Aktuell besondere Vorsicht bei der manuellen Installation von Paketen geboten - Google schließt Bug mit Dezember-Update

Eine Android-Lücke ermöglicht es, die Signatur von APK-Dateien zu manipulieren, warnt der Sicherheitsdienstleister Guardsquare. Damit könnten Angreifer mit Schadsoftware verseuchte Versionen populärer Apps erstellen, die dann vom System fälschlicherweise als authentische Updates akzeptiert werden. Infolge können dann all die bereits für diese App vergebenen Berechtigungen für die Zwecke der Angreifer missbraucht werden.

Die Relevanz der Lücke bezieht sich also ganz auf manuelle Updates für bestehende Apps. In solchen Fällen soll die digitale Signatur eigentlich sicherstellen, dass nur genuine Aktualisierungen durch den jeweiligen Hersteller eingespielt werden können - und zwar egal aus welcher Quelle. Vor frischen Installationen bisher nicht am Smartphone befindlicher Apps kann dies natürlich ohnehin nicht schützen - hier bleibt nur das Vertrauen auf die jeweilige Quelle - und die Virenscanner von Google, die bei jeder Installation anschlagen.