Android for Work: Attack-by-Design

Google will im Enterprise Bereich mitmischen und hat das eigene Smartphone Betriebssystem Android um einen Work Perimeter erweitert. Doch der Aufbau birgt Gefahren für die Datensicherheit auf Android Geräten.

Damit Android in Unternehmen eingesetzt werden kann, hatte das Unternehmen mit Android 5 “Android for Work” (AfW) ins Leben gerufen. Den Namen gibt es eigentlich nicht mehr, da Android for Work in Android selbst aufgegangen ist, da alle APIs ins Hauptbetriebssystem implementiert wurden. Alle Einzelheiten findet ihr im Beitrag zur AfW Umbennung. Zur besseren Unterscheidung bleibe ich bei AfW.

AfW kann als Workspace only (COBO) eingesetzt werden. Dabei gibt es nur einen beruflichen Perimeter, welcher über eine zentrale Stelle verwendet wird. Für Geräte mit einem persönlichen und einem beruflichen Perimeter (BYOD/COPE) setzt AfW auf die Möglichkeit, die Perimeter durch Einsatz von mehreren Profilen auf dem Gerät zu trennen. Die Profile stellen dabei unterschiedliche User mit eigenem Homeverzeichnis dar.

Der Work Perimeter bildet eine eigene Sandbox, welche durch ein MDM-System verwaltet wird und keine Daten an unverwaltete Anwendungen/Umgebungen weitergeben darf. Doch die Benachrichtigungen (sowie die Telefon- und SMS-Anwendung) laufen im persönlichen Perimeter.

Und genau in dieser Implementierung stecken Gefahren, wie Skycure aufzeigt.

Yair Amit, CTO, und Adi Sharabani, CEO, zeigen wie Anwendungen im persönlichen Perimeter Daten aus dem beruflichen Perimeter kompromittieren können. Kurz gesagt: Da alle Benachrichtigungen nur über eine einzelne globale Berechtigung in Android verarbeitet werden, kann dies nicht feingranular verwaltet werden.

Sollte eine im privaten Perimeter installierte Anwendung die Berechtigung auf Android Benachrichtigungen verlangen und durch den Anwender erhalten, könnte sie demnach als kompromittierte App auch die AfW Benachrichtigung abgreifen/manipulieren.

https://youtu.be/KHv9hYQWa1k

Dies gilt auch für Hilfssysteme für beeinträchtigte Nutzer:

https://youtu.be/-JZXGwTyRD8

Zumindest im letzten Fall wird an einer Whitelist für EMM Anbieter gearbeitet.

BlackBerry setzt auf den eigenen neuen Smartphones Android ein. Dabei werden Soft- und Hardware durch mehrere Maßnahmen gehärtet (Präsentation / Video).

Die Härtungen sind lobenswert, können jedoch nichts an der Architektur von Android ändern. Zwar kann die DTEK App genau auflisten, welche Anwendung auf welche Berechtigung wie oft zugreift, wenn es aber eine gut getarnte kompromittierte Anwendung ist, fällt es nicht auf.

BlackBerry setzt auch einen Hintergrundservice auf Systemebene ein: BIDE, BlackBerry Integrity Device Engine. Dieser Service überprüft jedoch “nur” auf Systemmanipulationen. Da der Zugriff auf die Benachrichtigungen noch auf die Hilfssysteme eine Manipulation darstellen, wird hier kein Angriff erkannt.

Es bleibt daher nur der bekannte Rat: Nutzt nur Anwendung, die ihr kennt, unbedingt braucht und einen guten Ruf genießen.

Forumsdiskussion