Forscherinnen und Forscher der EPFL, die sich auf Informatik und Kommunikation spezialisiert haben, hacken Android-Telefone und beheben Fehler, bevor bösartige Hacker sie finden. Sie haben 31 Sicherheitslücken im Android-System entdeckt, die Risiken untersucht und Methoden entwickelt, um einige größere Lücken durch bessere Tests und umfangreichere Abschwächungsmaßnahmen zu entschärfen.
"Schwachstellen in intelligenten Geräten sind die Achillesfersen, die die kritischsten Aspekte eines mobilen Geräts kompromittieren können", sagt Mathias Payer, der das HexHive-Labor an der EPFL leitet und Forschung im Bereich der Cybersicherheit betreibt. "Das Hauptrisiko besteht darin, dass Hacker in Ihr System eindringen und dauerhaften Zugriff auf Ihre Daten haben, solange Sie das gleiche Telefon haben. Ihr Telefon ist dann nicht mehr sicher".
Die verschiedenen kritischen Sicherheitslücken, die von den Forscherinnen und Forschern identifiziert wurden, hätten ausgenutzt werden können, um persönliche Informationen wie Fingerabdrücke, Gesichtsdaten und andere sensible Daten, die auf dem Telefon gespeichert sind, wie Kreditkarten- oder Sozialversicherungsdaten, zu stehlen.
"Wir haben das Android-System wegen der offenen Natur seiner Plattform untersucht, aber ähnliche Sicherheitslücken sind wahrscheinlich auch im Ökosystem des iPhones vorhanden. Die Öffentliche Sicherheitsforschung zu iPhones ist aufgrund des geschlossenen Ansatzes von Apple, der Forscherinnen und Forscher dazu zwingt, zunächst ein Reverse Engineering der wesentlichen Öffentlich verfügbaren Informationen zu Android vorzunehmen, viel weniger verbreitet", erklärt Mathias Payer.
Marcel Busch, Postdoktorand am HexHive-Labor an der Seite von Mathias Payer, führte zusammen mit den Doktoranden Philipp Mao und Christian Lindenmeier die Forschung zu den privilegierten Schichten von Android durch. Ihre Arbeit mündete in drei Veröffentlichungen, die auf dem diesjährigen Usenix Security Symposium, einer der vier weltweit führenden Veranstaltungen für Cybersicherheit, vorgestellt wurden. In ihrer Arbeit erläutern sie, wie sich diese Sicherheitslücken manifestieren und welche Schichten der Android-Systemarchitektur betroffen sind.
Der Großteil der Android-Sicherheitslücken in drei Schichten.
Das Android-System verarbeitet Informationen im Wesentlichen über drei Schichten von Code (das iOS des iPhones folgt einer ähnlichen Architektur).Die erste Schicht ist der Secure Monitor. Das ist der Code, der die Verbindungen zur und von der verschlüsselten Datenumgebung namens Secure World verarbeitet. Die zweite Schicht ist in zwei Teile gegliedert: die sichere Umgebung (Secure World), in der sensible Daten verschlüsselt werden, und die normale Umgebung (Normal World), die auf einem Linux-Kernel basiert. Die dritte Schicht baut auf der zweiten Schicht auf und enthält alle Anwendungen. Wie die Fotoanwendung oder die E-Mail-Anwendung kommunizieren alltägliche Anwendungen in der normalen Umgebung mit sicheren Anwendungen, den sogenannten vertrauenswürdigen Anwendungen (Trusted Applications oder TA), wie der Master-Anwendung, die die kryptografischen Schlüssel verwaltet, oder der Anwendung zur Verwaltung biometrischer Informationen, die sensible Daten über die Benutzerin oder den Benutzer enthalten und in der sicheren Umgebung laufen.
Zahlreiche Lücken und Schwachstellen entdeckt
Das Team der EPFL hat Sicherheitslücken in allen drei Schichten des Android-Systems entdeckt. Die Forscherinnen und Forscher entwickelten ein Programm, EL3XIR , bei dem unerwartete Daten an den Zielcode gesendet werden, um Lücken und Schwachstellen in der Software aufzudecken - eine Technik, die als Fuzzing bezeichnet wird. EL3XIR entdeckte 34 Fehler in der grundlegendsten und privilegiertesten Android-Sicherheitsschicht, dem Secure Monitor, von denen 17 als sicherheitskritisch (die höchste Risikostufe) eingestuft wurden.Die Forscherinnen und Forscher haben auch eine Verwirrung bei der Art und Weise aufgedeckt, wie das Android-System mit vertrauenswürdigen Anwendungen kommuniziert. Diese Verwirrung entsteht, wenn Informationen aus vertrauenswürdigen Anwendungen bei der Verarbeitung zwischen den Schichten falsch gekennzeichnet werden. Insbesondere die komplexe und kritische Interaktion zwischen alltäglichen, zugänglichen Anwendungen und vertrauenswürdigen Anwendungen, die zunächst den Secure Monitor passieren und dann in der sicheren Umgebung und in den vertrauenswürdigen Anwendungen nach oben wandern muss, ist von diesem Problem betroffen. Bei den 15.000 analysierten vertrauenswürdigen Anwendungen entdeckten die Forscherinnen und Forscher 14 neue kritische Sicherheitslücken, 10 Fehler, die von den Anbietern still und leise behoben wurden, ohne die Nutzerinnen und Nutzer zu informieren, und bestätigten 9 bekannte Fehler.
Sie fanden außerdem heraus, dass Hacker, wenn die Anbieter das Android-System nicht ordnungsgemäß mit sicheren Patches aktualisierten, ein Downgrade auf frühere, anfällige Versionen vertrauenswürdiger Anwendungen erzwingen und sensible Daten abgreifen konnten, wodurch das gesamte Android-Ökosystem über die gesamte dreischichtige Architektur hinweg kompromittiert wurde. Die Forscherinnen und Forscher analysierten über 35.000 vertrauenswürdige Anwendungen, die von zahlreichen Telefonherstellern eingesetzt wurden.
"Android ist ein komplexes Ökosystem mit vielen verschiedenen Anbietern und Geräten. Die Behebung von Sicherheitslücken ist schwierig", sagt Philipp Mao, Doktorand am HexHive Laboratory. "Wir haben uns an die Branchenstandards gehalten, indem wir alle unsere Ergebnisse auf verantwortungsvolle Weise gegenüber den betroffenen Anbietern offengelegt haben und ihnen 90 Tage Zeit gegeben haben, Patches für ihre Systeme zu entwickeln - was sie auch getan haben -, bevor wir Informationen veröffentlicht haben. Die Lehren, die wir aus unseren Erkenntnissen und unserem automatisierten Tool gezogen haben, werden dazu beitragen, zukünftige Systeme sicher zu machen."
Was bedeutet das für die Verbraucherinnen und Verbraucher? Sie müssen ihr System und ihre Apps auf dem neuesten Stand halten, indem sie Updates installieren, sobald sie verfügbar sind, Apps nur aus vertrauenswürdigen App-Stores herunterladen und ein Gerät von einem Hersteller kaufen, der lange Update-Zyklen garantiert. Marcel Busch stellt fest, dass "für einige der von uns untersuchten Hersteller die Markteinführungszeit der Schlüsselindikator ist, was wenig Raum für die Aufmerksamkeit lässt, die für die Entwicklung sicherer Systeme erforderlich ist".
Referenzen
Spill the TeA:https://www.usenix.org/conference/usenixsecurity24/presentation/busch-tea
EL3XIR:
https://www.usenix.org/conference/usenixsecurity24/presentation/lindenmeier
Globale Verwirrung:
https://www.usenix.org/conference/usenixsecurity24/presentation/busch-globalconfusion
