Apps und ihre Berechtigungen

[gado]

Er will ja nur, dass man dann noch zusätzlich Rechte blocken kann. Sozusagen will er dann diese Software nutzen, die eigentlich zuviele Rechte braucht um sie dann zu beschneiden.

 

[Lion13]

Ah, ok. Das habe ich wohl überlesen...

Also quasi erst mal alles verbieten und dann nach und nach erlauben? Ist das überhaupt programmiertechnisch machbar?

 

[realgun]

Klar, ist aber ein nicht unerheblicher Mehraufwand, der einige Programmierer von Android abschrecken lassen würde...

 

[gado]

Es würde einfach nichts bringen. Denn einfach so blocken, würde FCs erzeugen (die Apps müssten alle wieder angepasst werden). Also müsste der Entwickler wieder ganz nett fragen, ob er das Recht haben darf. Die meisten werden dann einfach am Anfang checken, ob alle gewollten Rechte vorhanden sind, falls nicht, sagt die App "Unter solchen Umständen will und kann ich nicht arbeiten". Man wäre genauso weit wie jetzt, wo man Apps mit ungwollten Rechten einfach nicht installiert.

 

[Georgius]

Prinzipiell brauchen die Apps eigendlich nichts davon wissen, das könnte man über das Betriebssystem lösen. Immer wenn eine Funktion aufgerufen wird (was wohl über BS-Funktionen geht) fragt das System den User ob es das darf. Das sollte eigentlich funktionieren.

 

[gado]

Da es aber nicht vorgesehen ist und die Apps nicht angepasst sind, werden FCs kommen. Eine App fragt z.B die Kontakte ab und geht dann davon aus, dass sie die jetzt geholt hat. Aber der User hat es verweigert, somit stürzt die App ab. Das heißt jede App müsste wieder angepasst werden und das sehr umfangreich, da man bei jeder API Nutzung abfangen muss, dass diese vielleicht verweigert wird.

 

[Lion13]

Hm... vielleicht würde der eine oder andere in Kauf nehmen, daß eine App NICHT funktioniert bei einem solchen Mechanismus. Der Sicherheit zuliebe nehme ich auch am PC Einschränkungen in Kauf, z.B. die manchmal schon etwas nervige UAC (die bei mir mit Win7 auf höchster Stufe steht), die Performance-Einbußen durch Virenscanner, die durchaus öfter lästigen Updates usw.

Ich bin kein Programmierer - ist es wirklich so aufwändig, eine App entsprechend anzupassen?

 

[gado]

Aufwändig ist relativ. Bei kleinen Apps sicher nicht. Aber wenn ich jetzt z.B an Tasker denke, dann wird das wohl ziemlich lange dauern, alle API Nutzungen abzufangen.

Aber das ist auch nicht das Problem. Man müsste die Entwickler zu Anpassungen zwingen oder man macht es freiwillig (ähnlich bei A2SD von Froyo), aber dann ist es wieder hinfällig. Da sieht man auch sehr gut, dass das viele noch nicht machen, obwohl es vom Aufwand sehr gering ist. Ich rede jetzt nich von Apps, wo extra auf A2SD verzichtet wurde. Die können auch nicht bei jeder neuen Android Version wieder grundlegende Sachen über Board werfen.

Eine zusätzliche Frage, ob das nicht am Benutzer vorbeientwickelt ist. Da wäre die Firewall Lösung noch am sinnvollsten. Einfach sagen, ob eine App aufs Internet zugreifen darf oder nicht. Da kann sie auch alle Kontakte sammeln, sie kann sie ja nicht nach Hause schicken.

Für Rootuser gibt es jetzt schon eine Lösung, Droidwall macht genau das.

 

[Lion13]

Ist wahrscheinlich sowieso zu spekulativ - es ist halt so, wie es ist...

Ich könnte mir aber schon vorstellen, daß mit zunehmender Beliebtheit der Android-Plattform auch die Schädlinge zunehmen werden. Und Google hat sich leider bisher in Sachen Kommunikation bei Sicherheitslücken ziemlich zurückgehalten.

 

[Dirk]

Viele Apps, die Werbefinanziert sind, brauchen einen ganzen Eimer voller Berechtigungen nur, um die Werbung anzeigen zu können.

 

[gado]

Und Google hat sich leider bisher in Sachen Kommunikation bei Sicherheitslücken ziemlich zurückgehalten.

