Forscher der Universität Ulm haben basierend auf der Arbeit der Rice University in Houston ein gravierendes Sicherheitsleck in Android entdeckt.
Aufgrund dieser Sicherheitslücke lassen sich aus Smartphones mit Android Betriebssystem Kalenderdaten, Kontaktdaten, Fotos etc. mitlesen, die der User über ein offenes W-Lan überträgt.
Genau das ist der springende Punkt. Die Daten müssen übertragen werden. Ich persönlich würde beispielsweise kaum in einem offenen W-Lan (oder Internetcafé oder Bahnhof etc.) mein Handy aktivieren und die Telefon- oder Kalenderdaten syncen oder gar meine Bildersammlung an Picasa zu senden etc.
Das ganze hört sich also meines Erachtens schlimmer an, als es der gesunde Menschenverstand zulassen würde.
Eine paar Tipps geben die Forscher dennoch, die generell beachtet werden sollten:
- Update auf Android 2.3.4 sobald dies für euer Smartphone möglich ist, da hier zumindest die Kontakt- und Kalenderdaten per https übertragen werden
- Automatische synchronisation ausschalten, sobald man sich in ein offenes W-Lan einloggt
- Offene W-Lan-Verbindungen wieder löschen, da mit W-Lans mit der selben Kennung sonst automatisch verbunden werden kann
- Generell sehr gut überlegen, welche Daten man evtl. über ein unbekanntes W-Lan überträgt
- Den Tipp von René möchte ich hier gleich noch mit erwähnen. Schaut euch das kostenlose Widgetsoid an und legt das auf euren Homescreen und schon könnt ihr mit nur einem Klick die Synchronisation oder gar das W-Lan komplett deaktiveren. Dann ist auch kein mitloggen der Daten ohne euer wissen mehr möglich.
In Android 2.3.4 wurde das Problem größtenteils behoben, die Forscher der Universität Ulm konnten aber beispielsweise immer noch Bilder aus Picasa „mitschneiden“.
Hier könnt ihr dennoch den ganzen Artikel auf Spiegel.de mitlesen.
Ein Google-Sprecher hat bestätigt, dass noch heute der Rollout für einen serverseitigen Fix beginnt, der über die nächsten Tage verteilt wird. Dies benötigt keine Aktion beim User und kein Update der Android-Version. Genau heißt es:
Today we’re starting to roll out a fix which addresses a potential security flaw that could, under certain circumstances, allow a third party access to data available in calendar and contacts. This fix requires no action from users and will roll out globally over the next few days.