Viele Smartphones mit unsicherem Android-Kern
Herstellerlösungen mit vielen Mängeln
So entdeckten die Forscherinnen und Forscher in zahlreichen Hersteller-Kernels sogenannte One-Day-Exploits – also Sicherheitslücken, für die es eigentlich schon einen Patch gibt, der allerdings noch nicht installiert wurde. Sie machen das jeweilige Modell anfällig für zahlreiche bekannte Angriffsmethoden. Je nach Modell und Hersteller wurden bei der Untersuchung so etwa nur zwischen 29 und 55 Prozent der Angriffe auf Smartphones mit Hersteller-Kernel abgewehrt. Im Vergleich dazu verhinderte der von Google bereitgestellte Android-Kernel in der Version 6.1 rund 85 Prozent der Angriffe. Smartphones mit Hersteller-Kernels schnitten bei der Gefahrenabwehr somit bis zu 4,6 Mal schlechter ab.
Gewinner und Verlierer des Vergleichs
Günstige Smartphones besonders gefährdet
Für viele der genutzten Angriffsmethoden existieren laut Untersuchung bereits effektive Sicherheitsmaßnahmen. In Hersteller-Kernels seien diese jedoch nur selten aktiviert oder falsch konfiguriert. Das führe dazu, dass selbst der Google-Kernel der Version 3.1 bei allen aktivierten Sicherheitsmaßnahmen Smartphones besser schütze als rund 38 Prozent der überprüften Hersteller-Kernels. Zudem seien preisgünstige Einsteiger-Smartphones um rund 24 Prozent stärker gefährdet als hochpreisige Spitzenmodelle. Ein Grund: Zusätzliche Sicherheitsmaßnahmen führen zu einem Leistungsverlust, den Hersteller bei ohnehin weniger leistungsstarken Einsteiger-Smartphones verhindern wollen. Viele Sicherheitsmaßnahmen blieben deshalb deaktiviert.
So reagieren die Hersteller
Ihre Ergebnisse haben die Forscherinnen und Forscher mit den Herstellern der untersuchten Smartphones geteilt. Google, Fairphone, Motorola, Huawei und Samsung hätten sie zur Kenntnis genommen und mitunter sogar Patches veröffentlicht, erklärt Lukas Maar von der TU Greiz. Zudem habe man Google vorgeschlagen, das Android Compatibility Definition Document (CDD) zu aktualisieren. Darin legt Google die Anforderungen fest, die Geräte einhalten müssen, um mit Android kompatibel zu sein. “Google selbst hat betont, sich des Problems bewusst zu sein, und möchte die Integration von Kernel-Sicherheitsmaßnahmen Schritt für Schritt verstärken”, erläutert Maar. Gleichzeitig erklärte Google, dass dieser Schritt davon abhänge, ob Hersteller dafür Leistung opfern möchten.
0 Comments