Meinst du jetzt bei Android? Bei Chrome finde ich das eigentlich vorbildlich.

 

[Lion13]

Meinst du jetzt bei Android? Bei Chrome finde ich das eigentlich vorbildlich.

Eben drum - bei Chrome machen sie es IMHO wirklich klasse, bei Android liest man so gut wie nichts!

 

[MileStyle]

Ich habe mal mit dem App Inventor ein paar apps gebaut. Das Quizapp aus dem Tutorial fordert nach Fertigstellung und Installation z.B: Zugriff auf Speicher (sk-karten inhalt ändern),
Netzwerkkommunikation,
Anrufe.
Mit dieser app sollen aber weder anrufe identifiziert werden noch eine internetverbindung aufgenommen werden. sdkartenzugriff ist eigtl. auch nicht notwendig. Das zeigt mir auf der einen Seite, dass ich da weniger bedenken haben muss wenn unbekannte apps solche zugriffe fordern. Auf der anderen Seite aber, dass die Info über geforderte Rechte bei der Installation vollkommen nichtssagend und untransparent ist.

 

[gado]

Ich dachte die Inventor Apps kann man noch nicht in den Market laden. Wenn du die Apps per Codezeilen schreibst, dann weißt du welche Rechte du brauchst und dir holst.

 

[MileStyle]

Habe die app nicht in den market geladen sondern von sdkarte installiert.

 

[gado]

Ja, ist auch nicht möglich in den Market zu laden.
User FAQ - App Inventor for Android

Wenn das irgendwann möglich sein sollte, dann wird man diese wahrscheinlich im Market erkennen oder sie werden in eine eigene Kategorie geladen.

Aber da es zur Zeit nicht möglich ist, sind alle Apps im Market per Code geschrieben und somit weiß der Entwickler, welche Rechte er verlangt.

 

[MileStyle]

gut, dann habe ich nichts gesagt
und bin wieder nach wie vor misstrauisch...

edit: es wird zeit, dass google die app inventor programme im markt freigibt.

 

[Lion13]

Heute morgen bin ich endlich mal dazu gekommen, die aktuelle c't (Nr. 20/2010) zu lesen; dort gibt es zwei interessante Artikel zum Thema "Angriffsziel Smartphone" - gewohnt unaufgeregt, aber trotzdem den Finger in die Wunde legend (für iOS4 und Android 2.1). Recht interessant, wie ich finde - vor allem auch die Tests mit Apps in einem offenen WLAN bezüglich Verschlüsselung und Zertifikate.

Beide Artikel spiegeln recht gut die Diskussion hier wider - also die Kompromittierung des Systems durch vom Anwender unbedarft installierte Apps und auch das angesprochene Schweigen von Google bezüglich bestehender Sicherheitslücken. Eine recht bedenkliche im WebKit wurde zwar mit Android 2.2 geschlossen, aber alle anderen OS-Versionen sind weiterhin verwundbar. Auch das Problem, das mit immer einfacheren Mitteln Root-Rechte erlangt werden, wurde angesprochen; viele Szenarien sind zwar (noch!) theoretischer Natur, aber das erste Rootkit wurde ja schon gesichtet. Kritisch sehen die Autoren die Versprechungen der Hersteller von Antiviren-Software für Android - es ist mehr als fraglich, ob sich Virenscanner überhaupt einigermaßen vernünftig ins System integrieren lassen...

Interessanter Schlußsatz: "Während vor der Installation dubioser Apps bislang noch das Einschalten des Gehirns und im Zweifel der Abbruch des Vorgangs hilft, können ein paar einfache Handgriffe die Sicherheit der Geräte gegen fremde Zugriffe schützen."

 

[H1Chris]

Ja, diesem Satz ist eigentlich nichts hinzuzufügen.

Das grösste Sicherheitsproblem ist nicht das OS, sondern der User. Das ist bei Android und Windows so. Und auch bei Onlinebanking und Kartenzahlungen.

 

[Fr4gg0r]

Ich dachte die Inventor Apps kann man noch nicht in den Market laden. Wenn du die Apps per Codezeilen schreibst, dann weißt du welche Rechte du brauchst und dir holst.

Woher weiß denn der Market, dass eine App durch deren App Builder entstanden ist?
Oder scheitert es einfach daran, dass die App auf dem Emulator/Handy landet und nicht auf dem PC. xD