Android: Cyanogenmod-Betriebssystem zeichnet Entsperrmuster auf

Ein Programmierer des Android-Betriebssystems Cyanogenmod hat eine Sicherheitslücke im Quellcode des Systems bemerkt. Nach einem kürzlich erfolgten Update wird das individuelle Entsperrmuster des Sperrbildschirms aufgezeichnet und auf dem Gerät gespeichert.

Artikel veröffentlicht am ,
Sicherheitslücke bei Cyanogenmod entdeckt
Sicherheitslücke bei Cyanogenmod entdeckt (Bild: Cyanogenmod)

Gabriel Castro vom Cyanogenmod-Team hat im Quelltext des alternativen Betriebssystems für Android-Geräte eine Zeile Code entdeckt, die offenbar das Entsperrmuster des Sperrbildschirms von Android aufzeichnet. Erst im August wurde dessen Funktion mit einem Update erweitert.

Stellenmarkt
  1. (Senior) Project Manager IT (m/f/d)
    Dr. August Oetker Nahrungsmittel KG, Bielefeld
  2. Senior Software Developer (m/w/d)
    Allianz Technology SE, Stuttgart
Detailsuche

Die Größe des Feldes wurde mit dem Update von 3 x 3 Punkten auf maximal 6 x 6 Punkte vergrößert, was komplexere Entsperrmuster möglich macht. Dabei wurde in die neue Passage im Quelltext auch eine Zeile eingebaut, die das Muster über die Anwendung logcat protokolliert.

  • Im Quelltext der Aktualisierung wurde scheinbar der Log-Befehl vergessen.
  • Im August hat das Team von Cyanogenmod den Entsperrbildschirm von Android auf maximal 6 x 6 Punkte erweitert. (Screenshots: Golem.de)
  • Normalerweise kann man das Entsperrmuster nur über 3 x 3 Punkte verteilen.
  • Der neue Bildschirm ermöglicht weitaus komplexere Muster.
Im August hat das Team von Cyanogenmod den Entsperrbildschirm von Android auf maximal 6 x 6 Punkte erweitert. (Screenshots: Golem.de)

Sicherheitslücke wurde beseitigt

"Ich bin wirklich überrascht, dass das niemandem aufgefallen ist", schreibt Castro im Kommentar zu dem von ihm jetzt durchgeführten Patch. Castro schlug vor, die betreffende Zeile einfach aus dem Code von Cyanogenmod zu entfernen.

Weitere Programmierer der Gruppe stimmten Castro in seiner Einschätzung zu und unterstützten die Entfernung der Zeile. "Ja, das sollte auf jeden Fall ausgebessert werden", schreibt beispielsweise Björn Lundén in den Kommentaren zu Castros Patch. Mittlerweile wurde Castros Änderungsvorschlag angenommen.

Hintergrund des Problems womöglich ein Versehen

Golem Karrierewelt
  1. Elastic Stack Fundamentals – Elasticsearch, Logstash, Kibana, Beats: virtueller Drei-Tage-Workshop
    26.-28.09.2022, Virtuell
  2. AZ-104 Microsoft Azure Administrator: virtueller Vier-Tage-Workshop
    19.-22.09.2022, virtuell
Weitere IT-Trainings

Die Umsetzung des Log-Befehls in der veröffentlichten Version scheint eher auf einem Zufall als auf Absicht zu beruhen. Die Formulierung "log.v" im Quellcode weist auf den Verbose-Modus hin, mit dem interne Vorgänge eines Programmcodes detailliert protokolliert werden können. Dadurch werden beispielsweise neu hinzugefügte Programmteile auf Fehler überprüft.

Die log.v-Zeile könnte also einfach dazu gedient haben, die Funktion des erweiterten Sperrbildschirms zu überprüfen. Offenbar wurde die betreffende Zeile der Testversion anschließend übersehen, als sie zur finalen Version umgebaut wurde.

Die Programmierer von Cyanogenmod kompilieren für eine Vielzahl von Android-Geräten alternative Versionen des Android-Betriebssystems. Erst vor kurzem wurden die neuen Funktionen von Android 4.1.2 in die Nightly Builds von CM10 eingebaut.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Eichrechtsverstoß
Tesla betreibt gut 1.800 Supercharger in Deutschland illegal

Teslas Supercharger in Deutschland sind wie viele andere Ladesäulen nicht gesetzeskonform. Der Staat lässt die Anbieter gewähren.

Eichrechtsverstoß: Tesla betreibt gut 1.800 Supercharger in Deutschland illegal
Artikel
  1. Bitblaze Titan samt Baikal-M: Russischer Laptop mit russischem Chip ist fast fertig
    Bitblaze Titan samt Baikal-M
    Russischer Laptop mit russischem Chip ist fast fertig

    Ein 15-Zöller mit ARM-Prozessor: Der Bitblaze Titan soll sich für Office und Youtube eignen, die Akkulaufzeit aber ist fast schon miserabel.

  2. Quartalsbericht: Huawei steigert den Umsatz trotz US-Sanktionen wieder
    Quartalsbericht
    Huawei steigert den Umsatz trotz US-Sanktionen wieder

    Besonders im Bereich Cloud erzielt Huawei wieder Zuwächse.

  3. Maschinelles Lernen und Autounfälle: Es muss nicht immer Deep Learning sein
    Maschinelles Lernen und Autounfälle
    Es muss nicht immer Deep Learning sein

    Nicht nur das autonome Fahren, sondern auch die Fahrzeugsicherheit könnte von KI profitieren - nur ist Deep Learning nicht unbedingt der richtige Ansatz dafür.
    Von Andreas Meier

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Günstig wie nie: Palit RTX 3080 Ti 1.099€, Samsung SSD 2TB m. Kühlkörper (PS5) 219,99€, Samsung Neo QLED TV (2022) 50" 1.139€, AVM Fritz-Box • Asus: Bis 840€ Cashback • MindStar (MSI RTX 3090 Ti 1.299€, AMD Ryzen 7 5800X 288€) • Microsoft Controller (Xbox&PC) 48,99€ [Werbung]
    •  /