Android – Hersteller verbergen fehlende Updates vor Nutzern

Nicht alle Android-Sicherheitsupdates kommen auf den Geräten an, wie die Sicherheitsforscher bei einer Untersuchung jetzt feststellten. Dafür wurden über einen Zeitraum von zwei Jahren insgesamt 1200 Modelle von den größten Herstellern untersucht. Am Freitag wollen Karsten Nohl und Jakob Lell der Secrity Research Labs (SRL) auf der Hack in the Box-Konferenz in Amsterdam ihre Ergebnisse vorstellen.

Google, Sony, Samsung und Wiko verpassen es nur selten Sicherheitspatches auf die Geräte auszuspielen (Bild: Security Research Labs).

Die Sicherheitsexperten überprüften insgesamt 164 Sicherheitsupdates und auch, ob und wann diese tatsächlich auf den Geräten der verschiedenen Hersteller ankommen. Zahlreiche Herstellern überspringen Sicherheitsupdates, obwohl dem Nutzer vorgegaukelt wird, dass das Gerät auf aktuellstem Stand ist. Auch Sony und Samsung sollen einige Sicherheitsupdates übersprungen haben. Allerdings in einem sehr geringen Umfang. Andere Hersteller sollen demnach jedoch weniger akkurat sein.

Dadurch ergebe sich ein Patch-Gap, wie die Forscher in einem Blog erklären. Teilweise fehlen mehrere Dutzend wichtige Updates und die machen die Geräte für eine ganze Reihe bekannter Angriffe verwundbar.

So erklärte einer der Forscher gegenüber Wired, dass es für den Anwender fast unmöglich ist, zu wissen, welche Patches aktuell installiert wurden. Die Forscher werden auch bei Xiaomi, Nokia, HTC, Motorola und LG fündig. Am schlechtesten kommen die Hersteller TCL und ZTE bei dem Test weg: Im Schnitt installieren diese Hersteller mindestens vier Patches weniger als angezeigt.

In einigen Fällen sei der Patch-Status einigermaßen zufriedenstellend, in anderen Fällen werde wohl absichtlich aus Markteing-Gründen einfach das Datum eines Updates geändert, um dem Nutzer ein aktuelles System vorzugaukeln. Nohl, der Gründer des Sicherheitsunternehmens, konkretisiert seine Kritik: „Das ist vorsätzliche Irreführung.“

Hersteller von Premium-Geräten wie Google, Sony, Samsung aber auch Wiko scheinen im Schnitt laut den SRL-Labs keine bis einen Patch zu verpassen. Xiaomi, Oneplus und Nokia verpassen durchschnittlich ein bis drei Patches. HTC, Huawei, LG und Motorola verpassen im Schnitt drei bis vier Updates und TCL und ZTE fallen in die Kategorie, in der vier oder mehr Patches verpasst oder bewusst übersprungen werden.

Als Grund führen die Forscher an, dass günstigere Geräte meist auch mit günstigeren Chips ausgerüstet sind. Geräte, die etwa mit den CPUs von MediaTek ausgerüstet sind, überspringen im Schnitt 9,7 Patches. Bei Samsung sind es weniger als 0,5 Patches und bei Qualcomm im Schnitt 1,1 Patches, die Hardware-seitig übersprungen werden. Teilweise sind die Smartphone-Hersteller dann davon abhängig, dass die Chip-Lieferanten die Patches liefern. Offenbar werden bei günstigeren Chips auch seltener Patches entwickelt und dieser Mangel wird dann wieder an die Hersteller vererbt. Wer also billige Smartphones erwirbt, bekomme auch ein geringeres Sicherheits-Level, schließen die Forscher.

In einer Stellungnahme gegenüber TechCrunch erklärt Google, dass diese Ergebnisse nicht unbedingt eine Aussage über die Sicherheit eines Gerätes zulassen. So seien die genannten Sicherheitsupdates nur ein Schutzmechanismus, um Geräte abzusichern. Zudem setzen einige Hersteller auf einen anderen Zeitplan als den von Google vorgegebenen Updates.

Weitere Sicherheits-Schichten wie ein Sandboxing von Anwendungen und weitere Sicherheitsservices wie etwa Google Play Protect seien gleichermaßen wichtig, wie Google in einem Blog erläutert. Daher sei es nach wie vor schwierig für Angreifer, Android-Geräte anzugreifen.

Gegenüber Spiegel Online bestätigt Karsten Nohl Googles Aussage: „Android als Technologie ist in den letzten Jahren sehr viel sicherer geworden, vermutlich sogar sicherer als Windows.“ Apple habe jedoch mit iOS den Vorteil, dass es Updates zentral verteilen kann. Bei Android hingegen, werde ein Patch von Google über den Chiphersteller an den Smartphone-Hersteller weitergeleitet. Damit diese Updates aber auch beim Nutzer ankommen, müssen sie noch über die Mobilfunkanbieter ausgerollt werden. Dabei können Updates natürlich schneller auf der Strecke bleiben.

Trotz fehlender Updates sei es für Angreifer nach wie vor schwierig, so Nohl in einem Interview mit Spiegel Online, einen Angriff auf ein Android-Gerät auszuführen, was mit der hohen Komplexität und Sicherheitsmechanismen des Betriebssystems zusammenhängt. Auch bedeutete ein fehlender Patch noch nicht, dass der Fehler auch ausgenutzt werden könne.

Die Berliner Sicherheitsexperten erklären daher: „Moderne Betriebssysteme beinhalten verschiedene Sicherheitsbarrieren, wie ASLR und Sandboxing, die allesamt typischerweise überwunden werden müssen, um ein Telefon remote zu hacken.“ Daher reichten einige vergessene Patches in der Regel nicht aus, damit Hacker ein Gerät übernehmen können. „Für einen erfolgreichen Angriff müssen statt dessen mehrere Bugs zu einer Kette verknüpft werden.“ Aufgrund dieser hohen Komplexität setzen die Kriminellen auf andere Methoden wie Social Engineering, um Anwendern bösartige Apps unterjubeln zu können. „Tatsächlich wurde im vergangenen Jahr kaum Hacking-Aktivität um Android herum festgestellt.“

SnoopSnitch von Security Research Labs zeigt, wie viele Android-Patches auf dem eigenen Gerät tatsächlich ankommen. Die 2014 vorgestellte App richtete sich ursprünglich gegen ungewollte Überwachung eines Smartphones (Bild: SRL).

Damit Nutzer sehen können, welche Updates tatsächlich auf dem eigenen Gerät ankommen, haben die Berliner Sicherheitsexperten die App SnoopSnitch aktualisiert. Neben dem Status der Aktualisierung zeigt die App auch, wie viele Patches fehlen.

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de