Google plant, die App-Sicherheitzuverbessern: Was bedeutet das für Android-Apps?

Erschienen am 16.01.2018 um 11:01 Uhr

Google plant, die App-Sicherheitzuverbessern: Was bedeutet das für Android-Apps?

Google plant, die App-Sicherheitzuverbessern: Was bedeutet das für Android-Apps?

Android unterstütztmehrals 2 MilliardenGeräte. ImLaufe des Jahres 2017 wurden 82 Milliarden Apps auf Google Play installiert. Kurzgesagt, das sindvielepersönlicheDaten in Gefahr. KeinWunder, dass Google den Schutz allerAnwendungsdatenzuroberstenPrioritäterklärt hat.
Obwohl Google einenlangfristigen, ganzheitlichen Ansatz für die App-Sicherheitverfolgt, erfassen Scanner nichtalles. Benutzermüssenimmernoch auf kompromittierte Apps, Spyware und verteilte Malware achten. AlsReaktion auf diesedigitalenBedrohungen hat Google kürzlicheineerweiterteAnkündigung der Sicherheits- und Leistungsverbesserungenfür 2018 veröffentlicht. So plant Google, die Android-App-Sicherheit in Zukunftzuverbessern.
Kontozugriff und -ermittlung
Entwicklerkönnenerwarten, dassÄnderungendaranvorgenommenwerden, wie Apps auf Benutzerkontenzugreifen. Apps könnennichtmehrohneexpliziteErlaubnis auf die SystemdatenoderGerätefunktioneneinesBenutzerszugreifen. DieseAnforderungwirdeinenstrengeren Schutz vor Malware erzwingen und die Gesamtsicherheiterhöhen.
Jede Android-Anwendungarbeitet in einer so genanntenProzess-Sandbox. Diese Silos bieten Android-Apps eineneinzigartigenVorteil, da bösartige Software effizientererfasst und erkanntwerdenkann. Wenn die App Datenressourcenaußerhalbihrereindeutigen Sandbox benötigt, isteineVerwendungserlaubniserforderlich.
Eine Android-App in ihrergrundlegendsten Form verfügtüberkeineStandardberechtigungen und kann die Benutzererfahrungnichtbeeinträchtigen. Für den Zugriff auf geschützteGerätedatenmüssenBerechtigungs-Tags in das App-Manifest geschriebenwerden.
Ab heutewerdenbei der Installation Anwendungenangefordert, die mitälteren Android-Betriebssystemen - Android Lollipop und niedrigeren - Berechtigungenkompatibelsind. WenneineneueBerechtigunghinzugefügtwird, wird der Benutzererstbenachrichtigt, wenner die Anwendungaktualisiert. Sobald die Software installiertist, kann die Berechtigungnichtwiderrufenwerden, esseidenn, die App wirdvollständigdeinstalliert.
In der zweitenHälfte des Jahres 2018 wird Android jedochneue Apps benötigen, um auf der neuesten API-Ebenezufunktionieren. DurchdieseAnforderungwirdsichergestellt, dass Apps fürverbesserteSicherheits- und Leistungsfunktionenausgelegtsind. NachdieserÄnderungwerden die NutzungsberechtigungenzurLaufzeitan den Benutzergesendet und könnendemBenutzerbeiBedarfentzogenwerden. DieseErweiterunggibtBenutzern die vollständigeKontrolledarüber, auf welcheprivatenDatenihre am häufigstenverwendeten Apps zugreifen.

