Abo
  • Services:
Anzeige
In Lollipop wird das Rooten eines Geräts deutlich schwieriger - aber nicht unmöglich.
In Lollipop wird das Rooten eines Geräts deutlich schwieriger - aber nicht unmöglich. (Bild: Yuri Samoilov/Flickr/CC BY 2.0)

Mehr Sicherheit durch SE Android

SE Android erweitert die traditionelle Rechtevergabe unter Linux, nämlich die Einteilung von Rechten nach Benutzern, etwa Root mit seinen Administratorrechten sowie der normale Benutzer, der im Gegensatz zu Root keinen Zugriff auf systemnahe Dienste und Anwendungen und deren Konfigurationsdateien hat. Die traditionellen Rechte unterteilen sich in Lesen, Schreiben und Ausführen und werden jeweils einer einzelnen Datei zugewiesen. So können Dienste meist nur von Root ausgeführt, Anwendungen aber von Benutzern gestartet werden.

Anzeige

Obwohl diese Rechte - auch DAC oder Discretionatory Access Control genannt - weiterhin eine entscheidende Rolle unter Linux und Unix spielen, sind sie gewissermaßen unflexibel und teils kompliziert umzusetzen, vor allem dann, wenn Benutzer Zugriff auf systemnahe Funktionen bekommen sollen. Ein Beispiel: Damit Anwender über die Benutzeroberfläche einen Zugang zu einem neuen WLAN einrichten können, müssten sie Zugriff auf Systemdateien bekommen, die eigentlich nur vom Administrator verändert werden dürfen. Wird der Zugriff auf die entsprechenden Konfigurationsdateien unter dem traditionellen Rechtemodell für alle Benutzer freigegeben, stellt das ein gravierendes Angriffspotenzial dar, denn dann erhalten sämtliche Anwendungen ebenfalls die Rechte für die Netzwerkeinstellungen. Mit dem herkömmlichen DAC lässt sich die Rechtevergabe über Gruppen steuern, was allerdings das Einrichten eines Systems deutlich erschwert. DAC ist als Kompromiss zwischen der Benutzerverwaltung und der Systemverwaltung in modernen komplexen Linux-Systemen also eher ungeeignet.

Eingeschränkte Rechte selbst bei Root-Zugriff

Hier setzt SE Android an. Das Sicherheitsframework agiert auf Systemebene und schränkt zunächst sämtliche Rechte aller Prozesse ein. Mit Hilfe von Profilen werden bestimmten Prozessen nur bestimmte Zugriffsrechte eingeräumt, etwa der Zugriff auf Datenträger oder Netzwerkgeräte. Das Konzept nennt sich Mandatory Access Control - kurz MAC. Startet ein Dienst oder eine Anwendung einen Prozess, wird dynamisch festgelegt, welche Rechte dieser Prozess erhält.

Unabhängig von den herkömmlichen Benutzern und ihren zugewiesenen Rollen verwaltet SE Android seine eigenen, nämlich Domänen, Benutzer und Rollen. Sie werden jedem Prozess oder Dienst einzeln zugewiesen, einen allmächtigen Administrator gibt es bei SE Android nicht. SE Android stellt gewissermaßen einen Container dar, in dem Anwendungen nur in einem gewissen Kontext agieren dürfen. Selbst Anwendungen mit Root-Rechten können so eingeschränkt werden, etwa indem ihnen der Zugriff auf den Datenträger über /dev/block oder bestimmte Ordner, etwa das Benutzerverzeichnis /data, verweigert wird. Dort liegen normalerweise die Apps, die SuperSU-Rechte benötigen. So soll unter anderem verhindert werden, dass fehlerhafte oder manipulierte Apps das gesamte System kompromittieren können.

Rechte werden erzwungen statt nur vorgeschlagen

Bisher lief SE Linux in Android im sogenannten Permissive-Modus. Die Regeln waren zwar implementiert, wurden aber nicht erzwungen. Überschreitungen wurden lediglich in den Protokolldateien festgehalten. Root-Apps konnten im System daher den Startprozess Init noch nutzen, um dort eigene Startskripte einzufügen, etwa Chainfire mit seinem angepassten install_recovery.sh. Damit wurde ein SuperSU-Daemon gestartet, der dem Benutzer Root-Rechte gewährleistete.

