Android erlaubt Zugriff ohne Berechtigung

Sicherheitsforscher Paul Brodeur von der Leviathan Security Group hat herausgefunden, dass das mobile Betriebssystem Android von Google auch dann den Lesezugriff auf Daten erlaubt, wenn App gar keine entsprechenden Berechtigungen verlangen. Den Nachweis dieser Sicherheitslücke hat er mit seiner Proof-of-Concept-App "No Permissions" erbracht.

Nach Aussagen des Forschers erhält bei Android jede App Lesezugriff auf Daten, die auf einer externen Speicherkarte abgelegt sind. Wer also Musik, Filme, Fotos oder gar wichtige Dokumente auf den kleinen Speicherchips sichert, könnte sie ungewollt schon längst Dritten zugänglich gemacht haben. So habe Brodeur auf seinem eigenen Gerät etwa OpenVPN-Zertifikate finden können.
Ein Aussage zur Gefährlichkeit der Sicherheitslücke will der Sicherheitsfachmann aber nicht treffen, das überlässt er lieber anderen. Wichtig sei allerdings, dass es offensichtlich von Android keine Sicherheitsmaßnahmen für externen Speicher gebe, obwohl auf ihm auf den meisten Android-Smartphones Daten gespeichert werden können.

Neben Lesezugriff auf Daten der microSD-Karte könnten Dritte auch herausfinden, welche Apps auf dem Smartphone installiert sind. Gleichzeitig ließe sich über diesen Umweg auch an Daten über den Besitzer des Handys kommen – so war im letzten Jahr bekannt geworden, dass etwa Skype ohne großen Aufwand den Zugriff auf Nutzerdaten erlaubt. Als drittes konnte Brodeur mit seiner Test-App den Anbieter der SIM-Karte identifizieren. Das Auslesen von IMEI oder IMSI verwehrte Android hingegen. Brodeur hat nach eigenen Aussagen erfolgreich entsprechende Versuche mit Android 2.3.5 und der neuesten Version 4.0.3 gemacht. (AreaMobile/bw)