Google-Entwickler Adrian Ludwig hat auf der RSA Conference 2015 zu Androids Ruf als Mobilbetriebssystem mit der meisten Malware Stellung genommen. „Es gibt da eine Menge Pessimismus, was die Sicherheit betrifft“, sagte er – überwiegend handle es sich aber um Mythen. Weniger als ein Prozent aller Android-User habe tatsächlich eine potenziell schädliche App auf seinem Endgerät installiert.
Beispielsweise herrsche die Ansicht, die Zahl der Malware nehme ständig zu, die meisten Geräte seien nicht geschützt und Malware könne sie kompromittieren. In Wirklichkeit komme Android durchaus mit Schutzmechanismen, mobile Malware lasse sich klassifizieren und isolieren, und ihre Zahl nehme auch keineswegs zu.
Googles Ziel sei es, Android sicher zu halten, indem man die besten verfügbaren Werkzeuge zu jedem Preis integriere, für den Nutzer kostenfrei verfügbar mache und anderen die Möglichkeit gebe, darauf aufzubauen, erklärte Ludwig. Er führte das „Android Security Model“ auf einer Folie vor: Es besteht aus Plattform-Härtung, Isolierung von Applikationen, Geräte-Integrität und Unternehmensdiensten (also Android for Work).
Erläuternd betonte Ludwig, Android sei fest in einem offenen Konzept verwurzelt. Sein Ökosystem bestehe aus tausenden verfügbaren Geräten, Millionen Zeilen offenem Code, hunderten OEMs und ISVs und Sicherheitslösungen. Davon profitiere es auch hinsichtlich der Sicherheit.
Zunächst seien die App-Verifizierung für Google Play und das Android Safety Net Barrikaden gegen Malware. Letzteres habe im Lauf des vergangenen Jahres über eine Milliarde Geräte gescannt und dabei ermittelt, dass weniger als ein Prozent eine potenziell schädliche App installiert hatte. Diese Quote sei zudem allein im Jahr 2014 um 50 Prozent zurückgegangen. Spyware-Installationen nahmen im gleichen Zeitraum um etwa 90 Prozent ab.
Von dieser Tendenz gebe es jedoch „regionale Abweichungen“, vor allem in China und Russland. In China gibt es allerdings kein Google-Play-Angebot, womit die erste Sicherheitsschicht entfällt: Hunderte Millionen Nutzer installieren Programme aus unkontrollierten Angeboten.
Android-Bedrohungen treten Ludwig zufolge in Wellen auf: Immer wieder gibt es bestimmte „Typen“ an Malware, deren Verbreitung plötzlich zunehme – etwa eine ganze Familie an Apps, die eine bestimmte Bank betreffen. Irgendwann werde ein Schwellenwert überschritten, und Google merke, was passiere. „Die Risiken denen Sie heute ausgesetzt sind, werden sich sehr von denen im kommenden Monat unterscheiden.“
[mit Material von Rachel King, ZDNet.com]
Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de
Neueste Kommentare
18 Kommentare zu Google: Ein Prozent aller Android-Nutzer hat eine bösartige App installiert
Kommentar hinzufügenVielen Dank für Ihren Kommentar.
Ihr Kommentar wurde gespeichert und wartet auf Moderation.
Ui, ui: „Eine bereits ein halbes Jahr alte Sicherheitslücke kann in unzähligen Android-Apps immer noch als Einfallstor für Angreifer dienen. Dabei können Cyber-Kriminelle betroffenen Apps gefälschte TLS/SSL-Zertifikate unterjubeln und sich als Man in the Middle in Verbindungen einklinken.“
Ein halbes Jahr – „OK Google, wann kommt das Fix?“ Microsoft habt ihr doch auf die Füße getreten – wie wäre es mit Aktion? ;-)
http://www.heise.de/newsticker/meldung/Zahlreiche-Android-Apps-lassen-sich-ausspionieren-immer-noch-2627770.html
@PeerH:
IN 4.4 ist Webview durch Chromium mit Blink ersetz worden, ja. Ab 5 gibt es den Webview Fix, was ist nun der Unterschied zu Apple mit der Rootpipe Sicherheitslücke? Die haben auch nur Yosemite „gefixt“ oder auch nicht =)
Zum Thema Microsoft: Hättest du auch nur den ersten Absatz gelesen, hättest du das entdeckt: „Keine davon beeinflusst die Sicherheit, weshalb alle als optional klassifiziert sind.“ Also nur heiße Luft von dir, wie gewohnt.
„Ansonsten: alte Strategie – wenn man nix zum Thema schreiben kann, ablenken und den anderen angreifen“
Thema hier: Google: Ein Prozent aller Android-Nutzer hat eine bösartige App installiert.
Nun erzähl mal wie deine Kommentare hier rein passen zum Thema =)
So viel zu deinem Kindergartenniveau…
@Punisher
WebView: also ist die Aussage richtig – es gibt für Android <4.4 KEIN Hotfix, und es wird auch nie eines geben, so dass auch die zweite Aussage richtig ist: das riecht nach 'erzwungener Obsoleszenz' von 1 Mrd Androiden … sofern man Wert auf Sicherheit legt. Das passt doch zu Google, oder?
Microsoft: das war nur ein Beispiel, um Deine absurde Argumentation aufzuzeigen. Nicht mehr und nicht weniger.
Die restlichen Kommentare prangern alle (!) Google an, weil sie zwar WebView vergessen zu machen versuchen – und deswegen nun der eine oder andere 'Google Entwickler' oder -Verantwortliche ständig was von '1%' erzählt. Das nennt man weichzeichnen anstelle von Problem beheben. Ergo passen meine Kommentare natürlich zu diesem Artikel.
Apple Root Pipe Lücke: wer sagt Dir, dass kein Hotfix mehr kommt? Es gab diesbezüglich keine offizielle Aussage seitens Apple. Bei Google wurde definitiv ausgeschlossen, dass WebView auf Android 4.3 gefixed wird.
Du vergleichst also Äpfel mit Birnen. Und na ja: Du hast ja als erster abgelenkt und auf Apple verwiesen. Es fällt Dir halt schwer Kritik an Google zuzulassen, ohne gleich mit dem Finger auf Apple zu zeigen. Meine Kritik ist aber stimmig, und sie wäre stimmig, selbst wenn kein Apple existieren würde. ;-)
Ja, Kindergarten: "Du kritisierst meinen Papa, aber Deiner der ist viel doofer!"
Microsoft war kein Beispiel, sonder nur Schall und Rauch!
Du willst also behaupten, dass der Sicherheitsforscher uns anlügt bezüglich dem was Apple ihm geantwortet hat??? Echt jetzt?
Ich habe als erster abgelekt? Les nochmal den ERSTEN Kommentar ( dein eigener) und dann nochmal die Überschrift (Google: Ein Prozent aller Android-Nutzer hat eine bösartige App installiert). Aber ja, ich habe abgelenkt….Deinen Papa kritisiere ich nicht, nur dich und deine verblendete Sicht!
In meinem ersten Kommentar mache ich mich darüber lustig, dass ein Android Entwickler sein Produkt als ’sicher‘ bezeichnet – alles andere wäre verblüffend – und dass die Sicherheit bei Google eben nur bedingt interessant ist – dass diese PR Aktionen gerade nur eine Ablenkung vom WebView Debakel sind, und diese WebView verharmlosen sollen.
Wo ist da die Ablenkung?
Es geht um Google, Android, WebView.
Du bist in letzter Zeit etwas verwirrt?
Und OS X? Du beziehst Dich hierauf?
„Es begründete dies gegenüber Kvarnhammar damit, “dass das Problem erhebliche Änderungen erfordert und dass sich der Fix nicht auf OS X 10.9.x und früher portieren lässt”.“
Nun: dieses (!) Fix lässt sich nicht auf frühere OS X portieren. Ja, und? Das bedeutete doch nicht, dass es kein anderes Fix geben wird? Eben zu OS X 10.9.x und früher passend. Zuerst mal auf das OS konzentrieren, das die meisten Anwender haben (Yosemite), danach die anderen.
Und wie Du gesehen hast, funktioniert das Fix ja noch nicht richtig, da ist noch was zu zu tun.
Also: wo steht, es würde kein Fix geben?
Bei WebView gab es echte Aussagen VON GOOGLE, dass das Thema erledigt ist. Und Du zitierst einen Entwickler, der mit Apple sprach? Eine offizielle Aussage klingt aber anders. ;-)
PS: auch wenn Du ‚verblendet‘ und solche komischen Worte schreibst, sind Deine Argumente nicht besser.
Fakt ist: auch heute hast Du Dich gleich mehrfach geirrt.
Noch einmal, Thema ist, dass 1% der Android user eine bösartige APP installiert haben. Was das mit webview zu tun hat, scheinst nur du zu wissen. Ich irre mich ab und zu, vielleicht auch öfter als mir lieb ist, aber es kann nicht jeder si unfehlbar sein wie du. Gott peerH. Viel Spaß, ab jetzt führst du diese Unterhaltung alleine fort. Ist ja Harry Niveau
Wenn man eine Neigung hat sich zu irren, sollte man eben besser nichts sagen. 1% aller Android Anwender habe Malware installiert. WebView ist eine Einladung für Kriminelle weitere Malware zu verbreiten. Wenn Du das nicht verstehen kannst/willst/darfst, kann ich Dir nicht helfen. Auch wenn Du nun das dritte Mal Käse geschrieben hast, ist es kein feiner Stil beleidigend zu werden. Dass ich keine Fehler mache, hab ich nicht behauptet. Und nein, ich bin nicht Gott. Du musst Dich nicht klein machen. ;-)
Na, es hätte mich ja nun jede andere Aussage dann doch gewundert: ein Google Entwickler bezeichnet Android als sicher. Quelle surprise! ;-)
Offensichtlich versucht Google das WebView Debakel schönzureden … alles nicht so schlimm, aber für die Kunden ist es dennoch mehr als ärgerlich.
Da du auch bei Apple Aussagen so kritisch bist, ist dieser Kommentar von dir sehr glaubwürdig =)
Apple hat mit WebView nichts zu tun, und ich wundere mich schon, dass Du Google in diesem Fall so konstant verteidigst. Dass wegen eines fehlenden Hotfixes 1 Milliarde Anwender mit einem unsicheren System leben müssen ist doch Mist. Man könnte es gar als eine „erzwungene“ Obsoleszenz bezeichnen, und wäre von der Wahrheit nicht weit entfernt.
Du scheint nicht zu verstehen. Das Update seitens Google ist da. Dir Hersteller sind gefragt. Aber du stichelst lieber gegen Google, deinen persönlichen Teufel.
http://www.zdnet.de/88232431/sicherheitsforscher-os-x-10-10-yosemite-enthaelt-weiterhin-rootpipe-luecke/
Das du hier nicht von gewollter Obsoleszenz schreibst? Ein Schelm wer böses dabei denkt…
Äh: nein, das ist ein Bug und wird bald geschlossen – was Google NICHT mit dem WebView Bug machen wird.
Und wir hatten das Thema schon: es gibt KEIN Bugfix für Androiden <4.4, sondern der Bug taucht auf 4.4 und jünger nicht mehr auf, weil die Komponente nicht benutzt wird.
Nach Deiner Logik wäre Windows 8 ein Bugfix für Windows 7? Das meinst Du doch nicht im Ernst. ;-)
Und es ändert ja nichts daran: selbst wenn Du das als ein 'bugfix' bezeichnest, haben 1 Milliarde Anwender weiterhin ein unsicheres Gerät, weil das Bugfix eben NICHT für 4.3 ist. Und Updates gibt es auch nicht.
Wie Du es auch drehst und wendest: die Weigerung von Google das Fix zu liefern endet in Unsicherheit, und die Hoffnung der Hersteller und Googles ist, dass der Kunde sein unsicheres Gerät gegen ein neues austauscht – erzwungene Obsoleszenz. q.e.d.
PS: Du warst schon mal gründlicher in Deiner Argumentation. Ein zeitweiser ungefixter Bug soll Obsoleszenz bedeuten? Dann wäre Windows zu 100% ‚Obsoleszenz-verdächtig. ;-)
http://www.zdnet.de/88232510/microsoft-liefert-weitere-34-patches/
Nur mal so für Dich: der zweite Patchday-Dienstag im April. :-]
Sorry, aber das ist Diskussion auf Kindergarten Niveau. Wenn Du nicht Schlimmeres hast … ;-)
Ich bin ganz sicher, die Mehrheit der Kunden von Android liest ZDNet und ähnliche IT-Magazine, sie sind deshalb sehr gut über diese ärgerliche Sache mit WebView informiert. ;)
Deshalb steigen die meisten Leute dann auch auf die sicheren Produkte der Firma Apple um. ;)
Denn da gibt es nie Sicherheitslücken und wer behauptet, dass dies so nicht stimmt, ist bestimmt ein bezahlter Schreiber von Google. ;)
Deine Polemik hilft den 1 Milliarde betroffener Android Anwender nicht weiter. Ein Bugfix würde das tun. Und Google interessiert sich dafür nicht, und erzählt lieber, wie sicher doch alles sei. Ist ja auch billiger. ;-)
Und die Android Smartphone Hersteller wollen lieber neue Geräte verkaufen, und freuen sich über diesen ‚Kaufanreiz‘.
So sähe erzwungene Obsoleszenz aus. Geplant ist sie ja bereits: zwei Jahre, und Tschüß.
Typisch PeerH, hier lässt er wieder Heater-Komentare los und NULL Kommentar zu: SSL-Lücke ermöglicht DoS-Angriffe auf iPhones und iPads UND Kritische HTTPS-Lücke betrifft 1500 iOS-Apps UND Sicherheitsforscher: OS X 10.10 Yosemite enthält weiterhin Rootpipe-Lücke. Nach meiner Ansicht ist PeerH Mitarbeiter von Apple. Er verhält sich so wie es Apple seinen Mitarbeiter vorschreibt: Eigene Probleme totgeschwiegen oder verharmlost.
Ach wo, ich bin kein Mitarbeiter von Apple. Ich nutze gerne Apple Geräte. Und ich mag Google nicht, weil sie einfach viel schnüffeln, unsere Grundrechte aushöhlen – und dann auch noch so was wie geplante Obsoleszenz zum Geschäftsprinzip erhoben haben. Das sind doch plausible Gründe, und alle drei stimmen von vorne bis hinten.
Ansonsten: alte Strategie – wenn man nix zum Thema schreiben kann, ablenken und den anderen angreifen. Nur: die Argumente (siehe oben) werden dadurch nicht weniger schlüssig. ;-)