Android demonstriert den Nachteil uneingeschränkter App-Installationen
Im Gegensatz zu iPhone-Nutzern sind die Jungs und Mädels aus dem Android-Lager nicht auf einen zentralen App Store angewiesen, sondern können neue Applikationen aus beliebigen Online-Quellen auf ihren Geräten installieren. Gibt es das Werkzeug „XY“ nicht im Google Play Store, lässt sich der Download auch auf der Homepage des Entwicklers anstoßen oder aus dem Kommentar-Bereich eines Online-Forums mitnehmen. Im Gegensatz zu Apple setzt Google in Sachen Android-Applikationen eher auf Freiheit denn auf Sicherheit.
Einmal installiert, sitzen die Android-Apps in geschützten Sandbox-Bereichen des iOS-Konkurrenten, erleichtern den Alltag, funktionieren und kümmern sich im besten Fall selbständig um ihre Updates. Die Geschichte mit den Updates entwickelt sich jedoch gerade zu einem massiven Problem.
So berichten die Security-Spezialisten von Bluebox über einen Fehler der die digitale Signatur, mit denen sich App-Updates unter Android identifizieren, gänzlich unbrauchbar macht und Hackern ermöglicht, beliebige Software-Aktualisierungen auf mehr als 90% aller derzeit am Mark verfügbaren Android-Handys einzuspielen.
Lädt Android-Nutzer Tom zukünftig das Updates seiner Benzinpreis-Applikation im offenen W-Lan des nächsten Cafés, können vorbereitete Hacker der Gratis-Aplikation so einfach einen Trojaner mit auf den Weg geben ohne den digitalen Fingerabdruck des Updates zu modifizieren. Das Android OS geht anschließend von einer legitimen Aktualisierung aus und installiert alle neuen Dateien, ohne dabei einmal mit der Wimper zu zucken.
Nach Informationen der Bluebox-Mitarbeiter besteht das Problem seit Jahren und ist mindestens seit der Android-Version 1.6 auf fast allen Geräten vertreten.
Attackers can use a variety of methods to distribute such Trojan apps, including sending them via email, uploading them to a third-party app store, hosting them on any website, copying them to the targeted devices via USB and more. Some of these methods, especially the one involving third-party app stores, are already being used to distribute Android malware.
Zwar haben einige Android-Anbieter ihre Geräte inzwischen mit Patches versorgt, die das eklatante Security-Loch stopfen sollen – Samsungs Galaxy S4 ist bereits abgesichert – der Großteil der am Markt aktiven Android-Handys wird jedoch vergeblich auf eine fehlerbehebende Aktualisierung warten. Stichwort: Update-Dilemma.
Unterm Strich sind seit heute 9 von 10 Android-Nutzern, die ihre Apps nicht im Google Play Store erworben haben, potentielle Opfer einer kompletten Geräte-Übernahme.