‚Fake ID‘: ein neuer Android-Super-Bug

Frage: Was haben die Android-Versionen 2.1 bis 4.3 gemeinsam? Antwort: Eine Sicherheitslücke beim Signieren von Software, die das Einschleusen von Schadecode erlaubt, der sich dann den weitreichenden Zugriffsrechten von Systemdiensten bemächtigt, um anschließend (potenziell) das komplette Gerät zu übernehmen.

Bluebox Labs, das Team, das bereits im letzten Jahr den ‚Master Key’-Bug offenlegte, umriss das aktuelle Ausmaß gegenüber BBC News so:

„Master Key did allow a whole device to be taken over… but the user had to be duped into a couple of decisions before the malware would be able to achieve its goal,“ he explained.

”Fake ID unfortunately occurs in a manner that is hidden to the user – there’s no prompts, no notifications, no need for special permissions.“

In einem Statement für Ars Technica kommentierte Google die gefälschten Ausweise (deshalb die Bezeichnung ‚Fake ID‘) in seinem mobilen Betriebssystem wie folgt: Der Google-Play-Store ist „sauber“¹; ein Patch an die Android Partner sowie das Android Open Source Project ist verteilt.

Unerwähnt bleibt: Tatsächlich ausgeliefert wird dieser Bugfix natürlich nur auf einem minimalen Prozentsatz aller betroffenen Geräte² – wenn überhaupt. Bluebox Security weiß derzeit nur von einem einzigen Partner (Motorola), der bislang ein Update auf ausgewählte Geräte schickte.

Natürlich ist kein System absolut (und dauerhaft) sicher. Fehler passieren. Auch iOS stolperte wiederholt über grobe Nachlässigkeiten. Deshalb ist das ausschlaggebende Kriterium heutzutage, wie schnell sich aufgedeckte Sicherheitslücken wieder stopfen lassen.

Und ebendeshalb ist dieses Kuchendiagramm so wichtig:

Update: Google scannt den Play Store seit 2011 nach Schadsoftware. Dieses Feature soll standardmäßig eingeschaltet sein und ist bereits auf den ‚Fake ID‘-Bug eingeschworen. Damit existiert eine gewisse Form von Schutz, der mir aus dem gestrigen Google-Statement nicht ersichtlich war.

(Danke, Martin!)