten gesendet und welche Daten überhaupt gesammelt werden.

Manche der analysierten Apps verfügten über Sicherheitsmaßnahmen wie das Anpinnen von Zertifikaten (eine Maßnahme gegen Man-in-the-Middle-Sniffing-Angriffe). Alle davon konnten wir durch ein Universal SSL Pinning Bypass Skript für Frida. schnell umgehen. Weitere API-Aufrufe der Anwendungen zu ihren Cloud-Servern untersuchten wir mit Proxy-Tools wie Burp Suite dahingehend, ob Angreifer auf Daten anderer Benutzer/Kinder (in diesem Fall unsere eigenen Testgeräte) z. B. durch unsichere direkte Objektreferenzen zugreifen können.

Die obige Tabelle zeigt die Anzahl der identifizierten Schwachstellen für jede App. Wie bereits erwähnt, werden wir keine weiteren Details veröffentlichen, solange die Schwachstellen nicht von den Herstellern behoben wurden. Bitte beachten Sie, dass die Sicherheitsüberprüfungen für jede App zeitlich begrenzt waren und keine detaillierte Sicherheitsüberprüfung durchgeführt wurde. Eine App mit nur einer (derzeit bekannten) Schwachstelle macht diese App nicht automatisch sicherer als eine App mit beispielsweise zwei Problemen.

Anmerkungen zu Samsung KNOX

Während unserer Recherche hatten wir kurzzeitig die Gelegenheit, ein Samsung Galaxy S9-Gerät eines Kindes und ein Samsung Galaxy S22 Ultra als Elterngerät auszuprobieren. Auf dem Gerät war die Kindersicherungs-App „Boomerang“ installiert. Samsung KNOX ermöglichte sodann einen noch feineren Ansatz, um Sicherheitsbeschränkungen festzulegen. Es konnte verifiziert werden, dass, wenn Samsung KNOX auf dem Telefon verfügbar ist, ein Elternteil das Herunterfahren des Telefons oder das Booten in den abgesicherten Modus deaktivieren könnte. Weitere Untersuchungen zu anderen verfügbaren Samsung KNOX-Funktionen wurden nicht durchgeführt, weil Samsung KNOX nicht Gegenstand dieser Überprüfung war. Es wurde lediglich verifiziert, dass die oben erwähnte Umgehung des „abgesicherten Modus“ auf einem Gerät mit Samsung KNOX nicht ausgenutzt werden kann.

Die folgende Tabelle listet alle identifizierten Domains oder Server von Drittanbietern auf, die bei der Verwendung der Web-Dashboards oder Websites des Anbieters kontaktiert werden. Diese Liste ist nicht notwendigerweise vollständig und kann sich auch in Zukunft verändern. Es ist auffallend, dass fast alle Hersteller entsprechende Tracking-Dienste nutzen.

Versuchen Sie auch zu überprüfen, wie der Anbieter auf Sicherheitslücken reagiert. In unserem Fall haben einige der Anbieter sofort nach unserer Kontaktaufnahme mit der Arbeit an einem Fix begonnen, einige haben bis heute nicht einmal richtig geantwortet. Wir fügen Informationen über die Kommunikation immer in der Zeitleiste unserer Sicherheitshinweise hinzu. Dies kann Ihnen dabei helfen, festzustellen, ob die Hersteller offenbar über ausgereifte Prozesse zur Behandlung von Schwachstellen (wie in ISO/IEC 30111:2019 beschrieben) oder (idealerweise) über ein Informationssicherheits-Managementsystem (ISMS) verfügen.

Wir empfehlen auch, sich die Kindersicherungsfunktionen des Betriebssystems (OS) anzusehen, wie Google Family Link für Android oder Apple Family Sharing für iOS. Diese sind fest in das Betriebssystem integriert und erlauben keine einfachen Umgehungen über den abgesicherten Modus wie oben beschrieben. Auf den ersten Blick auf „Family Link“ geht hervor, dass sich die Entwickler bei der Gestaltung dieser Funktionen sehr viele Gedanken gemacht haben, insbesondere im Hinblick auf die Zustimmung der Kinder und das Recht auf Privatsphäre.

Wir weisen ausdrücklich darauf hin, dass keine detaillierte Analyse der nativen Betriebssystemfunktionen durchgeführt wurde, aber sie stehen auf unserer To-do-Liste für die Zukunft.

Zu guter Letzt, sollten Eltern ihre Kinder immer über die Verwendung von Software auf ihren Geräten informieren und erklären, warum diese Tools im Einsatz sind und welche Überwachungsfunktionen von den Eltern verwendet werden.   

Fazit

Kindersicherheits- und Kontroll-Apps bergen offenbar einige Schwachstellen. Selbst wenn Kinder einwilligen, dass ihre Eltern ihre Aktivitäten auf ihren Smartphones überwachen, bleibt ihre Privatsphäre gefährdet, solange ungewiss ist, wie Softwareanbieter die Daten speichern oder wer später möglicherweise Zugriff darauf erhält. Sicherheitslücken in der Programmierung werfen zusätzliche Datenschutzbedenken auf. Vielleicht gelingt es kreativen Kindern sogar, die Restriktionen zu umgehen und dem Überwachungs-Kindermädchen selbst zu entkommen.

Weihnachten steht vor der Tür und viele Kinder werden wahrscheinlich Handys oder Tablets geschenkt bekommen. Daher ist es wichtig, dass Eltern die Wahl der Kindersicherungs-App unter Sicherheits-, Datenschutz- oder rechtlichen Gesichtspunkten sorgfältig abwägen und mit ihrem Kind über die Verwendung sprechen.

Zeitplan

Dieses Forschungsprojekt wurde von Fabian Densborn und Bernhard Gründling von August bis November 2022 durchgeführt. Die Anbieter bestimmter Apps wurden im Rahmen unseres Prozesses zur verantwortungsvollen Offenlegung von Sicherheitslücken kontaktiert und über die identifizierten Schwachstellen informiert. Manche haben bereits begonnen, an einem Patch zu arbeiten. Erst nach Abschluss des Responsible Disclosure Prozesses und Behebung der gravierenden Schwachstellen wird SEC Consult die bisher unveröffentlichten Details zu den Schwachstellen veröffentlichen.

Dieser Research wurde von Fabian Densborn und Bernhard Gründling im Auftrag des SEC Consult Vulnerability Lab durchgeführt.
SEC Consult ist immer auf der Suche nach talentierten Sicherheitsexperten, die unser Team verstärken möchten. Weitere Informationen finden Sie unter: https://www.sec-consult.com/de/karriere