Google hat einen Tag nach der Präsentation von Pixel 3 und Pixel 3 XL eine neue Sicherheitsfunktion der beiden Smartphones vorgestellt. Sie sind laut einem Blogeintrag von Sami Tolvanen, Staff Software Engineer für Android Security, die ersten Android-Geräte, die mit dem Kernel-Schutz Control Flow Integrity (CFI) ausgeliefert werden. Android wiederum unterstützt das Feature in den Kernel-Versionen 4.9 und 4.14.
Die Sicherheitsfunktion an sich ist jedoch nicht neu. Linux nutzt CFI schon seit mehr als zehn Jahren. Windows integriert das Feature unter der Bezeichnung Control Flow Guard. Außerdem wird es für den Schutz einzelner Anwendungen wie Chromium eingesetzt. Generell wird CFI als bester Schutz vor Angriffen angesehen, bei denen legitimer Code wiederverwendet wird.
Das Ende August freigegebene Android 9 Pie ist die erste Version von Googles Mobilbetriebssystem, die zumindest einige Teile von CFI unterstützt, und zwar für das Media Framework und andere sicherheitskritische Komponenten wie NFC und Bluetooth, wie Google im Juni mitteilte. Dem gestern veröffentlichten Blogeintrag zufolge schützt CFI bei Pixel 3 und Pixel 3 XL nun den gesamten Kernel, und zwar durch Forward-Edge Control Flow Integrity, wie sie im LLVM-Compiler implementiert ist, die Google für den Kernel von Android benutzt.
Tolvanen betonte zudem, dass Forward-Edge CFI über den Android Common Kernel auch allen anderen Geräteherstellern zur Verfügung steht. Google hofft, dass die OEM-Partner die Funktion in kommende Smartphones integrieren oder mit Software-Updates nachreichen. Allerdings beschränken sie viele Anbieter auf die Aktualisierung der Oberflächen und der gerätespezifischen Treiber und lassen den Linux-Kernel unverändert. Von daher werden die meisten Nutzer erst mit dem Kauf eines neuen Geräts mit einer aktuellen OS-Version in den Genuss des Sicherheitsfeatures kommen.
Erfahren Sie in diesem Whitepaper von Konica Minolta, wie sich durch die Nutzung innovativer Technologien neue Geschäftschancen generieren lassen. Jetzt herunterladen!
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
