Android 11: Getrennte Profile garantieren keine Sicherheit

Christine Schönig Check Point

Googles Betriebssystem Android für Mobilgeräte ist weltweit in Millionen von Smartphones integriert – sowohl private als auch Firmen-Handys. Entsprechend steht es dauerhaft unter Beschuss durch Hacker.

San Carlos, Kalifornien – 24. September 2020 – Die Sicherheitsforscher von Check Point® Software Technologies Ltd. (NASDAQ: CHKP) haben Android 11 genau unter die Lupe genommen. Dabei stellten sie fest, dass die Möglichkeit, zwei getrennte Profile auf einem Smartphone zu etablieren, eines für berufliche und eines für private Zwecke des Mitarbeiters, zwar eine gute Idee ist, jedoch nicht so viel Sicherheit bietet, wie gedacht.

Das Prinzip, auf einem mobilen Endgerät zwei getrennte Profile zu installieren, wird seit längerer Zeit genutzt, vor allem von Unternehmen, welche die Eingliederung privater Endgeräte in das Unternehmensnetzwerk erlauben (BYOD: Bring your own device). Dabei wird das Unternehmensprofil durch die betriebliche IT-Abteilung überwacht und gewartet. Entsprechend sind Zugriffsmöglichkeiten, Auswahl von Applikationen und dergleichen in der Hand der Firma und strikt geregelt. Mit Android 11 ist diese Segregation nun ein Kern-Feature des Betriebssystems geworden. Allerdings garantiert die Abtrennung der Nutzerprofile keine umfängliche Sicherheit für das Unternehmen. Wie die Sicherheitsforscher von Check Point feststellen mussten, reicht eine Malware-Infektion auf der privaten Seite des Mobilgerätes, um auch das Unternehmensprofil zu kompromittieren.

Erlangen Angreifer beispielsweise die Kontrolle über Android’s Accessibility Services (AAS), der verschiedene Funktionen für behinderte Menschen zur Verfügung stellt, um die Bedienung des Geräts zu vereinfachen, so können diese missbraucht werden, um das Unternehmensprofil auszuspähen. Mittels der Funktionen lassen sich zudem Eingaben in den Bildschirm auslesen und somit Zugangsdaten ergattern – über die Profil-Grenze hinweg. Daher ist es unabdingbar, neben der Profil-Trennung zusätzliche Sicherheitsvorkehrungen zu treffen, erklärt Christine Schönig, Regional Director Security Engineering CER, Office of the CTO bei Check Point Software Technologies GmbH: „Die Abgrenzung von privaten und beruflichen Profilen ist wichtig und kommt den Mitarbeitern entgegen – allerdings ist sie mitnichten sicher. Um mobile Geräte gegen Angriffe und Spionage wirksam zu schützen, benötigt es zusätzliche Software, die den Missbrauch von Funktionen und das unberechtigte Abfragen von Daten verhindert. Zusammen bilden die Funktionen des Betriebssystems und die externen Sicherheitslösungen dann eine umfangreiche, echte Absicherung des Smartphones.“

Alles zu den Lücken in den Segregations-Optionen unter Android 11 und über Schritte hin zur wirksamen Absicherung mobiler Geräte lesen Sie hier: https://blog.checkpoint.com/2020/08/24/securing-android-devices-regardless-of-the-owner/