FORSCHUNG
Juli 2026: Post-Quanten-Signaturen unter Beschuss, Geräte-Fingerprints und Mini-Apps
Im Juli 2026 genügen wenige geleakte Bits, um Schlüssel von Falcon, HAWK und ML-DSA zu rekonstruieren, und neuronale Netze automatisieren Seitenkanalangriffe auf ML-KEM. Telefone und Browser lassen sich an Hunderten Eigenschaften oder winzigen GPU-Fertigungsunterschieden erkennen. WeChat-Mini-Apps setzen OAuth falsch um, und verzögertes Rendering täuscht visuelle Phishing-Detektoren.
Archiv: Rekonstruktion, verfasst im November 2026
1. Halfspace Learning for Lattice Signature Key Recovery from Signs
CRYPTO · Marcus Brinkmann, Nicolai Kraus, Alexander May · Post-Quanten-Kryptographie
Kurz gesagt: Schon das Vorzeichen einiger Zufallswerte genügt, um die geheimen Schlüssel von HAWK, Falcon und ML-DSA zu gewinnen.
Die Autoren zeigen, dass minimale Lecks der beim Signieren genutzten Zufälligkeit, schon ein Bit oder das Hamming-Gewicht, das Vorzeichen einer Kombination des geheimen Schlüssels verraten. Sie fassen die Rekonstruktion als bekanntes Lernproblem und gewinnen HAWK aus 30 Signaturen in 10 Minuten, Falcon aus 100 in unter einer Minute und erstmals ML-DSA aus 190.000.
Warum es wichtig ist. Post-Quanten-Signaturen gelangen jetzt in Produkte und Zertifikate: Implementierungen müssen gegen minimale Lecks geprüft werden, nicht nur gegen klassische Kryptoanalyse.
2. Neur-SASCA: High-Noise-Tolerant and Automated Single-Trace Attack against NTT
IACR Transactions on Cryptographic Hardware and Embedded Systems · Yuxuan Wang, Jintong Yu, Yihan Nie, Yubo Zhao et al. · Post-Quanten-Kryptographie
Kurz gesagt: Neur-SASCA greift ML-KEM mit neuronalen Netzen aus einer einzigen Stromspur an, auch bei starkem Rauschen und anderen Geräten.
Die NTT-Transformation ist der Kern von ML-KEM und ein bekanntes Ziel von Seitenkanalangriffen. Bisher brauchten diese Angriffe handgebaute Templates, ausgerichtete Spuren und lokalisierte Leckstellen. Neur-SASCA verarbeitet Rohspuren direkt mit einem neuronalen Netz, verkraftet nicht-gaußsches Rauschen und Versatz und überträgt sich zwischen Geräten.
Warum es wichtig ist. Automatisierung senkt die Kosten physischer Angriffe auf Post-Quanten-Verfahren: Eingebettete Geräte brauchen Gegenmaßnahmen schon im Entwurf.
3. EXADPrinter: Semi-Exhaustive Permissionless Device Fingerprinting Within the Android Ecosystem
Proceedings on Privacy Enhancing Technologies · Sihem Bouhenniche, Pierre Laperdrix, Walter Rudametkin · Web und Mobile
Kurz gesagt: Ganz ohne Berechtigungen sammelt eine Android-App über 200.000 Geräteeigenschaften, und fünf genügen zur Identifizierung.
Mit strengeren Datenschutzregeln suchen Tracker weniger beachtete Kennungen. EXADPrinter liest per Java-Reflection und Shell-Befehlen über 200.000 Eigenschaften zu Hardware, System und Nutzer aus jedem Android-Telefon, ohne Berechtigungen. Bei 4.004 Fingerprints von 3.143 Geräten von 68 Herstellern reichen fünf Attribute ohne Personendaten, um ein Telefon zu erkennen.
Warum es wichtig ist. Tracking ohne Einwilligung umgeht sichtbare Berechtigungen: Für alle, die Personendaten verarbeiten, ist das ein Compliance-Risiko, das über Drittbibliotheken in Apps kommt.
4. DRAWNAPART: A Device Identification and Spoofing Detection Technique Based on Remote GPU Fingerprinting
ACM Transactions on Privacy and Security · Tomer Laor, Naif Mehanna, Antonin Durey, Vitaly Dyadyuk et al. · Web und Mobile
Kurz gesagt: DrawnApart unterscheidet Rechner mit identischer Hard- und Software an winzigen Fertigungsunterschieden ihrer GPUs.
Browser-Fingerprints ändern sich mit der Zeit und verschwimmen mit denen ähnlicher Geräte. DrawnApart nutzt Fertigungsschwankungen zwischen GPUs desselben Modells, gemessen per Skript im Browser, um sonst identische Rechner zu trennen. Zudem prüft es das angegebene GPU-Modell und entlarvt Angreifer, die das Gerät des Opfers imitieren, um die Zwei-Faktor-Anmeldung zu umgehen.
