Android Nougat: Google will vor Ransomware und Zertifikatsspionage schützen
In der nächsten Android-Version Nougat (7.0) sollen wichtige Änderungen an der Android-API(öffnet im neuen Fenster) die Sicherheit erhöhen.
Einerseits sollen Ransomware-Trojaner nicht mehr in der Lage sein, die Kennwörter der Nutzer zu verändern und sie so aus dem Gerät aussperren. Die zweite Änderung dürfte weiter reichende Folgen haben: Google überarbeitet das Zertifikatsmanagement des Betriebssystems grundlegend. Kritiker halten das für eine unzulässige Einschränkung von Power-Nutzern.
Denn mit Einführung der neuen API-Version 24 in Android-Nougat werden von Nutzern oder Apps hinzugefügte Zertifikate nicht mehr ohne weiteres in der Lage sein, verschlüsselte Verbindungen abzusichern, wie das Unternehmen in einem Blogpost(öffnet im neuen Fenster) schreibt. Google vertraut damit nur noch einer vorinstallierten Liste von Zertifikaten beziehungsweise Zertifizierungsstellen.
Damit können Angriffe wie Superfish auf dem PC, bei denen im Hintergrund installierte Zertifikate den Netzwerk-Traffic mitlesen und verändern können, verhindert werden. Gleichzeitig nimmt die neue Policy Nutzern die Möglichkeit, auf einem vom Hersteller ausgelieferten Android-Telefon mittels Man-in-the-Middle-Angriff den eigenen Netzwerktraffic zu analysieren. Das betrifft die meisten Nutzer nicht, für Poweruser ist es aber eine Einschränkung.
Nur mit Opt-in der Apps möglich
Nur wenn eine App ausdrücklich zulässt (Opt-in), dass eine vom Nutzer ausgewählte CA (Certificate Authority) verwendet werden kann, wird das auch möglich sein. Bereits heute können App-Anbieter aber mittels Certificate Pinning verhindern, dass Nutzer den Datentraffic auslesen. Bislang nutzen aber nicht alle Hersteller diese Praxis.
Google wird außerdem die vertrauten Zertifikate im Android Open Source Projekt standardisieren. In der Vergangenheit sei es durch unterschiedliche hinzugefügte CAs bei verschiedenen Android-Herstellern zu Kompatibilitätsprobleme gekommen, schreibt Google.
Wer meint, dass seine eigene CA zum Android Open Source Project hinzugefügt werden solle, solle diesen Wunsch noch einmal überdenken. Wer danach immer noch zu dem Schluss kommt, dass die CA unabdingbar dazugehört, muss zunächst den Mozilla CA Inclusion Prozess(öffnet im neuen Fenster) durchlaufen und kann dann bei Google einen Feature Request(öffnet im neuen Fenster) einreichen.
Viel Kritik an der Entscheidung
Die Änderungen sind nicht unumstritten. Bei Ycombinator(öffnet im neuen Fenster) wird diskutiert, dass damit die Möglichkeiten der Nutzer auf unzulässige Art und Weise eingeschränkt würden. Einige Diskutanten vermuten, dass die Änderung auf Forderungen von App-Anbietern zurückgehe, die ein Reverse-Engineering der Datenübertragung verhindern wollen. Wiederum andere verteidigen die Entscheidung, weil sie die Sicherheit von Standardnutzern verbesserten.
Tatsächlich kann die Änderung auch als Antwort auf Bestrebungen autoritärer Staaten gesehen werden, die mittels eines standardmäßig zu installierenden Zertifikates den Internetverkehr der gesamten Bevölkerung überwachen wollen, wie Kasachstan es vorhatte .
Bereits in der aktuellen Version von Android warnt Google vor möglicherweise mitlesenden Zertifikaten. Bei einem von Golem.de selbst durchgeführten Man-In-the-Middle-Angriff mit einem Zertifikat erschien eine entsprechende Warnung in den Notifications.
Schutz vor Ransomware
Eine weitere Änderung betrifft die API-Funktionen zum Zurücksetzen von Passwörtern. Ransomware-Angriffe auf Android-Smartphones versuchen meist, den Nutzer per Passwort aus seinem Gerät auszusperren. Künftig soll das nicht mehr möglich sein, wenn Nutzer zuvor selbst ein Passwort gesetzt haben.
Die Sicherheitsfirma Symantec berichtet(öffnet im neuen Fenster) , dass es künftig nicht mehr möglich sein soll, die ResetPassword-API zu verwenden, um ein bereits vom Nutzer gesetztes Passwort zu verändern. Diese Änderung solle "strikt durchgesetzt" werden, schreibt Symantec, und es gebe keine Rückwärtskompatibilität.
Wenn Nutzer kein Passwort vergeben hätten, könne der API-Call weiterhin ausgeführt werden. Auch diese Funktion könne aber nur durchgeführt werden, wenn die Malware selbst mit "Device-Administrator"-Rechten laufe. Die Änderungen gelten sowohl für Passwörter als auch für PINs oder Entsperrmuster.
Google hat offenbar erkannt, dass Android sicherer werden muss. Das Juli-Sicherheitsupdate wurde in zwei Teile geteilt , damit schnell patchbare Lücken von den Geräteherstellern zügiger gepatcht werden als solche, die Änderungen an Treibern und anderer Software erfordern.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.