Sicherheitslücken in Android vor böswilligen Hackern aufspüren
EPFL-Forschende aus dem Bereich Computer- und Kommunikationswissenschaften hacken und reparieren Android-Telefone, bevor es böswillige Hacker tun. Sie entdeckten 31 sicherheitskritische Stellen im Android-System, untersuchten deren Risiken und entwickelten Methoden, um einige der wichtigsten durch bessere Tests und umfassendere Abhilfemassnahmen zu entschärfen.
«Schwachstellen in intelligenten Geräten sind die Achillesferse, die die kritischsten Aspekte eines mobilen Geräts kompromittieren können», sagt Mathias Payer, der das HexHive-Labor der EPFL leitet, das Forschung im Bereich der Cybersicherheit betreibt: «Das Hauptrisiko besteht darin, dass Hacker in Ihrem System Fuss fassen und lebenslangen Zugriff auf Ihre Daten erhalten können, solange Sie dasselbe Telefon besitzen. Ihr Telefon ist nicht mehr sicher.»
Mathias Payer, Leiter des Labors HexHive - 2024 EPFL/Murielle Gerber - CC-BY-SA 4.0
Die verschiedenen kritischen Sicherheitslücken, die von den Forschenden aufgedeckt wurden, hätten ausgenutzt werden können, um persönliche Informationen wie Fingerabdrücke, Gesichtsdaten und andere sensible Daten, die auf einem Telefon gespeichert sind, wie Kreditkarten- oder Sozialversicherungsinformationen, zu stehlen.
«Wir haben das Android-System untersucht, weil es eine offene Plattform ist, aber ähnliche Sicherheitslücken gibt es wahrscheinlich auch im iPhone-Ökosystem. Aufgrund des geschlossenen Ansatzes von Apple, der die Forschenden dazu zwingt, wichtige Informationen, die bei Android öffentlich zugänglich sind, erst durch Reverse-Engineering zu entschlüsseln, gibt es viel weniger öffentliche Sicherheitsforschung zu iPhones», erklärt Payer.
Marcel Busch, ein Postdoc im HexHive-Labor zusammen mit Payer, leitete die Bemühungen zur Untersuchung der wichtigen Schichten von Android zusammen mit den Doktoranden Philipp Mao und Christian Lindenmeier, die zu drei Veröffentlichungen führten, die auf dem diesjährigen Usenix Security Symposium vorgestellt wurden, einer der vier weltweit wichtigsten Veranstaltungen für Cybersicherheit. In ihrer Arbeit zeigen sie genau, wie sich diese Sicherheitslücken manifestieren und welche Schichten der Architektur des Android-Systems betroffen sind.
Die Details der Android-Sicherheitslücken auf drei Ebenen
Das Android-System verarbeitet Informationen im Wesentlichen über drei Codeschichten (das iOS-System des iPhones folgt einer ähnlichen Architektur).
Die erste Schicht ist der sichere Monitor, d. h. der Code, der den Wechsel in die und aus der Welt der verschlüsselten Daten, der so genannten sicheren Welt, verarbeitet. Die zweite Schicht ist in zwei Teile unterteilt: die sichere Welt, in der sensible Daten verschlüsselt werden, und die normale Welt, die auf einem Linux-Kernel basiert. Die dritte Schicht baut auf der zweiten Schicht auf und enthält alle Anwendungen. Alltägliche Apps wie die Foto- oder Messaging-App in der normalen Welt kommunizieren mit sicheren Apps, die als vertrauenswürdige Anwendungen (Trusted Applications, TA) bezeichnet werden, wie die Key-Master-App, die kryptografische Schlüssel verwaltet, oder die App zur Verwaltung biometrischer Informationen, die sensible Daten über Benutzende enthalten und in der sicheren Welt laufen.
2024 EPFL/HexHive Laboratory - CC-BY-SA 4.0
Zahlreiche Mängel und Schwachstellen entdeckt
Das EPFL-Team entdeckte Sicherheitslücken in allen drei Schichten des Android-Systems. Die Forschenden entwickelten ein Programm (EL3XIR), das im Wesentlichen unerwartete Eingaben auf den Zielcode wirft, um Softwarefehler und Schwachstellen aufzudecken, eine Technik, die Fuzzing genannt wird. EL3XIR deckte 34 Fehler in der grundlegendsten und wichtigsten Schicht der Android-Sicherheit auf, der Secure-Monitor-Ebene, von denen 17 als sicherheitskritisch eingestuft wurden (die höchste Risikostufe).
Die Forschenden deckten auch eine Verwirrung in der Art und Weise auf, wie das Android-System mit vertrauenswürdigen Anwendungen kommuniziert. Die Verwirrung entsteht, wenn Informationen aus vertrauenswürdigen Anwendungen bei der Verarbeitung zwischen den Schichten falsch gekennzeichnet werden. Insbesondere die komplexe und kritische Interaktion zwischen alltäglich zugänglichen Anwendungen und vertrauenswürdigen Anwendungen, die zunächst durch den Sicherheitsmonitor und dann wieder durch die sichere Welt nach oben in die vertrauenswürdigen Anwendungen gelangen muss, ist von diesem Problem betroffen. In 15 000 vertrauenswürdigen Anwendungen, die das Team analysierte, entdeckten die Forschenden 14 neue kritische Sicherheitslücken, deckten 10 stillschweigend behobene Fehler auf, die von den Herstellern ohne Benachrichtigung der Nutzer gepatcht wurden, und bestätigten 9 bekannte Schwachstellen.
Mathias Payer, Marcel Busch und Philipp Mao vom Labor HexHive - 2024 EPFL/Murielle Gerber - CC-BY-SA 4.0
Sie entdeckten auch, dass Hacker, wenn Hersteller das Android-System nicht ordnungsgemäss mit sicheren Patches aktualisieren, ein Downgrade auf frühere anfällige Versionen vertrauenswürdiger Anwendungen erzwingen und vertrauliche Informationen abrufen könnten, wodurch das gesamte Android-Ökosystem in der dreistufigen Architektur gefährdet würde. Die Forschenden untersuchten mehr als 35 000 vertrauenswürdige Anwendungen, die bei zahlreichen Telefonherstellern im Einsatz sind.
«Android ist ein komplexes Ökosystem mit vielen verschiedenen Anbietern und Geräten. Wir haben uns an die Industriestandards gehalten, indem wir alle unsere Ergebnisse den betroffenen Herstellern mitgeteilt und ihnen 90 Tage Zeit gegeben haben, um Patches für ihre Systeme zu entwickeln, was sie auch getan haben, bevor wir weitere Details veröffentlichten», so Mao, Doktorand bei HexHive. Die Erkenntnisse aus unseren Ergebnissen und unseren automatisierten Werkzeugen werden die Sicherung künftiger Systeme unterstützen.»
Was ist das Fazit für die Verbraucher und Verbraucherinnen? Sie sollten ihr System und ihre Apps auf dem neuesten Stand halten, indem sie Updates installieren, sobald diese verfügbar sind, Apps nur über vertrauenswürdige App-Stores herunterladen und ein Gerät von einem Hersteller kaufen, der lange Update-Zyklen garantiert. Busch merkt an, dass «für einige der von uns untersuchten Hersteller die Markteinführungszeit die wichtigste Kennzahl ist, die nicht viel Raum für die Sorgfalt lässt, die für die Entwicklung sicherer Systeme erforderlich ist.»
