Google bestätigt Android-Sicherheitslücke und bringt Server-Patch

Im Android-Betriebssystem von Google gibt es derzeit eine Sicherheitslücke, mit der es Angreifern theoretisch möglich ist, einige Anmeldedaten über ungesicherte WLAN-Netzwerke auszulesen. Betroffen sind alle Android-Smartphones mit der Software-Version 2.3.3 und abwärts - was so ziemlich jedes aktuelle Android-Handy einschließt.

Google hat die Sicherheitslücke bereits offiziell bestätigt und für die betroffenen Server wid seit heute ein Patch verwendet, laut Google muss der Anwender keinen aktiven Beitrag zum Update leisten und es werden alle Android-Versionen nachgebessert. Innerhalb einer Woche soll die Sicherheitslücke weltweit geschlossen sein. Allerdings wird mit dem Patch nur die Lücke des Kalenders und der Kontakte geschlossen, anscheinend gestaltet sich die Nachbesserung bei Picasa umfangreicher.

"Today we're starting to roll out a fix which addresses a potential security flaw that could, under certain circumstances, allow a third party access to data available in calendar and contacts. This fix requires no action from users and will roll out globally over the next few days."

Bei der Sicherheitslücke steht der regelmäßige Datenaustausch der Smartphones mit den verschiedenen Google-Diensten im Fokus, bis zur Version 2.3.3 geschieht dies unverschlüsselt im Klartext. An sich noch kein Problem, wenn Angreifer allerdings ein ungesichertes WLAN-Netzwerk einrichten und das Smartphone über dieses versucht, Daten mit den Servern abzugleichen, können spezielle Tools die sogenannten "authTokens" auslesen. Dies ist quasi die Zugangsberechtigung zu den Daten der Smartphone-Besitzer und Angreifer können so beispielsweise Kalendereinträge, Kontakte und Fotos ausspähen; auch Zugangsinformationen von sozialen Netzwerken wie beispielsweise Facebook sind von dieser Methode betroffen.

Diese Sicherheitslücke ist zwar nicht nur für Android-Smartphones reserviert und auch gängige Netbook-Modelle können auf diese Art und Weise ausgespäht werden, allerdings bietet Android derzeit nur ab der Version 2.3.4 eine Verschlüsselung des "authTokens"-Datenaustausches.

Quelle: Universität Ulm, Computerworld

Reklame: LG P990 Optimus Speed jetzt bei Amazon bestellen.