Android O soll durch Seccomp-Systemschutzfeature sicherer werden

Googles nächstes große Android-Release, Android O, soll dank Kernel-Schutz viel sicherer werden. Das aus dem Linux-Kernel bekannte Seccomp-Feature soll dazu Systemaufrufe von Anwendungen filtern oder zur Not blockieren. Der verantwortliche Entwickler hat nun Details dazu bekanntgegeben.
Infografik: Android dominiert den deutschen Markt
Wie bereits seit März bekannt ist, soll in An­droid O bzw. Android 8.0 die von Linux bekannte Seccomp-Technik auch auf dem mo­bi­len Be­triebs­sys­tem für Sicherheit sorgen. Dabei han­delt es sich um einen Filter, der mit dem zwin­gend laufenden Systemprozess Zygote auf alle Apps angewendet wird. Dieser von der C-Lauf­zeit­umgebung Bionic verwaltete Seccomp-Filter erlaubt dann nur noch /bionic/libc/SYSCALLS.TXT definierte Sys­tem­auf­ru­fe.

Wie strikt der Seccomp-Filter dabei vorgeht hat nun der dafür verantwortliche Entwickler Paul Lawrence im Android-Entwickler-Blog genauer erklärt. Demnach gestattet Seccomp sämt­li­che Systemaufrufe, die über die C-Bibliothek Bionic verfügbar sind und auch alle Systemaufrufe zum Booten von Android. Darüber hinaus sollen Sys­tem­auf­ru­fe, die von besonders beliebten Android-Apps genutzt werden ebenfalls weiterhin möglich sein. Welche dazugehören legt Google über die so genannte App Com­pa­ti­bi­li­ty Suite fest.

Nur wenige Filterregeln

Durch Seccomp gesperrt werden künftig etwa Aufrufe zur Schlüsselverwaltung im Kernel, Zugriffe auf Swapon/Swapoff für Auslagerungsdateien sowie einige wenige weitere. Bei 64-Bit-ARM-Geräten sind laut Lawrence 17 der 271 verfügbaren Aufrufe betroffen, auf 32-Bit-ARM werden 70 der 364 verfügbaren Aufrufe künftig blockiert. Wer auf einen strikteren Systemschutz bei Android O / Android 8.0 gehofft hatte, dürfte von diesen Details eher enttäuscht werden. Schließlich können viele Apps weiterhin den Hauptteil aller sys­tem­kri­ti­schen Aufrufe ungeschützt durchführen, was etwa Angriffe durch Malware erleichtert.

Das Problem mit der Abwärtskompatibilität

Warum sich Google nicht zu strengeren Filterregeln durchringen kann, hat sicherlich mit der Abwärtskompatibilität von Android zu tun. Schließlich gibt es viele tausende Apps, die auf neueren Android-Geräten damit nicht mehr lauffähig wären. Versucht eine App, einen durch Seccomp verwährten Aufruf durchzuführen, stürzt sie schließlich unweigerlich ab. Für spätere Android-Versionen ist aber durchaus denkbar, dass die Filterregeln weiter verschärft werden.