Schattenblick →INFOPOOL →NATURWISSENSCHAFTEN → TECHNIK

INFORMATIONSTECHNOLOGIE/931: Gratis-Apps mit Folgekosten (RUBIN)


RUBIN - Wissenschaftsmagazin, Frühjahr 2014
Ruhr-Universität Bochum

RUB-Forscher entwickeln Tools für mehr Sicherheit beim Smartphone-Betrieb
Gratis-Apps mit Folgekosten

Von Dr. Julia Weiler



Das Smartphone nicht nur zum Telefonieren und Surfen, sondern auch als Taschenlampe nutzen. Das ist leicht gemacht! Einfach eine App installieren, mit der sich die LED des Geräts an- und ausschalten lässt. Was viele Nutzer übersehen: Nicht selten fordern Apps Rechte, die sie für ihre Funktion gar nicht benötigen. So kann die Taschenlampe plötzlich auf das Adressbuch zugreifen und kostenpflichtige SMS verschicken - ein Sicherheitsrisiko und auf Dauer teuer. Die Emmy Noether-Gruppe für Langzeitsicherheit arbeitet an Lösungen für solche Gefahren.


Wie bei Desktopcomputern gibt es auch bei Smartphones eine Reihe von Sicherheitslücken, durch die sich Kriminelle Zugang zu den Geräten verschaffen können. Dr. Christopher Wolf (Abb. 2), Leiter der Emmy Noether-Gruppe für Langzeitsicherheit, erforscht die Schwachstellen des Android-Betriebssystems und entwickelt Tools, mit denen Nutzer Sicherheitsrisiken ausfindig machen können. Dabei legt sein Team großen Wert darauf, dass die Lösungen leicht zu bedienen sind. "Es hat sich nämlich gezeigt, dass ein Nutzer komplex wirkende Sicherheitsmaßnahmen eher deaktiviert, als sich damit zu beschäftigen", sagt Wolf.

Mit seiner Gruppe entwickelte er den "Permission Watcher", eine Anwendung, die alle auf einem Smartphone installierten Apps auf potenzielle Sicherheitsrisiken checkt (Abb. 3). Die IT-Forscher stellten rund 20 Regelsätze auf, nach denen sich das Gefahrenpotenzial einer Anwendung abschätzen lässt. "Generell problematisch ist es etwa, wenn eine App kostenpflichtige Dienste aktivieren, zum Beispiel 0190er-Nummern anrufen kann", erklärt Christopher Wolf. Auch Zugriff auf das Adressbuch oder den genauen Standort benötigen die wenigsten Apps für ihre Funktion. Wozu also diese Rechte? "Eine Taschenlampen-App, die sich über Werbung finanziert und den genauen Standort des Nutzers kennt, kann viel Werbung zu deutlich höheren Preisen verkaufen. Sie sagt zum Beispiel: Da vorne ist ein Restaurant, willst du da nicht hin?", veranschaulicht Wolf. "Oder eine App erntet einfach das gesamte Adressbuch und verkauft die persönlichen Daten."

Nicht immer steckt hinter den unnötig eingeholten Rechten jedoch kriminelle Energie. Manche Programmierer machen sich einfach nicht die Mühe, die Standardeinstellungen für die eingeforderten Rechte abzuändern. Welche Intentionen ein App-Entwickler hat, weiß der Nutzer aber nicht. Daher rät Christopher Wolf generell zur Vorsicht.

Wer den "Permission Watcher" ausführt, erhält eine Liste aller installierten Apps nach Gefahrenpotenzial sortiert. Bei den ersten 100 Anwendern des Tools sammelte Wolfs Team Informationen darüber, welche Funktionen des "Permission Watcher" hilfreich waren und welche nicht - natürlich mit dem Einverständnis der Nutzer. Das Fazit: "Wir haben es eindeutig übertrieben. Wir hatten den Leuten die Möglichkeit gegeben, Schritt für Schritt zu verfolgen, wie die App arbeitet. Kein Mensch hat darauf geschaut!" Stattdessen interessierten sich die User nur dafür, ob der "Permission Watcher" nach der Analyse einen traurigen oder fröhlichen Smiley ausgab. Der traurige Smiley bewegte zehn Prozent der Anwender, potenziell gefährliche Apps zu deinstallieren. "Das ist im Bereich Usability Engineering viel", weiß Christopher Wolf. "Denn normalerweise deinstalliert der Nutzer eher das Programm, das ihm sagt 'Du machst etwas falsch', als das zu tun, was das Programm sagt." Empfiehlt der Virenscanner etwa, ein potenziell gefährliches Programm zu deinstallieren, schalten viele Nutzer lieber den Virenscanner aus.