Einschränkungen der Eingabehilfefunktionen
Die Einschränkungen, die Android den Systemberechtigungenauferlegt, sollen den Zugriff von Apps auf potenziellgefährlicheBerechtigungeneinschränken. Android kategorisiertSystemberechtigungen in eineReihe von Schutzstufen, aber die bekanntestenSchutzstufensind, was Android als normal und gefährlichbezeichnet.
Anforderungenfür den Kalender, die Kamera, die Kontakte, den Standort, das Mikrofon, die SMS oder den Speicher einesBenutzerswerden in die Gruppe der gefährlichenBerechtigungeneingestuft. Wenneine App Zugriff auf einebestimmteFunktionerhält, die in einergefährlichenBerechtigungskategoriegekennzeichnetist, gewährt das System automatischZugriff auf jedeandereFunktioninnerhalbdieserGruppe - zunächst. Wennbeispielsweiseeine App die Berechtigungerhält, die KontaktdateneinesBenutzerszulesen, und anschließend die Kontaktdaten des Benutzersangefordertwerden, erteilt das System automatisch die Berechtigung. BiszumJahr 2019 müssenEntwicklerjedoch Apps veröffentlichen und aktualisieren, damitsiemitjederneuen Android-Dessert-Version (z. B. Oreo) kompatibelsind. DaherwirdjederAnruffür private Daten von der Benutzerautorisierungabhängiggemacht.
WährenddieseEntscheidungwichtigeSicherheitsrisikenbegrenzt, könntesiemöglicherweiseeinenEinblick in die eingeschränkteFunktionalität und Interferenzenbieten.
Durch das Erstellen von Software unter Android könnenEntwicklerDatenzugriffenutzen, um Funktionenzumanipulieren, zuoptimieren und zuverbessern, um die Benutzerfreundlichkeitzuerhöhen. EntwicklerkönntendieseBerechtigungenverwenden, die ursprünglichverwendetwurden, um einebestimmteFunktionoderFunktionfür Menschen mitBehinderungeneinfacherzumachen, um die universelleBenutzererfahrungzuverbessern. Funktionale Details wie das Erinnern von Kennwörtern, das Erfassen von Text, vereinfachtesKopieren und Einfügen und sogar die Personalisierung von Farben, Grafiken und Animationenunterliegen den Einschränkungen der neuen Android-Sicherheitsbeschränkungen.
Skepsis der Zertifizierungsstellen
EineweitereKomponente der Sicherheitsüberprüfung von Android ist die Funktion, die verhindert, dass das Betriebssystemstandardmäßig von BenutzernhinzugefügtenZertifizierungsstellen (CAs) vertraut. Das Ziel, wie Android mit CAs umgehenkann, ist der sichere App-Verkehr. Ab Android Nougat wurdediese safe-by-default-Einstellungimplementiert, um die Konsistenzbei der VerwaltungdateibasierterAnwendungsdatenzufördern. Android bietetjetzteinstandardisiertesProtokollfür die Integrationvertrauenswürdiger System-CAs.
Entwicklerhattenimmer die Wahl, welche CAs in ihrer App vertrauenswürdigsind, aber Android implementiertjetztverbesserte APIs zurVertrauensdefinition. VomBenutzerhinzugefügteZertifizierungsstellenkönnenweiterhinfür die Vertrauensstellung in der gesamtenAnwendungoderinnerhalbbestimmter Parameter angepasstwerden.
KeineUnterstützungfürimplizitesbindService ()
DienstesindlanglaufendeVorgänge, die imHintergrundoderVordergrundeiner App ausgeführtwerden. Dienstewerdenweiterhinausgeführt, bisSiesiestoppen, auchwenneinBenutzerzwischen Apps wechselt. MehrereKomponentenkönnensichanDiensteanschließen und mitdieseninteragieren, um Netzwerktransaktionendurchzuführen, Musikabzuspielen, mitInhaltsanbieternzuinteragieren und Interprozesskommunikation (IPC) auszuführen.
EsgibtdreiArten von Diensten: Vordergrund, Hintergrund und gebunden. BisEnde 2018 wird Android neueAnforderungenfür die AusführunggebundenerDienstedurchsetzen.

EingebundenerDienstermöglichtes, dass App-KomponentenanbestimmteDienstegebundenwerden. EingebundenerDienstkannAnfragensenden, Antwortenempfangen und IPC initiieren. Von jetztankönnenEntwicklerbindService () aufrufen, ohneeineexpliziteAbsichtanzugeben, aber das wirdgeändert. Entwicklermüssen bald eineexpliziteAbsichtangeben, wennsiebindService () aufrufen, um zuverhindern, dass Apps Geräteressourcenübermäßigbeanspruchen, und um die allgemeine App-Sicherheitzufördern.
Esistwichtigzubeachten, dassDienstekeineBenutzerschnittstellehaben und daherBenutzernichtsehenkönnen, welcherDienstgestartetwird. Wenneine App eineimpliziteAbsichtzumStarteneinesgebundenenDienstesverwendet, stellt dies einerheblichesSicherheitsrisikodar, da Sienichtsicher sein können, welcherDienst auf die Absichtreagiert. Um eineexpliziteAbsichtanzugeben, müssenEntwickler die erforderlicheKomponenteanhandihresvollständigqualifiziertenKlassennamensidentifizieren. DieseAnforderungwird die Verwendung von gemeinsamgenutztenDatenzwischenAnwendungendrastischreduzieren. Entwicklerkönnenerwarten, dassjedes Mal, wenneineimpliziteAbsicht in der Zukunftaufgerufenwird, Rückfall-Ausnahmenvom System erhaltenwerden.
2017 war einJahr des enormenWachstumsfür Google Play. Googles Bemühungen, das Risikoim Android-App-Ökosystemproaktivzureduzieren, sindnichtunbemerktgeblieben. Und obwohl Google nichtvorhersagenkann, welcheArten von Angriffenbevorstehen, könnenwirdavonausgehen, dasssich die SicherheitsleistungimLaufe des Jahres 2018 verbessernwird, da Google die ständigwachsendedigitaleBedrohunganspricht.
Esistwichtigzubeachten, dassDienstekeineBenutzerschnittstellehaben und daherBenutzernichtsehenkönnen, welcherDienstgestartetwird. Wenneine App eineimpliziteAbsichtzumStarteneinesgebundenenDienstesverwendet, stellt dies einerheblichesSicherheitsrisikodar, da Sienichtsicher sein können, welcherDienst auf die Absichtreagiert. Um eineexpliziteAbsichtanzugeben, müssenEntwickler die erforderlicheKomponenteanhandihresvollständigqualifiziertenKlassennamensidentifizieren. DieseAnforderungwird die Verwendung von gemeinsamgenutztenDatenzwischenAnwendungendrastischreduzieren. Entwicklerkönnenerwarten, dassjedes Mal, wenneineimpliziteAbsicht in der Zukunftaufgerufenwird, Rückfall-Ausnahmenvom System erhaltenwerden.
2017 war einJahr des enormenWachstumsfür Google Play. Googles Bemühungen, das Risikoim Android-App-Ökosystemproaktivzureduzieren, sindnichtunbemerktgeblieben. Und obwohl Google nichtvorhersagenkann, welcheArten von Angriffenbevorstehen, könnenwirdavonausgehen, dasssich die SicherheitsleistungimLaufe des Jahres 2018 verbessernwird, da Google die ständigwachsendedigitaleBedrohunganspricht.