Warum es wichtig ist. Dieselbe Technik dient dem Tracking wie dem Kontoschutz: Authentifizierungsteams können sie gegen Sitzungsdiebstahl einsetzen, müssen aber den Datenschutz beachten.
5. Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law’s Impact
Proceedings on Privacy Enhancing Technologies · Luka Nenadic, David Rodríguez, Joseph A. Calandrino · Politik, Recht und Gesellschaft
Kurz gesagt: Nach der Revision 2023 nennen Datenschutzerklärungen Schweizer Websites die Betroffenenrechte deutlich häufiger.
2023 hat die Schweiz ihr Datenschutzgesetz an die DSGVO angeglichen. Die Autoren bauen ein System auf Basis von Sprachmodellen, das Erklärungen auf Deutsch, Französisch, Italienisch und Englisch ohne Übersetzung liest, und wenden es auf über 35.000 Websites vor und nach der Reform an. Angaben zu Betroffenenrechten nehmen deutlich zu, vor allem durch automatische Generatoren.
Warum es wichtig ist. Reformen ändern eher Texte als Praktiken: Die echte Wirkung eines Gesetzes zu messen braucht Werkzeuge wie dieses, die auch bei der Prüfung der Compliance von Kunden helfen.
6. Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
arXiv · Zidong Zhang, Zhentao Xie, Lingyun Ying, Qinsheng Hou et al. · Identität und Authentifizierung
Kurz gesagt: In über 46.000 Mini-Apps von WeChat und Baidu erlauben 1.834 OAuth-Fehler, sich als Nutzer auszugeben.
Mini-Apps laufen in Super-Apps wie WeChat und nutzen deren OAuth zur Anmeldung. Die Autoren finden drei neue Fehlerarten, die erst zur Laufzeit auftreten, und bauen MiniAuth, das Anmeldeabläufe auch bei verschleiertem Code ausführt. In 44.273 WeChat- und 2.721 Baidu-Mini-Apps finden sie 1.834 Fälle, darunter offengelegte Zugangsdaten, sowie einen Kryptofehler in Baidus APIs.
Warum es wichtig ist. Wer Dienste über Super-Apps anbietet, erbt die Risiken fremder Integrationen: Die Anmeldung muss zur Laufzeit geprüft werden, nicht nur im Code.
7. Investigating Developers’ Usage and Perception of Trusted Execution Environment Features in Android
IEEE European Symposium on Security and Privacy · Abdullah Imran, Güliz Seray Tuncay, René Mayrhofer, Antonio Bianchi · Web und Mobile
Kurz gesagt: Weniger als 6 % der Android-Entwickler nutzen hardwaregestützte Sicherheitsfunktionen problemlos, viele verkennen ihre Garantien.
Android bietet APIs auf Basis der vertrauenswürdigen Ausführungsumgebung, die selbst einem kompromittierten Betriebssystem standhalten. Eine Umfrage unter 396 Entwicklern und 20 Interviews zeigen: Über 70 % bräuchten sie, weniger als die Hälfte kennt sie, unter 6 % setzen sie reibungslos ein. 62,4 % glauben fälschlich, der KeyStore widerstehe physischer Manipulation.
Warum es wichtig ist. Banken- und Versicherungs-Apps verlassen sich bei Schlüsseln und Biometrie darauf: Ohne bessere Doku und Werkzeuge bleiben die Funktionen oft ungenutzt oder falsch konfiguriert.
8. I can’t recognize (yet): Delayed Rendering to Defeat Visual Phishing Detectors
IEEE European Symposium on Security and Privacy · Ying Yuan, Cristiano Alex Rado, Giovanni Apruzzese, Mauro Conti et al. · Malware und Bedrohungen
Kurz gesagt: Logos und Formulare verzögert zu laden genügt, um Phishing-Detektoren zu täuschen, die eine Seite nach ihrem Aussehen beurteilen.
Die fortschrittlichsten Phishing-Detektoren vergleichen einen Screenshot der Seite mit dem der echten Website, die sie nachahmt. Dazu müssen sie den Schnappschuss zu einem bestimmten Zeitpunkt machen. Die Autoren zeigen, dass diese Abwehr zeitbasierte Angriffe nie bedacht hat: Verzögert man die erkennbaren Elemente, wirkt die Seite im Prüfmoment harmlos.
Warum es wichtig ist. Viele Mail- und Webfilter in Unternehmen nutzen diese Technik: Ein fast kostenloser Trick schwächt sie, daher braucht es wiederholte Prüfungen oder andere Signale.
9. Cross-Host Lateral Movement Attacks Detection with QUIC-Aware Dynamic Information Flow Tracking
IEEE European Symposium on Security and Privacy · Kokthay Poeng, Laurent Schumacher · Netzwerksicherheit
Kurz gesagt: Ein hostübergreifendes Flow-Tracking rekonstruiert Lateral Movement auch dann, wenn Angreifer QUIC verwenden.
