Startseite > Datenschutz, Newskommentare, Piraten, Sicherheit, Sonstiges, Statische Tags, Technik > Android: Apps können nicht nur Fotos lesen (TitaniumBackup-User aufgepasst!)

Android: Apps können nicht nur Fotos lesen (TitaniumBackup-User aufgepasst!)

Vor einigen Tagen wurde in der Presse berichtet, dass Android-Apps ohne besondere Berechtigungen auf die Fotos des Nutzers zugreifen können. Da ich mich gewundert habe, warum es nur die Fotos betreffen soll, hab ich mal genauer nachgeschaut. Apps können nicht nur „Fotos“ lesen. Apps können, ohne dafür irgendwelche Berechtigungen anfordern zu müssen, den Inhalt des USB-Speichers (/sdcard/) lesen – nur für das Schreiben wird eine Berechtigung gefordert. Das ist laut Android Security Team übrigens kein Bug, soondern ein gut dokumentiertes Feature. Glücklicherweise ist trotzdem geplant, dafür eine Permission einzuführen.

Das bedeutet übrigens, dass derzeit jedes werbefinanzierte Spiel (welches wegen der Werbung immer Internet-Permissions hat), genug Rechte hat, um den gesamten Inhalt des USB-Speichers über das Internet zu verschicken. Das wird insbesondere dann ein großes Problem, wenn man dort z. B. mittels TitaniumBackup auch Backups der App-Daten (die normalerweise vor Zugriff geschützt sind) ablegt.

Nochmal: Wenn man Titanium Backup nutzt, legt man seine App-Daten in einen Ordner, der von jeder App gelesen werden kann!

Ich hab in meinem Handy keine externe SD-Karte, deswegen kann ich nicht prüfen, ob es schwieriger ist, auf dort (/sdcard/external_sd) gespeicherte Daten zuzugreifen, ich glaube aber, dass es damit genauso aussieht.

Ein „chmod 770 /mnt/sdcard/“ funktioniert auf meinem (gerooteten) Galaxy Nexus übrigens nicht. Vermutlich müsste man den Speicher dafür irgendwie mit rootmode=770 remounten. Wenn das überhaupt klappt, dürfte mit Nebenwirkungen zu rechnen sein – Experimentieren auf eigene Gefahr!

In den nächsten Tagen wird es hier noch 1-2 weitere Postings zur Android-Sicherheit geben – während eines Sicherheitstests für Hatforce sind mir nämlich noch andere Dinge aufgefallen.

  1. 2012-03-13 um 14:26 UTC

    Könnte die App „Fix Permissions“ das Problem beheben?

    • Jan
      2012-03-13 um 16:55 UTC

      Nein. Die korrigiert soweit ich das verstehe nur kaputte permissions/owner-Einstellungen im /data-Verzeichnis.

  2. 2012-03-13 um 17:03 UTC

    Ah, danke, dann verwechsle ich die mit irgendeiner anderen…

  3. Andreas
    2012-03-14 um 08:55 UTC

    Nice find!

    Aber wie Sie schon beschrieben haben: Google hat das so gewollt, egal ob das nun sinnvoll war oder nicht.

    Was die EXT SDHC betreffen: es wird definitiv dieselbe API angesprochen, und ja – man könnte auf diese Daten genauso zugreifen wie auf den internen Speicher. Es ist im Grunde vollkommen egal wo die Daten liegen: ob auf der ext SDHC, im internen Speicher oder wegen mir in /data/app/com.boeseapp/files – das Betriebsystem gewährt jeder App zumindest lesenden Zugriff auf das Dateisystem da jede App (vom User installiert) Leserechte hat. Schlimmer sieht es erst aus, wenn man eine App nach /system/app verschiebt: diese läuft sofort mit vollen System-Rechten, darf also sogar Shell-Scripts ausführen und sonst was. Man sollte also 2x überlegen ob man eine App nach /system/app verschiebt oder gar Apps wie „SuperUser“ installiert. Auch das rooten eines Gerätes kann fatale Folgen haben, aber wer sein gerät rooted und dann Angst um seine persönlichen Daten hat das System „Dateiberechtigungen“ eh nicht verstanden ;)

  1. 2012-03-13 um 19:26 UTC
  2. 2012-03-19 um 10:23 UTC
  3. 2012-03-19 um 13:45 UTC
  4. 2012-03-19 um 16:12 UTC
  5. 2012-04-10 um 16:26 UTC
  6. 2012-04-10 um 16:30 UTC

Schreibe einen Kommentar

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s

%d Bloggern gefällt das: