Android: Apps können nicht nur Fotos lesen (TitaniumBackup-User aufgepasst!)
Vor einigen Tagen wurde in der Presse berichtet, dass Android-Apps ohne besondere Berechtigungen auf die Fotos des Nutzers zugreifen können. Da ich mich gewundert habe, warum es nur die Fotos betreffen soll, hab ich mal genauer nachgeschaut. Apps können nicht nur „Fotos“ lesen. Apps können, ohne dafür irgendwelche Berechtigungen anfordern zu müssen, den Inhalt des USB-Speichers (/sdcard/) lesen – nur für das Schreiben wird eine Berechtigung gefordert. Das ist laut Android Security Team übrigens kein Bug, soondern ein gut dokumentiertes Feature. Glücklicherweise ist trotzdem geplant, dafür eine Permission einzuführen.
Das bedeutet übrigens, dass derzeit jedes werbefinanzierte Spiel (welches wegen der Werbung immer Internet-Permissions hat), genug Rechte hat, um den gesamten Inhalt des USB-Speichers über das Internet zu verschicken. Das wird insbesondere dann ein großes Problem, wenn man dort z. B. mittels TitaniumBackup auch Backups der App-Daten (die normalerweise vor Zugriff geschützt sind) ablegt.
Nochmal: Wenn man Titanium Backup nutzt, legt man seine App-Daten in einen Ordner, der von jeder App gelesen werden kann!
Ich hab in meinem Handy keine externe SD-Karte, deswegen kann ich nicht prüfen, ob es schwieriger ist, auf dort (/sdcard/external_sd) gespeicherte Daten zuzugreifen, ich glaube aber, dass es damit genauso aussieht.
Ein „chmod 770 /mnt/sdcard/“ funktioniert auf meinem (gerooteten) Galaxy Nexus übrigens nicht. Vermutlich müsste man den Speicher dafür irgendwie mit rootmode=770 remounten. Wenn das überhaupt klappt, dürfte mit Nebenwirkungen zu rechnen sein – Experimentieren auf eigene Gefahr!
In den nächsten Tagen wird es hier noch 1-2 weitere Postings zur Android-Sicherheit geben – während eines Sicherheitstests für Hatforce sind mir nämlich noch andere Dinge aufgefallen.
Jan Schejbal 
Könnte die App „Fix Permissions“ das Problem beheben?
Nein. Die korrigiert soweit ich das verstehe nur kaputte permissions/owner-Einstellungen im /data-Verzeichnis.
Ah, danke, dann verwechsle ich die mit irgendeiner anderen…
Nice find!
Aber wie Sie schon beschrieben haben: Google hat das so gewollt, egal ob das nun sinnvoll war oder nicht.
Was die EXT SDHC betreffen: es wird definitiv dieselbe API angesprochen, und ja – man könnte auf diese Daten genauso zugreifen wie auf den internen Speicher. Es ist im Grunde vollkommen egal wo die Daten liegen: ob auf der ext SDHC, im internen Speicher oder wegen mir in /data/app/com.boeseapp/files – das Betriebsystem gewährt jeder App zumindest lesenden Zugriff auf das Dateisystem da jede App (vom User installiert) Leserechte hat. Schlimmer sieht es erst aus, wenn man eine App nach /system/app verschiebt: diese läuft sofort mit vollen System-Rechten, darf also sogar Shell-Scripts ausführen und sonst was. Man sollte also 2x überlegen ob man eine App nach /system/app verschiebt oder gar Apps wie „SuperUser“ installiert. Auch das rooten eines Gerätes kann fatale Folgen haben, aber wer sein gerät rooted und dann Angst um seine persönlichen Daten hat das System „Dateiberechtigungen“ eh nicht verstanden ;)