Über 1000 Android-Apps können ohne entsprechende Berechtigungen auf Benutzerdaten zugreifen

Trotz der Wahrnehmung der Benutzer ist Android als mobiles Betriebssystem tatsächlich recht sicher. Wir akzeptieren im Allgemeinen die Prämisse, dass das schwächste Glied der Benutzer ist; Solange Sie darauf achten, was Sie installieren und welche Berechtigungen Sie erteilen, sollten Sie vor unbefugtem Zugriff und unbefugter Verbreitung Ihrer Daten geschützt sein. Wenn Sie einer Android-App den Zugriff auf Ihren Standort verweigern, sollte diese App keine Möglichkeit haben, herauszufinden, wo Sie sich befinden oder wo Sie waren. Laut Forschern des International Computer Science Institute (ICSI) haben einige App-Entwickler jedoch Möglichkeiten gefunden, das Berechtigungsmodell von Android zu umgehen.

Entsprechend CNET, die Studie wurde letzten Monat vorgestellt PrivacyCon nachdem sie im vergangenen September sowohl Google als auch der FTC verantwortungsvoll offengelegt wurden. Obwohl die

Auf der Website der FTC veröffentlichtes Papier listet nicht die genauen Apps auf, die das Team in seiner Analyse markiert hat (diese Details werden später bekannt gegeben). Usenix-Sicherheitskonferenz nächsten Monat) enthält es Details zu ihrer Analysemethode und dazu, wie die Apps das Berechtigungsmodell von Android umgangen haben. Was auch immer es wert ist, Google sagt, dass sich die Sicherheit und der Datenschutz durch Google ändern hat in Android Q eingeführt wird diese Umgehungsmethoden schließen, daher bietet dieses Dokument wertvolle Einblicke in die Begründungen von Google für einige der Plattformänderungen, die sie in Android 10 vorgenommen haben. Lass uns eintauchen.

Wie über 1000 Apps das Berechtigungsmodell von Android umgangen haben

Die Forscher unterscheiden zwischen zwei verschiedenen Sicherheitsumgehungstechniken: Seitenkanälen und verdeckten Kanälen. Seitenkanaltechniken beinhalten den Zugriff auf bestimmte Informationen auf eine Weise, die nicht durch den Sicherheitsmechanismus abgedeckt ist. Beispielsweise konnten Apps den Standort eines Geräts mithilfe der MAC-Adresse verfolgen, bis Android Pie die Randomisierung von MAC-Adressen einführte. Bei verdeckten Kanaltechniken arbeiten zwei Dienste zusammen, um Daten von einem Dienst, der gültigen Zugriff hat, an einen Dienst zu senden, der keinen gültigen Zugriff hat. Beispielsweise kann eine App, der Standortzugriff gewährt wurde, diese Daten mit einer App teilen, der kein Zugriff gewährt wurde.

Das ICSI-Team analysierte 88.113 der beliebtesten Android-Apps aus dem US-amerikanischen Google Play Store und entdeckte über 1.000 Apps und Bibliotheken von Drittanbietern nutzen Seitenkanäle und/oder verdeckte Kanäle, um die Sicherheitsmaßnahmen von Android zu umgehen, damit sie auf die Standortdaten und dauerhaften Identifikatoren der Benutzer zugreifen können. Geräte. Ihr vollständiger Datensatz bestand aus 252.864 APKs, da das Team den Play Store regelmäßig nach neuen Versionen der 88.113 Apps durchsuchte, die sie analysieren wollten. Sie testeten zunächst das Verhalten jeder App auf einem Google Nexus 5X liefen unter Android 6.0.1 Marshmallow, testeten ihre Ergebnisse jedoch später erneut auf einem Google Pixel 2 Sie führten Android Pie aus, um zu beweisen, dass ihre Ergebnisse zum Zeitpunkt der Offenlegung noch in der neuesten Version gültig waren.

Mit diesem Datensatz entwickelte das Team eine Methode, die dynamische und statische Analysen nutzt, um eine Umgehung des Android-Berechtigungsmodells zu erkennen. Mit anderen Worten: Das Team untersuchte das App-Verhalten, indem es das Laufzeitverhalten der App prüfte (dynamische Analyse) oder den Code auf potenziell schädliches Verhalten scannte (statisch). Analyse.) Natürlich sind sich böswillige App-Entwickler dieser Techniken bewusst und nutzen Code-Verschleierung und dynamisches Laden von Code, um die statische Analyse oder TLS zu erschweren Interception, um zu erkennen, wann die App in einer virtualisierten Umgebung ausgeführt wird. Daher verwendete das ICSI-Team eine Mischung aus statischer und dynamischer Analyse (Hybridanalyse). testen. Dabei stellte das Team fest, dass die folgenden Daten von Apps gescrapt wurden, die nicht über die erforderlichen Berechtigungen verfügten:

• IMEI: Da es sich bei einer IMEI um eine eindeutige, dauerhafte Kennung handelt, ist das Scrapen für Online-Dienste nützlich, damit sie einzelne Geräte verfolgen können. Das Team entdeckte, dass die Lachse Und Baidu SDKs nutzten einen verdeckten Kanal, um die IMEI zu lesen. Apps mit legitimem Zugriff auf die IMEI speicherten versteckte Dateien auf dem externen Speicher, die die IMEI des Geräts enthielten, sodass andere Apps ohne legitimen Zugriff die IMEI lesen konnten. Zu den identifizierten Apps, die das SDK von Baidu auf diese Weise nutzen, gehören Disneys Themenpark-Apps für Hongkong und Shanghai, Samsung Health und Samsung Browser.
• Netzwerk-MAC-Adresse: Die Netzwerk-MAC-Adresse ist ebenfalls eine eindeutige Kennung und normalerweise durch die Berechtigung ACCESS_NETWORK_STATE geschützt. Den Forschern zufolge verwendeten Apps nativen C++-Code, um „eine Reihe unbewachter UNIX-Systemaufrufe aufzurufen“. Das Team identifizierte 42 Apps, die das Unity SDK zum Öffnen eines verwenden Netzwerk-Socket und ein ioctl, um die MAC-Adresse zu erhalten, stellten jedoch fest, dass 748 der 12.408 Apps den fraglichen Code enthielten, aber den ACCESS_NETWORK_STATE fehlten Erlaubnis.
• Router-MAC-Adresse: Die Berechtigung ACCESS_WIFI_STATE schützt die BSSID, aber das Lesen des ARP-Cache in /proc/net/arp ermöglicht einer App, diese Daten abzurufen, ohne dass dafür Berechtigungen erforderlich sind. Der Forscher identifizierte die OpenX SDK verwendet diese Seitenkanaltechnik.
• Geolokalisierung: Die Forscher fanden heraus, dass die Shutterfly-App auf die Standort-Tags der EXIF-Metadaten der Fotos zugreift. Erforderlich ist lediglich die Berechtigung READ_EXTERNAL_STORAGE.

In Android Q verlangt Google nun, dass Apps über die Berechtigung READ_PRIVILEGED_PHONE_STATE verfügen, um die IMEI zu lesen. Geräte mit Android Q übertragen jetzt standardmäßig zufällige MAC-Adressen. Zum Schluss noch Android Q's Bereichsgebundener Speicher Änderungen beeinträchtigen die Fähigkeit von Apps, die Standortdaten aus Fotos zu lesen. Daher wurden diese Bedenken in der neuesten Android-Version behoben, aber wie wir alle wissen, wird dies der Fall sein dauert eine ganze Weile damit das neueste Update verbreitet wird.

---

Abschluss

Insgesamt bietet diese Studie einen aufschlussreichen Einblick in die Art und Weise, wie einige Apps auf Daten zugreifen, die durch Berechtigungen geschützt werden sollten. Die Untersuchung untersuchte nur einen Teil der von Google als „gefährlich“ bezeichneten Berechtigungen, insbesondere das Überspringen von Berechtigungen wie Bluetooth, Kontakte und SMS. Für alle Einzelheiten zu diesem Bericht empfehle ich die Lektüre Papier, das der FTC vorgelegt wurde.