25.07.2012, 00:00 Uhr
Android 4.1: Immerhin mehr Sicherheit durch Zufall
Googles mobiles Betriebssystem Android ist im Vergleich zu iOS oder Windows Phone besonders von Schadsoftware bedroht. Mit Einführung von Android 4.1 Jelly Bean setzt der Suchmaschinenriese nun konsequent auf Address Space Layout Randomization, kurz ASLR. Dabei handelt es sich um eine technisch ausgefeilte Adressverwürfelung, die Angreifern die Ausnutzung von Sicherheitslücken in Computersystemen deutlich erschwert. ASLR verteilt sämtliche elektronische Daten wie Programm-Code, Stack, Heap und Bibliotheken auf rein zufälliger Basis im Hauptspeicher. Durch diese ?Randomisierung? wird es Angreifern deutlich schwerer gemacht, einen bestimmten Programmcode im Speicher zu lokalisieren und für den Schadcode auszunutzen. Meist ist es nur durch Kombination mehrerer Schwachstellen möglich, das System anzugreifen.
ASLR gibt es zwar schon in der Vorgängerversion Android 4.0 Ice Cream Sandwich, hat dort aber aufgrund einer lückenhaften Implementierung kaum eine sicherheitsrelevante Schutzwirkung. Diese Schwachstellen wurden nun mit Android 4.1 Jelly Bean beseitigt. Dennoch hinkt Google seinem Konkurrenten Apple weiter in puncto Sicherheit hinterher. Denn im Gegensatz zu Jelly Bean unterstützt das ASLR von iOS bereits seit eineinhalb Jahren auch die Codesignierung. Damit kann in iOS nur noch Code mit gültiger digitaler Signatur ausgeführt werden, was das Ausführung von Schadcode verhindern soll. Der Sicherheitsexperte Jon Oberheide von Duo Security befürchtet allerdings, dass Angreifer sich künftig auf die Schwachstellen in der 32-Bit-ASLR konzentrieren, denn dort ist einfach zu wenig Platz für ausreichend zufällige Adressen.
Android-Nutzer sind daher auch mit ASLR nicht auf der sicheren Seite. Die Technik kann Angreifern ohnehin nur die Arbeit erschweren aber eine Infektion nicht verhindern. Deshalb gelten weiter die üblichen Sicherheitsregeln: Laden Sie keine Apps aus anderen Quellen als Google Play herunter. Prüfen Sie bei der Installation die angeforderten Berechtigungen auf Plausibilität und prüfen Sie auch E-Mail-Anhänge kritisch. (ph/com!)
ASLR gibt es zwar schon in der Vorgängerversion Android 4.0 Ice Cream Sandwich, hat dort aber aufgrund einer lückenhaften Implementierung kaum eine sicherheitsrelevante Schutzwirkung. Diese Schwachstellen wurden nun mit Android 4.1 Jelly Bean beseitigt. Dennoch hinkt Google seinem Konkurrenten Apple weiter in puncto Sicherheit hinterher. Denn im Gegensatz zu Jelly Bean unterstützt das ASLR von iOS bereits seit eineinhalb Jahren auch die Codesignierung. Damit kann in iOS nur noch Code mit gültiger digitaler Signatur ausgeführt werden, was das Ausführung von Schadcode verhindern soll. Der Sicherheitsexperte Jon Oberheide von Duo Security befürchtet allerdings, dass Angreifer sich künftig auf die Schwachstellen in der 32-Bit-ASLR konzentrieren, denn dort ist einfach zu wenig Platz für ausreichend zufällige Adressen.
Android-Nutzer sind daher auch mit ASLR nicht auf der sicheren Seite. Die Technik kann Angreifern ohnehin nur die Arbeit erschweren aber eine Infektion nicht verhindern. Deshalb gelten weiter die üblichen Sicherheitsregeln: Laden Sie keine Apps aus anderen Quellen als Google Play herunter. Prüfen Sie bei der Installation die angeforderten Berechtigungen auf Plausibilität und prüfen Sie auch E-Mail-Anhänge kritisch. (ph/com!)