Um einen Angreifer zu erkennen, der von Host zu Host springt, braucht es kausale Verbindungen zwischen Netzflüssen. QUIC verbirgt diese vor Monitoren auf Systemaufrufebene, bestehende Systeme verlieren über die Hälfte ihrer Genauigkeit. Die Autoren kombinieren leichtes Kernel-Monitoring mit Instrumentierung der QUIC-Server und erreichen vollständige Zuordnung unter 15 Mikrosekunden.
Warum es wichtig ist. Lateral Movement entscheidet, wie weit sich ein Angriff ausbreitet: Neue Protokolle können Erkennungswerkzeuge blind machen, wenn sie nicht nachziehen.
10. Banshee: Target Switch Attacks on Gimbal-Stabilized Visual Tracking Systems via Acoustic Injection
IEEE Symposium on Security and Privacy · Jiarui Li, Joseph Brewington, Qingzhao Zhang, Zhuoqing Morley Mao · Web und Mobile
Kurz gesagt: Mit gezieltem Schall auf den Kamera-Stabilisator bringt Banshee eine Drohne dazu, einem vom Angreifer gewählten Ziel zu folgen.
Drohnen, die einem Objekt folgen, nutzen eine Kamera auf einem Gimbal, dessen Sensoren schallempfindlich sind. Banshee erzeugt Schallwellen, die die Kamera gezielt schwingen lassen und die Zuordnung zwischen Bildern brechen: Der Tracker wechselt zum Objekt des Angreifers. Im Flug gegen eine handelsübliche Drohne gelingt der Angriff in 95,5 % der Fälle.
Warum es wichtig ist. Inspektions-, Sicherheits- und Lieferdrohnen verlassen sich auf visuelles Tracking: Ein billiger physischer Angriff kann ihre Mission kapern, ohne die Software anzutasten.
Die Trends des Monats
Post-Quanten-Kryptographie
72 Paper des Monats zu diesem Thema
Da die Post-Quanten-Standards feststehen, verlagert sich die Forschung auf Implementierungen. Wenige geleakte Bits genügen für die Schlüssel von Falcon, HAWK und ML-DSA, und neuronale Netze machen Seitenkanalangriffe auf ML-KEM automatischer und robuster. Die Migration braucht geprüfte Implementierungen, nicht nur neue Algorithmen.
Zitierte Paper:
- Halfspace Learning for Lattice Signature Key Recovery from Signs
- Neur-SASCA: High-Noise-Tolerant and Automated Single-Trace Attack against NTT
Datenschutz
76 Paper des Monats zu diesem Thema
Tracking wandert von Cookies zu Geräteeigenschaften. Eine App ohne Berechtigungen sammelt über 200.000 Telefoneigenschaften, und Fertigungsunterschiede von GPUs trennen identische Rechner. In der Schweiz ändert die Reform von 2023 derweil vor allem die Texte der Datenschutzerklärungen, oft von automatischen Generatoren verfasst.
Zitierte Paper:
- EXADPrinter: Semi-Exhaustive Permissionless Device Fingerprinting Within the Android Ecosystem
- DRAWNAPART: A Device Identification and Spoofing Detection Technique Based on Remote GPU Fingerprinting
- Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law’s Impact
Identität und Authentifizierung
83 Paper des Monats zu diesem Thema
Integrationsfehler wiegen so schwer wie Protokolllücken. Mini-Apps setzen OAuth auf Weisen falsch um, die erst zur Laufzeit sichtbar werden, kaum Android-Entwickler nutzen Hardwareschutz richtig, und visuelle Phishing-Detektoren scheitern an verzögertem Rendering. Die Werkzeuge gibt es, sie müssen aber eingeführt und geprüft werden.
Zitierte Paper:
- Mini-Programs, Mega-Problems: Unveiling OAuth-based Authentication Misuses in Mini-Programs via Dynamic Analysis
- Investigating Developers’ Usage and Perception of Trusted Execution Environment Features in Android
- I can’t recognize (yet): Delayed Rendering to Defeat Visual Phishing Detectors
Wie dieser Digest entsteht
Diese Ausgabe gehört zum Archiv des Digests und wurde nachträglich rekonstruiert. Die Paper des Monats stammen aus arXiv, dem IACR-ePrint-Archiv und den wichtigsten Sicherheitskonferenzen und -zeitschriften; bei der Auswahl zählen auch die seit der Veröffentlichung erhaltenen Zitierungen. Ein KI-Modell hat die Kandidaten bewertet und die Zusammenfassungen verfasst, die auf den Abstracts beruhen: Für Details gilt das Original-Paper.
Bewertete Paper des Monats: 1939.