Abo
  • Services:
Anzeige
Android prüft App-Zertifikate nur unzureichend.
Android prüft App-Zertifikate nur unzureichend. (Bild: Google/Screenshot: Golem.de)

Android: Zertifikatskette wird nicht geprüft

Android prüft App-Zertifikate nur unzureichend.
Android prüft App-Zertifikate nur unzureichend. (Bild: Google/Screenshot: Golem.de)

Black Hat 2014 Android prüft nur unzureichend die mit Apps installierten Zertifikate. Dadurch können sich bösartige Apps Zugriff auf Systemkomponenten verschaffen, die ihnen eigentlich verwehrt sind.

Anzeige

Android führt die Prüfung von Zertifikaten offenbar nur unzureichend durch. Zu jeder App wird ein Zertifikat ausgestellt und mit installiert, über das sie normalerweise gegenüber dem System verifiziert wird. Eine bösartige App könnte sich mit einem Zertifikat einer anderen Anwendung verifizieren lassen, deren Zugriffsrechte sie nutzen könnte.

Die als Fake ID bezeichnete Schwachstelle ist laut Angaben des Entdeckers Bluebox Security in allen Versionen von Googles mobilem Betriebssystem seit Version 2.1 vorhanden. Die Entwickler bei Google hätten erst in Version 4.4 damit begonnen, die Schwachstelle zu beheben. In der Vorab-Version von Android 5 sei sie aber wieder enthalten.

Mehr Rechte durch gefälschte Zertifikate

Überprüft haben die Datenexperten bei Bluebox Security ihre Entdeckung anhand des offiziellen Zertifikats des Flash Players von Adobe. Dieser genießt weitreichende Rechte unter Android, da er auch von anderen Anwendungen genutzt werden kann. Noch gravierender sei es aber, wenn es bösartigen Apps gelänge, beispielsweise das Zertifikat von der offiziellen Bezahl-App Google Wallet zu verwenden.

Google habe sofort nach der Bekanntgabe der Schwachstelle einen Patch bereitgestellt, der sowohl an seine Android-Partner sowie an das AOSP-Projekt gegangen sei, schrieb ein Google-Sprecher an Ars Technica. Außerdem habe das Unternehmen sämtliche Apps in Google Play auf gefälschte Zertifikate untersucht. Dort seien bislang keine Hinweise gefunden worden, dass potentielle Angreifer die Schwachstelle bereits ausnutzten. Details zu der Schwachstelle will Bluebox Security auf der Black Hat 2014 vorstellen.


eye home zur Startseite
Nerd_vom_Dienst 31. Jul 2014

Mal unabhängig davon dass den Text nicht richtig gelesen hast, spielt die ganze Thematik...

LoopBack 30. Jul 2014

Unwahrscheinlich, der Patch und die Lücke sind bereits seit April bekannt: https...

LoopBack 30. Jul 2014

... dann gibt es Panik. PANIK!!! Hier mal der Link zur Original-Quelle (den golem...



Anzeige

Stellenmarkt
  1. Novotechnik Messwertaufnehmer OHG, Ostfildern
  2. Regierungspräsidium Freiburg, Freiburg
  3. BG-Phoenics GmbH, Hannover
  4. operational services GmbH & Co. KG, Chemnitz, Zwickau, Dresden


Anzeige
Top-Angebote
  1. (50% Rabatt!)
  2. 219,00€ (Bestpreis!)
  3. (u. a. Gear VR 66,00€, Gear S3 277,00€)

Folgen Sie uns
       


  1. Komplett-PC

    In Nvidias Battleboxen steckt AMDs Ryzen

  2. Internet

    Cloudflare macht IPv6 parallel zu IPv4 jetzt Pflicht

  3. Square Enix

    Neustart für das Final Fantasy 7 Remake

  4. Agesa 1006

    Ryzen unterstützt DDR4-4000

  5. Telekom Austria

    Nokia erreicht 850 MBit/s im LTE-Netz

  6. Star Trek Bridge Crew im Test

    Festgetackert im Holodeck

  7. Quantenalgorithmen

    "Morgen könnte ein Physiker die Quantenmechanik widerlegen"

  8. Astra

    ZDF bleibt bis zum Jahr 2020 per Satellit in SD verfügbar

  9. Kubic

    Opensuse startet Projekt für Container-Plattform

  10. Frühstart

    Kabelnetzbetreiber findet keine Modems für Docsis 3.1



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Calliope Mini im Test: Neuland lernt programmieren
Calliope Mini im Test
Neuland lernt programmieren
  1. Arduino Cinque RISC-V-Prozessor und ESP32 auf einem Board vereint
  2. MKRFOX1200 Neues Arduino-Board erscheint mit kostenlosem Datentarif
  3. Creoqode 2048 Tragbare Spielekonsole zum Basteln erhältlich

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Wemo Belkin erweitert Smart-Home-System um Homekit-Bridge
  2. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  3. Tapdo Das Smart Home mit Fingerabdrücken steuern

Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später

  1. Re: Zu breit

    Ember | 23:12

  2. Re: Warum nur? Fragen über Fragen!

    baldur | 23:10

  3. Windows 10 das schlankeste Windows ?

    Multilindmikros... | 23:06

  4. Re: Chipsätze nie angeboten???

    haxti | 23:02

  5. Mobilfunk + Festnetz-Anschluss meiner Eltern

    __destruct() | 23:02


  1. 18:08

  2. 17:37

  3. 16:55

  4. 16:46

  5. 16:06

  6. 16:00

  7. 14:21

  8. 13:56


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel