Mühsam ausgemerzte Programmierfehler kehren bei Mobile-Apps wieder

Es scheint, als würden Entwickler einer völlig neuartigen Tätigkeit nachgehen, wenn sie statt einer Desktop-Anwendung jetzt eine Mobile-App programmieren. Die Sicherheits-Probleme, die mit viel Geduld und der Verankerung von Regeln für gutes Software-Design ausgemerzt schienen, kommen jetzt alle noch einmal wieder. Dabei geht es vor allem um jene Stellen in einer Software, in denen Eingaben der Nutzer entgegengenommen und verarbeitet werden. Vor allem wenn auch noch eine Interaktion zwischen dem Client und einem Server dazukommt, tauchten einst immer wieder gravierende Sicherheitsmängel auf. Im schlimmsten Fall wurden hier beispielsweise sensible Daten einfach als URL-Parameter offen mit über das Netz geschickt. Das machte es nicht nur leicht sie auszuspionieren, die entsprechenden Funktionen in der Software konnten von Angreifern auch mit manipulierten Daten versorgt und so missbraucht werden.

Jahrelang wurde daran gearbeitet die Situation zu verbessern und entsprechende Patzer waren in der letzten Zeit im Grunde so gut wie nirgends mehr zu finden. Das gilt zumindest für Anwendungen, die für die Nutzung auf dem Desktop bestimmt sind. Eine Untersuchung von Informatikern der Texas A&M University zeigte, dass die grundlegenden Fehler im Mobile-Bereich aber gerade noch einmal in großem Umfang wiederholt werden.

Programmieren wie vor 20 Jahren

Mit einem automatisierten Verfahren unterzogen sie rund zehntausend zufällig ausgewählte, aber populäre Android-Anwendungen aus dem Play Store entsprechenden Tests. "Wir haben problematische API-Logiken in über 4000 Apps nachgewiesen, inklusive 1743 Apps, bei denen die ganze Kommunikation unverschlüsselt über HTTP lief", heißt es im Analysebericht. Auch nachgelagerte manuelle Überprüfungen bestätigten die Fälle.

Und hier ging es nicht nur um irgendwelche Apps, die keine größere Bedeutung haben. Die fraglichen Schwachstellen wurden sogar in Anwendungen gefunden, die im E-Commerce-Bereich angesiedelt sind. Als Höhepunkt entdeckten die Forscher sogar eine Banking-Applikation, in der über Manipulationen der GET-Parameter in der URL die Details einer Transaktion verändert werden konnten.

Download Notepad++ - Freier Editor für Programmierer