Google startet Sicherheitsprogramm für Android-Geräte von Drittanbietern

Google hat ein neues Sicherheitsprogramm ins Leben gerufen, das sich mit Schwachstellen beschäftigt, die Google-Mitarbeiter in Geräten und Software von Android-OEMs finden. Die Android Partner Vulnerability Initiative (APVI) „wurde entwickelt, um Gegenmaßnahmen voranzutreiben und den Nutzern Transparenz über Probleme zu bieten, die wir bei Google entdeckt haben und die sich auf Gerätemodelle auswirken, die von Android-Partnern ausgeliefert werden“, teilte Google in einem Blogeintrag mit.

Die APVI soll die vorhandenen Bemühungen Googles ergänzen, sein Mobilbetriebssystem sicherer zu machen. Dazu gehört das Android Security Rewards Program, über das Dritte Anfälligkeiten in Android melden können, sowie das Google Play Security Rewards Program, das diese Aufgabe für Android-Apps übernimmt.

Bugs, die Google über das Android Security Rewards Program erhält, fließen regelmäßig auch in die monatlichen Android-Patchdays ein. Da laut Google Fehler in den Geräten sowie der Software von Android-OEMs auch Produkte anderer Android-Partner betreffen können, bisher aber nicht in den Android Security Bulletins berücksichtigt wurden, soll die APVI nun diese Lücke schließen.

In dem Blogeintrag nennt Google auch Beispiele für Bugs, die bereits beseitigt wurden und künftig unter die APVI fallen würden. Dazu gehört eine Lücke in Software, die Drittanbieter für Over-the-Air-Updates nutzen. Sie erlaubte einen privilegierten Zugriff auf Programmierschnittstellen, was wiederum zur verdeckten Installation von Apps benutzt werden konnte. Der Passwortmanager eines auf vielen Geräten vorinstallierten Browsers gab zudem Anmeldedaten preis.

Darüber hinaus gab Google die Gründung eines neuen Sicherheitsteams bekannt. Es sucht nach Schwachstellen in besonders sicherheitsempfindlichen Apps im Google Play Store. Als Beispiele nannte Google hier die zur Eindämmung der Corona-Pandemie angebotenen Apps zur Kontaktverfolgung. Auch Apps, die sich mit Wahlen beschäftigen, fallen in das Aufgabengebiet des neuen Teams. Allerdings werden die Forscher nur bei Apps aktiv, die mehr als 100 Millionen Nutzer haben.

„Das ist definitiv ein guter Schritt“, sagte Lukáš Štefanko, Analyst für mobile Malware bei Eset. „Sicherheitsprobleme mit ernsthaften Auswirkungen zu finden, ist nicht so einfach und erfordert viel Zeit und Erfahrung.“