News
19.05.2011, 09:35 Uhr
Vermeintliche Android-Sicherheitslücke relativiert
Die Meldung, dass man Daten von Android-Geräten über eine Sicherheitslücke abfangen kann, sorgte gestern für Schlagzeilen. Das Problem ist aber in Wahrheit ein alter Hut und hat herzlich wenig mit Android zu tun.
Über eine Sicherheitslücke im System können Kalenderdaten oder persönliche Kontaktdaten von Android-Geräten über ein ungesichertes Wlan abgefangen werden. Auch PCtipp.ch berichtete gestern darüber, nachdem Forscher an der Uni Ulm das Problem publik gemacht hatten. Wie sich jetzt aber zeigt, entsprach die Berichterstattung nicht den Tatsachen.
In Wahrheit handelt es sich bei der «Sicherheitslücke» nicht um ein Android-Problem, sondern um ein Http-Problem, schreibt die Website android-schweiz.ch. Daten, die unverschlüsselt übers Web übertragen werden, können in einem offenen, ungesicherten Wlan-Netz grundsätzlich abgefangen werden. Dies ist völlig unabhängig vom Betriebssystem. Um Daten sicher zu übertragen, muss eine verschlüsselte Https-Verbindung aufgebaut werden. Dies geschieht aber bei vielen Websites oder Mobile-Apps nicht. Ein Beispiel: Auch Facebook, bei dem ja viele private Informationen preisgegeben werden, kommuniziert über eine unverschlüsselte Http-Verbindung.
In Wahrheit handelt es sich bei der «Sicherheitslücke» nicht um ein Android-Problem, sondern um ein Http-Problem, schreibt die Website android-schweiz.ch. Daten, die unverschlüsselt übers Web übertragen werden, können in einem offenen, ungesicherten Wlan-Netz grundsätzlich abgefangen werden. Dies ist völlig unabhängig vom Betriebssystem. Um Daten sicher zu übertragen, muss eine verschlüsselte Https-Verbindung aufgebaut werden. Dies geschieht aber bei vielen Websites oder Mobile-Apps nicht. Ein Beispiel: Auch Facebook, bei dem ja viele private Informationen preisgegeben werden, kommuniziert über eine unverschlüsselte Http-Verbindung.
Was man Google vorwerfen könnte ist, dass die betroffenen nativen Apps, sprich der Google Kalender, die Kontakte und der Bilderdienst Picasa, ihre Daten eben auch unverschlüsselt übertragen haben. Aber: Der Internetriese hat reagiert, in der aktuellen Android-Version 2.3.4 werden Kalender- und Kontaktdaten bereits über eine verschlüsselte Verbindung synchronisiert. Wie engagdet.com berichtet, hat Google jetzt auch einen Fix veröffentlicht, der die Datenübertragung der Apps serverseitig mit SLL verschlüsselt. Somit profitieren jetzt auch ältere Android-Versionen von der sicheren Verbindung. Für die Picasa-App soll die Verschlüsselung ebenfalls nächstens integriert werden. Damit dürfte Android in dieser Beziehung mindestens so sicher sein wie andere mobile Betriebssysteme.
20.05.2011
20.05.2011
20.05.2011