RAMpage: Neue Android-Lücke irrelevant

Die von Sicherheitsforschern mehrere Universitäten entdeckte Schwachstelle RAMpage, die angeblich sämtliche Android-Smartphones seit 2012 betrifft, ist nach Ansicht von Google irrelevant. Die von den Forschern beschriebenen Methoden erkennt Google zwar als “theoretischen Beweis” an, praktisch sei die Verwundbarkeit für die überwiegende Mehrheit von Android-Nutzern jedoch kein Problem. Meldungen wie “Forscher knacken alle Android-Geräte der letzten sechs Jahre” sind daher stark übertrieben.

Auf einer speziellen Webseite und in einem Whitepaper haben die Forscher von verschiedenen Universitäten die Sicherheitslücke beschrieben. Demnach durchbricht RAMpage die grundlegende Isolation zwischen Benutzeranwendungen und Betriebssystem. Während es Anwendungen normalerweise nicht erlaubt ist, Daten von anderen Anwendungen zu lesen, kann ein bösartiges Programm einen RAMpage-Exploit erstellen, um administrative Kontrolle zu erlangen und und die vollständige Kontrolle des Geräts übernehmen.

Dabei bedienen sich dir Forsceiner bereits 2016 mit Rowhammer beschriebenen Methode. Darunter verbirgt sich ein Konstruktionsfehler in Speicherbausteinen, der dazu führt, dass sich Bits im Arbeitsspeicher (RAM) ohne Schreibzugriff verändern lassen. Als Folge lassen sich unter anderem Sicherheitsvorkehrungen umgehen.

RAMpage: Welche Geräte sind betroffen

Laut den Forschern sind von der Lücke nicht nur Android-basierte Geräte betroffen. Angeblich konnten sie den Exploit auf einem LG G4 nachweisen. “Technisch gesehen sei jedoch jedes mobile Gerät, das mit LPDDR2-, LPDDR3- oder LPDDR4-Speicher ausgeliefert wird, potentiell betroffen, was praktisch jedes Mobiltelefon seit 2012 ist. Derzeit ist unklar, ob auch Desktop-Betriebssysteme betroffen sind, aber das scheint sehr wahrscheinlich.”

Obwohl die RAMpage-Webseite hinsichtlich Design dem Informationsangebot zu Spectre/Meltdown ähnelt, stellen die Forscher klar, dass RAMpage “nicht einmal annähernd der nächste Spectre ist”. Zudem sind die Forscher unsicher, was die tatsächliche Anzahl der betroffenen Geräte anbelangt. “Es ist derzeit unklar, wie weit verbreitet der Rowhammer-Bug (der Hardware-Fehler, den Rampage-Exploits verursachen) ist. Indem wir mehr Leute dazu bringen, unsere aktualisierte Drammer-Test-App auszuführen, hoffen wir, ein besseres Verständnis für dieses Problem zu bekommen, was uns erlaubt, Entscheidungen darüber zu treffen, wie wir weiter vorankommen können (d.h. sollten wir weiterhin nach Abwehrmaßnahmen suchen oder ist dies ein bereits gelöstes Problem?

Drammer-App gibt Auskunft über RAMpage-Exploit

Mit der Drammer-App stellen die Forscher ein Tool zur Verfügung, das die Anfälligkeit des Android-Smartphones hinsichtlich RAMpage überprüft. ZDNet.de hat die App mehrmals mit unterschiedlichen Einstellungen auf den Smartphones BlackBerry Key2, Galaxy S7, Galaxy Note 8, Galaxy S9+, Mi MIX 2, MI MIX 2S, OnePlus 5T und Redmi Note 5 überprüft. Keines dieser mit relativ aktuellen Android-Sicherheitspatches ausgestatteten Geräten war laut Drammer von der RAMpage-Schwachstelle betroffen. Auch das etwas ältere Sony Xperia Z1 Compact mit Android-Sicherheitspatchlevel vom 1. Mai 2016 ist laut App der Sicherheitsforscher immun gegenüber der RAMpage-Lücke.

Laut der App-Beschreibung könnten die betroffenen Geräte dennoch von der RAMpage-Lücke betroffen sein. Einmal läge dies an den Limitierungen der App und zudem können die DRAM-Geometrie auf dem getesteten Smartphone so unterschiedlich sein, dass die App bei der Auswahl von Adressen für doppelseitige Rowhammer völlig versagt. Außerdem könne es passieren, dass die App nur einen sehr kleinen Teil des Speichers testet.

RAMpage-Angriffe unwahrscheinlich: Android-Sicherheitsarchitektur schützt

Nach diesen Tests zu urteilen, ist praktisch also nur ein kleiner Teil, wenn überhaupt, von der RAMpage-Problematik betroffen. Google ist nicht bekannt, dass die Lücke derzeit aktiv ausgenutzt wird. Es ist auch eher unwahrscheinlich, dass dies geschieht. Nach Ansicht des bekannten deutschen IT-Sicherheitsspezialisten Karsten Nohl schlampen zwar einige Smartphonehersteller bei der Integration der von Google monatlich veröffentlichen Sicherheitspatches. Allerdings reichen ein paar vergessene Sicherheitspatches nicht aus, um ein Android-Smartphone zu kompromittieren: Trotz fehlender Updates sei es für Angreifer nach wie vor schwierig, so Nohl in einem Interview mit Spiegel Online, einen Angriff auf ein Android-Gerät auszuführen, was mit der hohen Komplexität und Sicherheitsmechanismen des Betriebssystems zusammenhängt.

„Moderne Betriebssysteme beinhalten verschiedene Sicherheitsbarrieren, wie ASLR und Sandboxing, die allesamt typischerweise überwunden werden müssen, um ein Telefon remote zu hacken“, sagt Nohl. Daher reichten einige vergessene Patches in der Regel nicht aus, damit Hacker ein Gerät übernehmen können. „Für einen erfolgreichen Angriff müssen statt dessen mehrere Bugs zu einer Kette verknüpft werden. “Aufgrund dieser hohen Komplexität setzen die Kriminellen auf andere Methoden wie Social Engineering, um Anwendern bösartige Apps unterjubeln zu können. „Tatsächlich wurde im vergangenen Jahr kaum Hacking-Aktivität um Android herum festgestellt.“

Sicherheit: Android überholt iOS

Hinsichtlich der Sicherheit hat Android gegenüber iOS laut einer Untersuchung von Gartner in den letzten Jahren aufgeholt. Während bei den von Gartner überprüften 16 Geräte-Sicherheitsfunktionen Smartphones mit Android 7 und fünf „strong“-Bewertungen der iOS-Plattform noch unterlegen waren, erreichen Smartphones mit Android 8 11-mal die Bestnote und ziehen damit am iPhone vorbei. Am sichersten sind laut Gartner die Samsung-Smartphones mit Knox-Unterstützung. Sie werden in dreizehn Fällen mit „strong“ bewertet, während iOS 11 nur sieben Mal die Bestnote erhält. Auch im Unternehmensbereich führen Knox-Smartphones laut Gartner. Von den von Gartner überprüften zwölf Funktionen im Bereich „Corporate Managed-Security“ erreicht Samsung Knox zu 100 Prozent die Bewertung „strong“, während unter iOS 11 nur bei 5 von 12 Parametern mit „strong“ bewertet wird.

Tipp: Sind Sie ein Android-Kenner? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de