Das Smartphone gegen Sicherheitslücken in den Apps zu schützen ist allerdings nur ein wichtiger Aspekt. Nutzer sollten auch darauf achten, das Gerät ausreichend zu sperren, falls es einmal verloren geht oder gestohlen wird. Die Arbeitsgruppe Langzeitsicherheit hat getestet, wie sehr man sich auf den sogenannten Pattern Login verlassen kann (Abb. 4). Android-Nutzer können ihr Gerät nicht nur über eine PIN vor ungewollten Zugriffen schützen, sondern den Bildschirm auch mit einem Muster sperren, das sie auf einem Neun-Felder-Quadrat eingeben.

"Es gab den Verdacht, dass der Pattern Login nicht ganz so sicher ist, wie man sich das wünschen würde", sagt Wolf. Und so ist es auch. Die Bochumer IT-Forscher sammelten Daten von 584 Android-Nutzern in der Mensa der Ruhr-Universität. Sie teilten die Teilnehmer in "Angreifer" und "Verteidiger" ein. Verteidiger hatten die Aufgabe, sich ein möglichst sicheres Login-Muster auszudenken. Hatten sie ihr Muster gewählt, gingen sie essen. Anschließend konnten sie sich bei den IT-Forschern einen Nachtisch abholen - aber nur, wenn ihr Muster in der Zwischenzeit nicht geknackt wurde. Angreifer hatten fünf Versuche, die Muster ihrer Gegenspieler zu erraten. Gelang ihnen das, bekamen sie den Nachtisch, und der Verteidiger ging leer aus.

So motivierten die Wissenschaftler die Verteidiger, sich ein möglichst schwer zu erratendes Muster auszudenken. Und trotzdem: "Der Pattern Login ist etwa so sicher wie eine dreistellige PIN. Das ist okay, aber nicht so toll", fasst Wolf zusammen. Viele Muster tauchten häufig auf, vor allem solche, die nur am Rande des Dreimal-drei-Felder-Quadrats verlaufen und zum Beispiel eine L-Form ergeben. Nur wenige Leute nutzten den Mittelpunkt. Einige Felder waren besonders beliebt, zum Beispiel der Startpunkt links oben (Abb. 5).

Die Studie "beschönigte" die Ergebnisse sogar noch. Durch das Versuchsdesign waren die Verteidiger motiviert, sich ein möglichst sicheres Muster auszudenken. Eine Umfrage unter 100 Studierenden der Ruhr-Universität ergab, dass die tatsächlich im Alltag genutzten Login-Muster um ein bis zwei Schritte kürzer sind als jene, die sich die Studienteilnehmer in der Mensa ausdachten.

Wolfs Team testete auch, ob die Sicherheit steigt, wenn die Felder nicht in dem üblichen Drei-mal-drei-Felder-Quadrat angeordnet sind, sondern zum Beispiel in Kreisform oder randomisiert (Abb. 5). Nur die Kreisform brachte einen Vorteil. Noch besser wäre es laut dem Bochumer Wissenschaftler, wenn jeder Nutzer sich die Felder für den Pattern Login so zurecht schieben könnte, wie er möchte. Dann würden manche ein Quadrat nutzen, andere ein Rechteck oder einen Kreis, wieder andere ein randomisiertes Muster. Damit würde die Anzahl möglicher Login-Muster um ein Vielfaches steigen. Aber auch dann bliebe ein Problem, das im Fachjargon als "Smudger Tag" bezeichnet wird. In der Regel kann man auf dem Display die Fingerspuren des Nutzers sehen und somit auf das Login-Muster schließen. Besser wäre es also noch, wenn ein Nutzer eine Reihenfolge von Symbolen berühren müsste, um sein Handy zu entsperren, etwa blaues Quadrat, rotes Rechteck, grüner Kreis. Die Symbole könnten bei jedem Entsperrversuch an anderen Stellen auf dem Display erscheinen, sodass die Fingerspuren keine Rückschlüsse auf das Login-Muster zuließen.