In Lollipop werden SE-Android-Rechte jetzt erzwungen. Das gilt auch für den Startprozess und verhindert somit, dass herkömmliche Root-Apps funktionieren.

 SE Android: In Lollipop wird das Rooten schwerLollipop benötigt neuen Kernel für Root-Rechte 

eye home zur Startseite
Thaodan 20. Nov 2014

Ist es aber nicht, was meinst weswegen MS für Android Geld bekommt.

Anonymer Nutzer 19. Nov 2014

Du übersieht dabei nur, dass es die breite Masse, überhaupt nicht interessiert, ob und...

Sirence 18. Nov 2014

Einfach Backup von den DRM Keys machen.

Trollversteher 18. Nov 2014

Woher wisst Ihr das? Bzw. was wisst Ihr denn, was in den proprietären binary-blobs...

underlines 18. Nov 2014

Chainfire ermöglicht wie bei jedem Update auch hier einfaches Root per SuperSU: https...



Anzeige

Stellenmarkt
  1. A. Menarini Research & Business Service GmbH, Berlin
  2. Allianz Deutschland AG, Stuttgart
  3. Automotive Safety Technologies GmbH, Wolfsburg
  4. Schaeffler Technologies AG & Co. KG, Nürnberg


Anzeige
Blu-ray-Angebote
  1. (u. a. Logan Blu-ray 9,97€, Deadpool Blu-ray 8,97€, Fifty Shades of Grey Blu-ray 11,97€)
  2. (u. a. Hacksaw Ridge, Deadpool, Blade Runner, Kingsman, Arrival)

Folgen Sie uns
       


  1. LAA

    Nokia und T-Mobile erreichen 1,3 GBit/s mit LTE

  2. Alcatel 1X

    Android-Go-Smartphone mit 2:1-Display kommt für 100 Euro

  3. Apple

    Ladestation Airpower soll im März 2018 auf den Markt kommen

  4. Radeon Software Adrenalin 18.2.3

    AMD-Treiber macht Sea of Thieves schneller

  5. Lifebook U938

    Das fast perfekte Business-Ultrabook bekommt vier Kerne

  6. Wochenrückblick

    Früher war nicht alles besser

  7. Raumfahrt

    Falsch abgebogen wegen Eingabefehler

  8. Cloud

    AWS bringt den Appstore für Serverless-Software

  9. Free-to-Play-Strategie

    Total War Arena beginnt den Betabetrieb

  10. Funkchip

    US-Grenzbeamte können Pass-Signaturen nicht prüfen



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Entdeckertour angespielt: Assassin's Creed Origins und die Spur der Geschichte
Entdeckertour angespielt
Assassin's Creed Origins und die Spur der Geschichte
  1. Assassin's Creed Denuvo und VM Protect bei Origins ausgehebelt
  2. Sea of Thieves angespielt Zwischen bärbeißig und böse
  3. Rogue Remastered Assassin's Creed segelt noch mal zum Nordpol

Axel Voss: "Das Leistungsschutzrecht ist nicht die beste Idee"
Axel Voss
"Das Leistungsschutzrecht ist nicht die beste Idee"
  1. EU-Urheberrechtsreform Kompromissvorschlag hält an Uploadfiltern fest
  2. Leistungsschutzrecht EU-Ratspräsidentschaft schlägt deutsches Modell vor
  3. Fake News Murdoch fordert von Facebook Sendegebühr für Medien

Star Trek Discovery: Die verflixte 13. Folge
Star Trek Discovery
Die verflixte 13. Folge
  1. Star Trek Bridge Crew Sternenflotte verlässt Holodeck

  1. Re: Wie bitte?

    Etas One | 04:35

  2. Re: Als fast Gehörloser kann ich sagen: Unnötig!

    Etas One | 04:34

  3. Re: Das sagt eine Schlange auch

    teenriot* | 02:24

  4. Re: LAA mit bereits erhältlichen Geräten

    RipClaw | 02:14

  5. Re: Android One war mal das Android Go

    DAGEGEN | 02:03


  1. 22:05

  2. 19:00

  3. 11:53

  4. 11:26

  5. 11:14

  6. 09:02

  7. 17:17

  8. 16:50


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel