Ist die App-Ferninstallation des Android Market Webstore unter Umständen ein Risiko?

[Lion13]

Viele Android-User haben sich gefreut, als Google auf einem Presse-Event in der vergangenen Woche den schon lange erwarteten Android Market Webstore vorstellte (und auch gleich freischaltete - wir berichteten). Eine richtig gute Idee, sich einfach mit seinem Google-Account dort anzumelden, bequem am PC nach neuen Apps zu suchen, diese zu verwalten und auch mit ein paar Mausklicks auf dem Smartphone oder Tablet zu installieren. Aber genau diese Installation hat jetzt mehrere Firmen, die sich mit IT-Sicherheit befassen, auf den Plan gerufen: Denn die App-Installation, aus dem Webstore angeschoben, erfordert auf dem Android-Device keine weitere Interaktion des Nutzers - lediglich in der Statusleiste taucht eine Meldung auf, daß Download und Installation erfolgreich waren. Mittels eines (z.B. durch einen Trojaner) gehackten GMail-Accounts wäre es also ohne Probleme möglich, dem Opfer eine erfolgreich im Market platzierte App unterzuschieben!

Ich war bisher der Meinung, daß dann immer noch eine Hürde bestünde - nämlich daß eine so installierte App erst beim manuellen Start ihre Schadwirkung beginnen könne; laut dieser Meldung von Heise-Online ist aber dafür scheinbar doch keine Nutzeraktion notwendig; im sog. "Manifest" einer App läßt sich festlegen, wie sie auf bestimmte Ereignisse reagieren soll. So wäre es z.B. durchaus möglich, beim Verlassen des Standby-Modus mittels eines Broadcast, den die App empfängt, diese bestimmte App ohne Zutun des Users zu starten. Ein Mitarbeiter der Sicherheits-Firma Sophos spekulierte heute, daß er sich eine deutliche Zunahme von Phishing-Versuchen auf GMail-Konten vorstellen könnte. Kaspersky, russischer Hersteller von Antivirus-Software, hat laut eigenen Angaben Kontakt zu Google aufgenommen, um über das bestehende Risiko zu diskutieren (bisher ohne Reaktion). Beide Firmen empfehlen, ein möglichst sicheres Paßwort für die GMail-Konten zu verwenden...

​

Diskussion zum Beitrag

Weitere Beiträge auf Android-Hilfe.de
https://www.android-hilfe.de/forum/...tore-fuer-bequeme-app-kaeufe-am-pc.76188.html
https://www.android-hilfe.de/forum/...und-zeitschriften.67110.html?highlight=Market
https://www.android-hilfe.de/forum/...nicht-betroffen.66172.html?highlight=Trojaner

Quellen: heise.de, netzwelt.de

 

[Lion13]

Ob nun ein Zusammenhang mit der Sicherheits-Diskussion des Market Webstore besteht oder nicht, sei mal dahingestellt - jedenfalls hat Google nun ein neues Feature vorgestellt, das mehr Sicherheit verspricht: Eine zweistufige Authentifizierung nutzt als zweiten Schritt nach der Anmeldung mit dem eigenen Google-Account die (optionale) Möglichkeit, einen sog. "Verification Code" einzugeben. Diesen erhält man wahlweise über eine App namens "Google Authenticator", oder auch per SMS oder Telefonanruf. Der Code ist maximal 30 Tage gültig. In den nächsten Tagen will Google diesen Service freischalten - aktuelle Infos dazu und auch die erforderlichen Schritte können im offiziellen Google-Blog nachgelesen werden.

​