Genau wie bei Desktoprechnern lässt sich auch bei Smartphones keine absolute Sicherheit gewährleisten. Umso wichtiger ist es also, dass der Nutzer mitdenkt und kritisch hinterfragt, was auf dem Gerät passiert.



info

Wie das Smartphone seinen Nutzer erkennt

Um Smartphones zum Beispiel für den Fall eines Diebstahls zu schützen, testete das Team um Christopher Wolf, ob ein Handy seinen Besitzer erkennen kann. Beim Schreiben auf dem Smartphone hat jeder Mensch einen leicht anderen Rhythmus, tippt mit unterschiedlichen und unterschiedlich vielen Fingern und hält das Telefon auf eine bestimmte Art und Weise. Kann das Smartphone anhand dieser Eigenschaften erkennen, ob gerade der übliche Nutzer oder eine fremde Person das Gerät bedient? Die Bochumer IT-Forscher bestimmten 1.000 Eigenschaften, anhand derer sich ein Smartphone-Nutzer beschreiben lässt, zum Beispiel die Tippgeschwindigkeit für bestimmte Buchstabenkombinationen, den Druck aufs Display, den Winkel, in dem er das Gerät hält. Die Sensoren dafür sind in jedem Smartphone bereits enthalten. Das Ergebnis: 80 Prozent der Nutzer lassen sich anhand dieser Eigenschaften eindeutig identifizieren. Die restlichen 20 Prozent jedoch nicht. Das reicht nicht, lautete das Fazit der Forscher. Denn wenn man mit der Methode wirklich das Handy vor unerlaubten Zugriffen schützen wolle, müsse die Erkennungsquote nah an 100 Prozent reichen. Sonst würde das Prinzip für einen zu großen Teil der potenziellen Nutzer nicht funktionieren und sich daher nicht allgemein durchsetzen.


Bildunterschriften der im Schattenblick nicht veröffentlichten Abbildungen der Originalpublikation:

Abb. 1: Gratis-Apps können zur Kostenfalle werden, wenn Programmierer sich durch sie Zugriff auf das Smartphone verschaffen.

Abb. 2: Dr. Christopher Wolf erforscht mit seinem Team Sicherheitsrisiken der Smartphone-Technologie.

Abb. 3: Das kostenlose Tool "Permission Watcher" detektiert Apps, die ein Sicherheitsrisiko darstellen. Inzwischen ist es über 10.000-mal im "Google Play Store" heruntergeladen worden.

Abb. 4: Pattern Login: Statt PIN können Android-Nutzer ihr Handy auch mit einem Muster entsperren.

Abb. 5a: Beim herkömmlichen Drei-mal-drei-FelderQuadrat für den Pattern Login wählen 43 Prozent der Nutzer das Feld oben links als Startpunkt für ihr Login-Muster.

Abb. 5b: Bei einer randomisierten Anordnung kristallisiert sich kein so deutlicher Startpunkt heraus. Problem hier: Die Nutzer können sich ihr Muster nicht merken.

Abb. 5c: Bei der Kreisanordnung kann man von jedem Feld alle anderen Felder direkt erreichen. Die Nutzer wählen viermal so viele verschiedene Login-Muster wie bei anderen Anordnungen.


Den Artikel mit Bildern finden Sie unter:
www.rub.de/de/gratis-apps-mit-folgekosten

*

Quelle:
RUBIN - Wissenschaftsmagazin, Frühjahr 2014, S. 22 - 25
Herausgeber: Rektorat der Ruhr-Universität Bochum
in Verbindung mit dem Dezernat Hochschulkommunikation
(Abteilung Wissenschaftskommunikation) der Ruhr-Universität Bochum
Anschrift: Dezernat Hochschulkommunikation,
Abteilung Wissenschaftskommunikation
Ruhr-Universität Bochum, 44780 Bochum
Telefon: 0234/32-25528, Fax: 0234/32-14136
E-Mail: rubin@rub.de
Internet: www.rub.de/rubin
 
RUBIN erscheint zweimal im Jahr.
Das Einzelheft kostet 4,00 Euro.
Jahresabonnement (zwei Hefte inkl. Porto/Jahr): 7 Euro.


veröffentlicht im Schattenblick zum 17. Mai 2014