Abo
  • Services:
Anzeige
Android prüft App-Zertifikate nur unzureichend.
Android prüft App-Zertifikate nur unzureichend. (Bild: Google/Screenshot: Golem.de)

Android: Zertifikatskette wird nicht geprüft

Android prüft App-Zertifikate nur unzureichend.
Android prüft App-Zertifikate nur unzureichend. (Bild: Google/Screenshot: Golem.de)

Black Hat 2014 Android prüft nur unzureichend die mit Apps installierten Zertifikate. Dadurch können sich bösartige Apps Zugriff auf Systemkomponenten verschaffen, die ihnen eigentlich verwehrt sind.

Anzeige

Android führt die Prüfung von Zertifikaten offenbar nur unzureichend durch. Zu jeder App wird ein Zertifikat ausgestellt und mit installiert, über das sie normalerweise gegenüber dem System verifiziert wird. Eine bösartige App könnte sich mit einem Zertifikat einer anderen Anwendung verifizieren lassen, deren Zugriffsrechte sie nutzen könnte.

Die als Fake ID bezeichnete Schwachstelle ist laut Angaben des Entdeckers Bluebox Security in allen Versionen von Googles mobilem Betriebssystem seit Version 2.1 vorhanden. Die Entwickler bei Google hätten erst in Version 4.4 damit begonnen, die Schwachstelle zu beheben. In der Vorab-Version von Android 5 sei sie aber wieder enthalten.

Mehr Rechte durch gefälschte Zertifikate

Überprüft haben die Datenexperten bei Bluebox Security ihre Entdeckung anhand des offiziellen Zertifikats des Flash Players von Adobe. Dieser genießt weitreichende Rechte unter Android, da er auch von anderen Anwendungen genutzt werden kann. Noch gravierender sei es aber, wenn es bösartigen Apps gelänge, beispielsweise das Zertifikat von der offiziellen Bezahl-App Google Wallet zu verwenden.

Google habe sofort nach der Bekanntgabe der Schwachstelle einen Patch bereitgestellt, der sowohl an seine Android-Partner sowie an das AOSP-Projekt gegangen sei, schrieb ein Google-Sprecher an Ars Technica. Außerdem habe das Unternehmen sämtliche Apps in Google Play auf gefälschte Zertifikate untersucht. Dort seien bislang keine Hinweise gefunden worden, dass potentielle Angreifer die Schwachstelle bereits ausnutzten. Details zu der Schwachstelle will Bluebox Security auf der Black Hat 2014 vorstellen.


eye home zur Startseite
Nerd_vom_Dienst 31. Jul 2014

Mal unabhängig davon dass den Text nicht richtig gelesen hast, spielt die ganze Thematik...

LoopBack 30. Jul 2014

Unwahrscheinlich, der Patch und die Lücke sind bereits seit April bekannt: https...

LoopBack 30. Jul 2014

... dann gibt es Panik. PANIK!!! Hier mal der Link zur Original-Quelle (den golem...



Anzeige

Stellenmarkt
  1. SQS Software Quality Systems AG, Gifhorn-Weyhausen, Köln, Frankfurt, München, Hamburg, deutschlandweit
  2. Consors Finanz, München, Duisburg
  3. ISCUE, Nürnberg
  4. xplace GmbH, Göttingen


Anzeige
Spiele-Angebote
  1. 49,99€
  2. 17,99€
  3. 9,99€

Folgen Sie uns
       


  1. Auftragsfertiger

    Intel zeigt 10-nm-Wafer und verliert Kunden

  2. Google Home Mini

    Google plant Echo-Dot-Konkurrenten mit Google Assistant

  3. Drei Modelle vorgestellt

    Elektrokleinwagen e.Go erhöht die Spannung

  4. Apple iOS 11 im Test

    Alte Apps weg, Daten weg, aber sonst alles gut

  5. Bitkom

    Ausbau mit Glasfaser kann noch 20 Jahre dauern

  6. Elektroauto

    Nikolas E-Trucks bekommen einen Antrieb von Bosch

  7. HHVM

    Facebook konzentriert sich künftig auf Hack statt PHP

  8. EU-Datenschutzreform

    Bitkom warnt Firmen vor Millionen-Bußgeldern

  9. Keybase Teams

    Opensource-Teamchat verschlüsselt Gesprächsverläufe

  10. Elektromobilität

    In Norwegen fehlen Ladesäulen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Lenovo Thinkstation P320 Tiny im Test: Viel Leistung in der Zigarrenschachtel
Lenovo Thinkstation P320 Tiny im Test
Viel Leistung in der Zigarrenschachtel
  1. Adware Lenovo zahlt Millionenstrafe wegen Superfish
  2. Lenovo Smartphone- und Servergeschäft sorgen für Verlust
  3. Lenovo Patent beschreibt selbstheilendes Smartphone-Display

Galaxy Note 8 im Test: Samsungs teure Dual-Kamera-Premiere
Galaxy Note 8 im Test
Samsungs teure Dual-Kamera-Premiere
  1. Galaxy S8 und Note 8 Bixby-Button lässt sich teilweise deaktivieren
  2. Videos Youtube bringt HDR auf Smartphones
  3. Galaxy Note 8 im Hands on Auch das Galaxy Note sieht jetzt doppelt - für 1.000 Euro

Mobilestudio Pro 16 im Test: Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
Mobilestudio Pro 16 im Test
Wacom nennt 2,2-Kilogramm-Grafiktablet "mobil"
  1. Wacom Vorschau auf Cintiq-Stift-Displays mit 32 und 24 Zoll

  1. Re: Ich habe beides - Android und iOS

    Trollversteher | 09:40

  2. Re: Das ist doch sehr erheiternd

    chefin | 09:40

  3. Re: Ich muß mal eine Lanze für Apple brechen

    Trollversteher | 09:39

  4. Re: Idee

    LeonBergmann | 09:38

  5. Re: Wie heißen eigentlich die ....

    ArcherV | 09:38


  1. 08:45

  2. 08:32

  3. 07:00

  4. 19:04

  5. 18:51

  6. 18:41

  7. 17:01

  8. 16:46


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel