Datenschutz im digitalen Alltag

Damit Privates privat bleibt

Symbolbild "Smartphone Sicherheit"

Sicherheit bei Android - Schwachpunkt Kernel

Android und Sicherheit wollten nie zusammen passen. In den letzten Jahren hat Google viel versucht um hier Abhilfe zu schaffen und es gab auch ein paar kleinere Fortschritte. Viele retten sich dann in die Custom ROMs aber das schützt nicht unbedingt vor Sicherheitslücken im Kernel.

Im Gegensatz zu herkömmlichen Linux-Distributionen wirkt Android auf den Anwender wie ein monolithischer Block aber das ist nur Schein. Android besteht stark simplifiziert dargestellt aus zwei Schichten.

  1. Die oberste Schicht ist AOSP bzw. das was die Entwickler von ROMs oder die Hersteller daraus machen. Hat man hier die aktuelle Version oder das aktuellste Sicherheitsupdate dürften keine offenen Sicherheitslücken vorliegen.
  2. Darunter liegt aber der Kernel mit dem die Hardware des entsprechenden Geräts angesprochen wird. Android liefert keinen Mainline Kernel aus, sondern hochgradig angepasst Varianten. Sofern das Gerät noch vom Hersteller unterstützt wird, bekommt es hoffentlich auch noch Sicherheitsupdates für diesen Bereich. Ansonsten ist man auf den Geräte-Betreuer des Custom ROMs angewiesen. Hier geht die qualitative Spannbreite enorm auseinander. Im schlimmsten Fall hat man eine aktuelle AOSP-ROM auf einem uralten, ungepflegten Kernel voller Sicherheitslücken.

Zusätzlich gibt es noch das Problem der proprietären Firmware-Blobs, weil es kaum freie Hardware gibt. Das ist hinsichtlich der Sicherheit zwar auch problematisch, aber dieses Problem haben Linux-Distributionen letztlich auch.

Google ist dieses Problem durchaus bewusst. Seit Jahren diskutiert man schon wie Android einen normalen Kernel (meist unter dem Stichwort "Mainline") verwenden könnte um hier Sicherheitsupdates leichter und überprüfbarer auszurollen. Wirkliche Fortschritte wurden hier aber bisher nicht erzielt.

Welche realen Implikationen das für den Anwender hat hängt stark von den jeweiligen Lücken und Anwendungsszenarien ab. Wenn der Einsatz von Android/AOSP nur dem Wunsch entspricht möglichst datensparsam unterwegs zu sein dürften sich die Auswirkungen in Grenzen halten. Möchte man aber ein Gerät, dass absolut sicher ist und auch bei Verlust - d. h. Zugriff auf die Hardware durch Dritte - sicher bleibt, sieht das schon wieder anders aus.

Leider bieten auch Sailfish OS, Ubuntu Touch, Plasma Mobile und all die kleinen Nischensysteme keinen Schutz. Gegenwärtig beruht ihre Hardware-Unterstützung nämlich ausnahmslos auf einer Android-Basis. Selbst gemeinsame Kooperationsprojekte wie Halium können nicht darüber hinaus gehen. Erst Geräte wie das PinePhone oder Librem 5 (wenn es denn jemals wirklich kommt) könnten hier vielleicht mal Abhilfe schaffen.

Insgesamt ist die Sicherheit von Android ein einziges Fiasko. Google hat damals anscheinend ganz schnell ein Konkurrenzprodukt zu iOS gewollt und dafür die Hardware-Hersteller als Kooperationspartner benötigt. Seitdem schleppt man einen riesigen Haufen an strukturellen Problemen mit. Android-Updates kommen mit viel Verzögerung (wenn überhaupt) beim Endverbraucher an, Sicherheit auf Kernel-Ebene hängt vom Hersteller ab und um das zu umgehen verunstaltet Google das System immer mehr. Zuletzt indem man nun auch Systembestandteile über den Play Store aktualisiert.

Auch wenn das iPhone bzw. proprietäre iOS bei vielen Beißreflexe auslöst - wenn es um Sicherheit geht bleibt nicht viel anderes übrig. Die medienwirksamen Nachrichten, nach denen Firmen oder Geheimdienste es schaffen auch iPhones auszulesen sollten da nicht irritieren. Android-Devices sind schlicht keine solchen Meldungen wert.


Bilder:

Einleitungs- und Beitragsbild von Mudassar Iqbal via Pixabay 

"

Tags: Sicherheit, Android, Updates, Kernel

Ergänzungen zum Artikel

Weitere Informationen können den Nutzungsbedingungen entnommen werden.

noisefloor
Interessant wird es, was passiert, wenn Google mal Fuchsia fertig hat und Geräte damit ausrüstet. Wenn das mal richtig läuft ist das denke ich das Ende von Android bzw. Android wird dann auf Dauer ein weiteres Nischen-OS für Smartphones.
Gerrit
Ich persönlich glaube ja nicht, dass Fuchsia jemals fertig wird. Googles Portfolio ist ja reich an eingestellten Experimenten.
Ich werfe jetzt mal die Hypothese in den Raum, dass der Kernel nicht die größte Schwachstelle bei Android ist. Es stimmt schon, dass die Entwicklungsstrucktur des Android Kernel mehr als fragwürdig ist, aber ganz so schlecht wie hier dargestellt ist sie auch nicht. Hier zu sagen kein Mainline = keine Sicherheit, wird der Komplexität nicht mal im Ansatz gerecht. Als privater linux-next Tester, bin ich eher vertraut mit der Mainline-Entwicklung, aber meines Wissens nach betreibt google enorm viel Aufwand für Backports und fixed über kurz oder lang fast alles. Ein Grund für die Ablehnung der Mainline-Entwickler beruht auf der Linux-Kernel Philosophie, dass jeder Kernelbug ein Sicherheitsproblem ist, Google sieht das anders, aber das wollen wir hier nicht diskutieren.

Der Punkt hier könnte aber sein, dass die Gerätehersteller keine Updates ausliefern. Jeder Hersteller macht hier sein eigenes Ding und es ist Letztlich die Verantwortung des Herstellers Updates aus zu liefern. Google hier verantwortlich zu machen ist aber eher suboptimal. Ich kann jedem nur empfehlen, beim Kauf eines neuen Handy die Update Philosophie zu einem wesentlichen kauf Kriterium zu machen. Wünschen würde ich mir, dass Hersteller bei Schaden durch nicht gepachtet Sicherheitslücken haftbar gemacht werden könnten. Damit könnte man vielleicht ein umdenken bei einigen Herstellern erreichen.

Aber, soweit ich weiß ist die reale Ausnutzung von Android Kernelbugs fast nicht existent. Stadtessen, schaffen es nahezu regelmäßig Malware Programme in den Playstore und diese Programme basieren fast nie auf Bugs, sondern nutzen die ganz normale Android api um z.b. Standorddaten zu übermitteln, oder andere Informationen ab zu saugen. Viel malware kommt auch über sideloading, dass zum Glück bei Android erlaubt ist, anders als bei IOS. Den IOS weg wünsche ich mir aber beim besten Willen noch viel weniger.

Ich glaube es ist nicht sinvoll Sicherheit unterschiede Zwischen Android und IOS zu vergleichen, sondern zwischen Apple und Samsung, oder Huawei, oder was auch immer. Android ist viel zu divers, als dass man hier zu einem Sinnvollen Ergebnis kommen könnte.





Gerrit
Zitat :
Als privater linux-next Tester, bin ich eher vertraut mit der Mainline-Entwicklung, aber meines Wissens nach betreibt google enorm viel Aufwand für Backports und fixed über kurz oder lang fast alles.

Das mag für die Pixel-Geräte zutreffen, aber ob und wann diese Backports von den übrigen Hardware-Herstellern (die ja den Großteil der Geräte ausliefern) ausgeliefert werden ist vollkommen unklar und durch den Anwender nicht mal nachvollziehbar.

Zitat :
Google hier verantwortlich zu machen ist aber eher suboptimal.

Google hat das Android-System erschaffen und vertragliche Vereinbarungen mit allen Herstellern, die irgendeine Google App installieren möchten (siehe aktuelle Auseinandersetzung mit Huawei). Natürlich sind sie verantwortlich.

Zitat :
Aber, soweit ich weiß ist die reale Ausnutzung von Android Kernelbugs fast nicht existent.

Das ist die Frage der Bedrohungsszenarien. Hab ich oben geschrieben. Bei Sicherheit geht es nicht nur ein bisschen Tracking oder Malware per App.

Deisi
Zitat :
Das mag für die Pixel-Geräte zutreffen, aber ob und wann diese Backports von den übrigen Hardware-Herstellern (die ja den Großteil der Geräte ausliefern) ausgeliefert werden ist vollkommen unklar und durch den Anwender nicht mal nachvollziehbar.


