Android-Sicherheit: Schwachstelle im Speicher von Krypto-Schlüsseln entdeckt

IBM haben eine Sicherheitslücke entdeckt, die in vielen Android-Versionen existiert.
Bild: dpa Sicherheitsforscher von IBM haben eine Sicherheitslücke in der Verwaltung von Kryptographie-Schlüsseln (Keystore) von Android entdeckt. Eine böswillige App könne mit etwas Raffinesse die Sicherheitslücke ausnutzen.

Der entdeckte Fehler führt dazu, dass Angreifer dem System ausführbaren Code im Kontext des Keystores unterschieben können. Damit sei es möglich, die Zugangsdaten für die Gerätesperre zu entwenden. Gefährdet sind bei einer erfolgreichen Attacke auch gespeicherte Haupt-Schlüssel. Dieser kann entschlüsselt aus dem Arbeits­speicher oder verschlüsselt vom internen Speicher ausgelesen werden. Als besonders problematisch könnte sich erweisen, dass der böswillige Code in der Lage sein soll, kryptographische Funktionen im Namen des Nutzers auszuführen.

Betroffen: Ältere Android-Versionen bis Version 4.3

IBM haben eine Sicherheitslücke entdeckt, die in vielen Android-Versionen existiert.
Bild: dpa IBM hat nach eigenen Angaben das Sicherheits-Team von Android im September 2013 über die Sicherheitslücke informiert. Mitte November sei ein Patch entwickelt und in Android integriert worden. Demnach ist Android 4.4 die erste Version, die diese Sicherheitslücke nicht aufweist. Alle Versionen bis einschließlich 4.3 sind wohl bis heute anfällig. Für betroffene Android-Versionen hat Google bis heute kein Sicherheitsupdate mit neuer (Unter-)Versionsnummer veröffentlicht - ob die Hersteller einen Sicherheitshinweis und einen Patch erhalten haben, geht aus der IBM-Meldung nicht hervor.

Diese Sicherheitslücke zeigt erneut, dass die schleppende Verteilung von Android-Updates ein großes Risiko für Nutzer ist. Nur wenige Hersteller nehmen die Mühen auf sich, einen Patch für ihre älteren Smart­phones zu entwickeln. Ohne Update des Betriebssystems bleiben Android-Geräte aber verwundbar. Hier muss Google bald Lösungen finden, damit die Nutzer nicht im Regen stehen, wenn schwerwiegende Sicherheitslücken entdeckt werden.

Welchen Weg ein Android-Update auf dem Weg von den Google-Entwicklern bis hin zum Kunden zurücklegt, haben wir in einer eigenen Meldung zusammengefasst.

Diese Hindernisse muss eine App austricksen

Der Fehler beruht darauf, dass die Länge einer Funktionseingabe nicht überprüft wird - das ist sogar Absicht, wie aus einem erklärenden Kommentar im Android-Quelltext hervor ging. Die Länge der Eingabe werde nicht überprüft, um "die Dinge einfach zu halten". Die nötigen Datenpuffer seien ohnehin groß genug dimensioniert - dies ist aber eben tatsächlich nicht der Fall. Einige Hindernisse muss ein Angreifer jedoch überwinden, um die Sicherheitslücke tatsächlich auszunutzen. So gebe es Restriktionen, die verhindern, dass Daten als ausführbarer Code behandelt werden und der genaue Speicherort im Arbeits­speicher werde zufällig vergeben.