Google sichert Android 4.1 Jelly Bean besser vor Hackerangriffen

Seit 2008 erlebte Android einen fast unvergleichlichen Siegeszug, denn das Open Source Betriebssystem der Open Handset Alliance hat innerhalb von 4 Jahren die Marktführung erreicht. Kein anderes Betriebssystem für Smartphones und Tablets hat eine derart hohe Verbreitung und das weltweit. Allerdings weckt eine solche Verbreitung auch Begehrlichkeiten in einer gewissen Schattenwirtschaft.

Die Rede ist an dieser Stelle von Hackern, welche durch Systemlücken Zugriff auf die Daten und im schlimmsten Fall sogar die Kontrolle der Geräte erlangen. Das geschieht meistens über die Installation verseuchter Apps aus dem Google Play Store, was in der Vergangenheit recht oft geschehen ist, was wiederum auf den Zugangskontrollen von Google basiert. Denn anders als bei Apple’s iTunes Store müssen sich Apps für Android keiner manuellen Überprüfung und Freigabe unterziehen, Entwickler müssen sich lediglich beim Google Play Store registrieren und schon können APK-Dateien hochgeladen werden. Eine Änderung beim Play Store in Sachen Zugangskontrolle ist nicht zu erwarten, weswegen die open Handset Alliance kurzerhand bei Android selber die Sicherheitsmechanismen verbessert.

Das betrifft unter anderem die sogenannte Address Space Layout Randomization, kurz ASLR. Durch das dynamische ändern von Speicheradressen im Hauptspeicher für Bibliotheken, Stack und Heap-Speicher, soll die Machbarkeit von Stack-Overflow-Fehlern deutlich erschwert werden. Zwar gab es diese Sicherheitstechnologie schon in Android 4.0 Ice Cream Sandwich, allerdings war diese lückenhaft integriert, da manche Speicheradressen auch weiterhin konstant bleiben. Das hebelt die Funktion von ASLR allerdings aus, da der Sicherheitsaspekt von ASLR nur bei vollständiger dynamischer Speicheradressierung der Datenstruktur wirkt.

Beim ewigen Konkurrenten iOS ist die vollständige ASLR-Funktion bereits seit gut 16 Monaten integriert, weswegen iOS in Sachen Sicherheit nach wie vor einige Monate Vorsprung hat. Allerdings fehlt nach wie vor ein nicht ganz unwichtiger Punkt in Sachen Sicherheit bei Android, verglichen mit Apple’s iOS: Die Codesignierung. Diese Sicherheitstechnologie führt nur korrekt digital signierten Code aus, weswegen Schadcode, dem oftmals die digitale Signatur fehlt, kurzerhand nicht ausgeführt wird. Das alles versagt allerdings, wenn die wichtigste Schutzfunktion überhaupt versagt: Der gesunde Menschenverstand beim Installieren von unbekannten Apps oder beim Herunterladen von Anhängen unbekannter eMails.

[Quelle: Duo Security | via ArsTechnica]