Google: Samsung & Co. pfuschen am Android-Kernel, bauen Bugs ein

Nutzer von Android-Smartphones sind nicht nur durch Sicherheitslücken einem Risiko ausgesetzt, die aufgrund langer Patch-Wege zu lange nicht geschlossen werden. Auf dem Weg zum User kommen auch oft neue Bugs hinzu. So sei Samsung beispielsweise auf die Idee gekommen, den auf seinen Galaxy-Systemen eingesetzten Android-Code so zu modifizieren, dass die Kunden vermeintlich weniger anfällig für Angriffe sind. Durch die Änderungen am Kernel seien aber am Ende netto mehr Schwachstellen im Gerät gewesen, die dann nicht einmal in einem ordentlichen Patch-Management behandelt wurden. Das erklärte Jann Horn von Googles Project Zero.

Horn hatte selbst eine Schwachstelle im Galaxy A50 ausfindig gemacht, die erst durch die Kernel-Manipulationen der Samsung-Entwickler entstanden ist. Grundsätzlich sei das aber nicht nur ein Problem des Partners aus Südkorea. Auch die meisten anderen Hersteller würden tief im Betriebssystem Hand anlegen und dabei meist mehr Probleme verursachen als sie lösen, führte der Google-Experte weiter aus.

Auf eigene Faust

Die Probleme würden demnach schon dadurch beginnen, dass Entwickler in den Kernel-Code eingreifen, die mit diesem nicht vertraut sind. So schleichen sich schnell Fehler ein. Und für gewöhnlich stehen die Programmierer, die mit diesen Aufgaben dann betraut sind, auch nicht in Kontakt mit den Mitgliedern des Linux-Kernel-Teams, um sich bei bestimmten Fragen beraten zu lassen.

In den meisten Fällen hat man es dann mit dem gleichen Problem zu tun, das auch von vermeintlicher Sicherheits-Software und Virenscannern hervorgerufen wird: Man fügt mit guter Absicht Features zum System hinzu, die mehr Security versprechen. Dabei wird aber der Kernel mit komplexem Code erweitert, die selbst wieder Schwachstellen in sich tragen, so dass am Ende überhaupt kein Gewinn an Sicherheit entsteht - sondern meist sogar das Gegenteil.

Siehe auch: Die Bundeswehr lässt ein 'sicheres Android' entwickeln, von Samsung Google, Android, Malware, Schadsoftware Google