Das ist leider richtig und ein Problem, aber warum Google hier hauptsächlich verantwortlich sein soll ist mir immer noch nicht klar.

Zitat :
Google hat das Android-System erschaffen und vertragliche Vereinbarungen mit allen Herstellern, die irgendeine Google App installieren möchten (siehe aktuelle Auseinandersetzung mit Huawei). Natürlich sind sie verantwortlich.


Bin kein Anwalt, aber meines Wissens nach betreffen diese Verträge nicht Android direkt, sondern die google Apps und den frühzeitigen Zugang zur Android Entwicklung. Am Ende ist der Hersteller verantwortlich und hier sollte man meiner Meinung nach Ansetzen. Stichwort Haltbarkeitsdatum auf Handy z.b. wie vom CCC gefordert, oder wie auch schon erwähnt Haftbarkeit von Herstellern.

Mit dem Finger auf Google und den Kernel zeigen beschreibt das Symptom, aber nicht die Ursache.

Gerrit
Zitat :
Bin kein Anwalt, aber meines Wissens nach betreffen diese Verträge nicht Android direkt, sondern die google Apps und den frühzeitigen Zugang zur Android Entwicklung

Leider falsch. Über diese Verträge regelt Google auch viele weitere Dinge wie bei der Auseinandersetzung mit der EU publik wurde. Es sind auch bereits Regelungen zu Updates enthalten.

Deisi
Ja klar über die G-Apps haben sie einen mächtigen Hebel. Faktisch können sie Herstellern ihren willen aufzwingen. An der Stelle kann man natürlich ansetzen und sagen das hätten sie schon vor 8 Jahren machen sollen. Nur wo wäre Android dann?

Ich sehe den Ball immer noch im Feld der Hersteller die billige Geräte raus pumpen und dann nicht supporten. Google ist hier eher auf der Seite des Kunden, weil sie wenigstens Mindeststandards einfordern. Google hat ja nix davon wenn du ein unsicheres Handy hast. Im Gegenteil.

Der Hersteller allerdings hat ein monetaires keine updates aus zu liefern, denn das kostet Geld. Traurig, dass es so viel druck von allen Seiten braucht um hier wenigstens Minimalanforderungen zu erfüllen.

Gerrit
Zitat :
Ja klar über die G-Apps haben sie einen mächtigen Hebel. Faktisch können sie Herstellern ihren willen aufzwingen. An der Stelle kann man natürlich ansetzen und sagen das hätten sie schon vor 8 Jahren machen sollen. Nur wo wäre Android dann?

Warum über die Vergangenheit reden. Sie könnten es problemlos jetzt tun. Man sieht doch an Huawei, dass ohne Google nichts geht.

Anonymous
Interessant fand ich dazu einen Artikel in der c't, der ein wenig Hintergrund erläutert https://www.heise.de/select/ct/2020/8/2004409331800720685

Da er kostenpflichtig ist, mal aus meiner Erinnerung: Teils hatten die ganzen Kernel-Forks auch einen technischen Hintergrund durch die ARM-Architekt – ACPI Tabellen (u.a. mit Infos welche Hardware der „Rechner“ so hat) und EFI wie bei x86 gab es bei ARM lange gar nicht. Das bessert sich bei Server mit Server Base System Architecture (SBSA) und im embeddedbereich mit Board Support Packages. (Könnt also auch mal was bei Android-Smartphones bringen, aber das rauszufinden ist nicht gerade trivial…)

Und ja, Hersteller wie beim Raspberry Pi könnten angepasste Kernel auf neue Versionen bringen – aber das ist halt Aufwand und kostet.

5000 Buchstaben übrig


  • 1

Über [Mer]Curius

Immer größere Teile unseres Lebens haben sich in den vergangenen Jahren digitalisiert. Es gibt heute unzählige Dienste und jeder Mensch hinterlässt permanent Spuren. Die Datensätze, die hier entstehen wecken viele Begehrlichkeiten. Es besteht aber auch die Möglichkeit durch gezielte Maßnahmen die eigene Datenspur zu minimieren und Daten effektiv und sicher zu schützen. Damit entgeht man zwar nicht jeder Überwachungsmaßnahme, erlangt aber zumindest teilweise die Kontrolle über die eigenen Daten zurück.

→ Mehr über [Mer]Curius