Google Play Store bald mit Root-Blockade?
Root-affine Nutzer werden es zunehmend schwerer im Play Store haben
Logo: Google, Foto/Grafik: teltarif.de
Letzte Woche stellte Google auf der Entwicklerkonferenz Google I/O 2017 zahlreiche Neuheiten rund um Android vor, darunter auch ein Update für die Google Play Console. Dabei handelt es sich um eine Oberfläche für Entwickler im Google Play Store, um verschiedene Dinge für den Vertrieb von Apps über den Google Play Store zu verwalten. Das Update umfasst unter anderem den Punkt für den SafetyNet-Check und genau dieser sorgt jetzt für zunehmend Unruhe.
Mit besagter SafetyNet-Option wird beim Starten des Google Play Store überprüft, ob das Android-Smartphone oder Android-Tablet gewisse Sicherheitsstandards erfüllt. Werden die Kriterien nicht erfüllt, funktionieren bestimmte Dinge nicht mehr. Oder Apps tauchen gar nicht erst im Google Play Store auf. Bestes Beispiel dafür ist das jüngste Netflix-Update auf App-Version 5.0, wie wir berichteten.
Missbräuchliche Nutzung einer sinnvollen Funktion
Root-affine Nutzer werden es zunehmend schwerer im Play Store haben
Logo: Google, Foto/Grafik: teltarif.de
Natürlich ist die SafetyNet-Sache von Google prinzipiell eine gute Sache. Schließlich werden mobile Geräte immer öfters für Bankgeschäfte verwendet und da muss schon ein gewisser Standard an Sicherheit gewährleistet werden. Genau da springt die SafetyNet-API ein und überprüft, ob das Gerät von der Bootloader-Sperre befreit und gerootet ist. Letzteres ermöglicht Malware, sich unbemerkt zu verbreiten und Banking-Apps gezielt auszuspionieren.
Das Dilemma, dem sich die Modding-Community wie zum Beispiel XDA Developers nun ausgesetzt fühlt, ist noch nicht absehbar. Denn das Update der Developer Console umfasst auch Optionen, um Geräte mit alternativen Firmwares wie Lineage OS, ehemals CyanogenMod, auszusperren oder Geräte, die keine offizielle Zertifizierung von Google erhalten haben. Zu letzteren gehören unter anderem die immer populärer werdenden Xiaomi-Smartphones.
Was an der Sache zu denken gibt, ist der potenzielle Missbrauch durch Entwickler. Letztes Jahr sorgte Niantic Labs, Entwickler von Pokemon GO, für erste Entrüstung. Um das Cheaten via Xposed Framework zu verringern, wurde ein erfolgreicher SafetyNet-Check zur Voraussetzung, um sich überhaupt einloggen zu können. Dass ein Großteil der Root-Nutzer aus anderen Gründen ihre Geräte rooten, etwa um der mobilen Werbeflut Einhalt zu gebieten, bestimmte VPN-Apps zu nutzen oder einfach nur nicht deinstallierbare Bloatware zu entfernen, ist da quasi eine Art in Kauf genommener Kollateralschaden.
Trotzdem ist die Entwicklung aus Sicht eines Root-Anhängers mit Bauchschmerzen verbunden. Wenn nach und nach immer mehr Entwickler gezielt Root-Nutzer aussperren, wird der Google Play Store zwar immer übersichtlicher, aber reicher an minderwertigen Apps, die ihrerseits ein deutlich größeres Sicherheitsrisiko darstellen könnten. Der nachfolgende Screenshot zeigt die neuen Optionen.
Die möglichen Parameter zum gezielten Aussperren einzelner Geräte
Foto: Google
Da bringt es auch nichts, dass Google zwei Arten des SafetyNet-Checks vor sieht: Einmal den kompletten CTS-kompatiblen Check und einen Basic-Check. Der CTS-kompatible Check umfasst alle von Google offiziell lizenzierten Geräte, wie man sie direkt im Laden kaufen kann. Abgesehen von Huawei/Honor ist der Großteil chinesischer Hersteller aufgrund rechtlicher Auseinandersetzungen zwischen Google und der chinesischen Regierung aus dem Google Play Store ausgeschlossen.
Der Basic-Check dient wiederum dazu, eine größere Kompatibilität zu gewährleisten, auch unabhängig von alternativen Firmwares und Root. Für sicherheitskritische Anwendungen wie Online-Banking empfiehlt Google jedoch den CTS-kompatiblen Check.
Sicherheit als langfristiges Ziel
Betrachtet man die Sache aus dem Blickwinkel von Google, dann ist ein starker Zuwachs an Sicherheit gerade mit Blick auf die Konkurrenz erstrebenswert. Immerhin wird Apple im Unternehmensbereich derzeit noch gegenüber Googles Android bevorzugt, eben weil es laut Meinung mancher IT-Verantwortlicher sicherer ist. Wenn man sich mit der Materie beschäftigt, dann sind das jedoch Lücken in Android, die sich durch eine Schulung der Mitarbeiter effektiv vermeiden lassen.
Denn die Update-Unterstützung mit aktuellen Sicherheitspatches lässt bei vielen Herstellern und erst recht Smartphone-Modellen arg zu wünschen übrig. Bestenfalls werden Flaggschiffe zwei Jahre lang mit Updates sowie aktuellen Android-Versionen versorgt, aber einfache Mittelklasse- oder Einsteiger-Modelle schon nicht mehr. Deswegen könnte es durchaus zu einer kuriosen Situation kommen.
So hat das LG G4 offiziell noch Android 6.0 Marshmallow und ein Sicherheitspatchlevel vom Januar 2017, womit es laut SafetyNet als sicher gelten würde. Dasselbe Modell mit Lineage OS 14.1, basierend Android 7.1.1 Nougat und mit Sicherheitspatchlevel von Mai 2017 gilt wiederum nicht als sicher. Da wird die Kontroverse wohl am ersichtlichsten.
Aber noch ist das nur Schwarzmalerei, die aber leider schneller als gedacht Realität werden kann. Insofern bleibt nur eines übrig: Abwarten und Teetrinken, wie sich die Sache rund um SafetyNet weiterentwickelt. Noch ist das letzte Wort nicht gesprochen.