Bedienungshilfen sind für Nutzer unverzichtbar; die Gefahr entsteht durch unbegründet gewährten Zugriff und dessen Missbrauch.
Schadsoftware muss nicht immer die Nachrichtenverschlüsselung brechen. Erhält sie Zugriff auf Daten, die das Gerät zur Anzeige oder Eingabe verarbeitet, kann sie Inhalte möglicherweise vor der Verschlüsselung oder nach der Entschlüsselung sehen. Der Missbrauch von Bedienungshilfen und Overlay-Fenster sind zwei Beispiele, funktionieren aber nicht auf dieselbe Weise.
Auch ist nicht jede App mit Accessibility-Zugriff oder einem schwebenden Fenster Schadsoftware. Screenreader und unterstützende Werkzeuge sind für viele Nutzer unverzichtbar. Ziel sind bewusste Zugriffsentscheidungen und weniger Missbrauch, nicht die Abschaffung der Barrierefreiheit.
Drei Bedrohungen, die wir nicht verwechseln sollten
| Methode | Was tut der Angreifer? | Was sollte man nicht annehmen? |
|---|---|---|
| Gefälschtes Fenster oder Formular | Verleitet den Nutzer zur Dateneingabe in eine Oberfläche, die der Original-App ähnelt | Nicht jedes Overlay liest automatisch den Text des darunterliegenden Fensters |
| Tapjacking | Täuscht den Nutzer, sodass er ein anderes Bedienelement berührt | Eine transparente Ebene bedeutet nicht, dass alle Tasteneingaben erfasst werden |
| Missbrauch eines Accessibility-Dienstes | Nutzt die erlaubten Fähigkeiten des Dienstes zur Beobachtung oder Ausführung von Aktionen | Der Zugriff auf alle Ansichten ist nicht in jeder Version gleich |
Der offizielle Tapjacking-Leitfaden unterscheidet zwischen vollständiger und teilweiser Verdeckung der Oberfläche. Fenstertyp, Android-Version und App-Einstellungen beeinflussen das Ergebnis.
Wie kann Accessibility sensible Daten erreichen?
Ein Bedienungshilfedienst kann im Rahmen seiner Fähigkeiten Informationen aus der Oberfläche empfangen oder Aktionen für den Nutzer ausführen. Ein bösartiger Dienst kann genau diese Möglichkeiten missbrauchen. Ihn für eine App ohne klaren Grund zu aktivieren ist daher keine belanglose Entscheidung.
Die Behauptung „Jeder Dienst kann den gesamten Text jeder App lesen“ ist jedoch zu absolut. Der Aufbau der Ansichten, die Bereitstellung der Daten und Beschränkungen des Betriebssystems sind wichtig. Android bietet für sensible Ansichten Funktionen wie accessibilityDataSensitive; ihre Verwendung und ihr Verhalten müssen auf der Zielversion getestet werden. Googles Erläuterung zum Schutz von Daten vor bösartigen Diensten.
Was leistet FLAG_SECURE und was nicht?
FLAG_SECURE dient dazu, Screenshots und die Anzeige von Inhalten auf nicht sicheren Ausgaben einzuschränken. Dieses Flag allein kontrolliert weder die Accessibility-Schnittstelle noch gefälschte Formulare oder sämtliche Wege zur Textextraktion. Das Fotografieren des Bildschirms mit einem anderen Gerät ist ebenfalls ein separates Problem.
Android stellt Apps weitere Werkzeuge wie HIDE_OVERLAY_WINDOWS zur Verfügung, um Overlay-Fenster zu reduzieren. Keines davon sollte ohne Prüfung der Kompatibilität, der Versionsbeschränkungen und der Auswirkungen auf Nutzer mit Bedarf an Bedienungshilfen als „Anti-Spionage-Knopf“ dargestellt werden. Leitfaden zum Schutz sensibler Aktivitäten.
Checkliste für Nutzer zur Prüfung von Zugriffsrechten
- Prüfen Sie in den Geräteeinstellungen getrennt die Apps mit Bedienungshilfen, Anzeige über anderen Apps und Benachrichtigungszugriff. Die Bezeichnungen der Einstellungspfade unterscheiden sich je nach Hersteller und Version.
- Fragen Sie bei jedem Eintrag, welche konkrete Funktion diesen Zugriff benötigt. Der Zugriff eines vertrauenswürdigen Screenreaders ist nicht mit dem einer unbekannten Taschenlampen-App gleichzusetzen.
- Betrachten Sie eine dringende Aufforderung zur Zugriffsaktivierung nach Installation einer unbekannten Datei als Anlass zur genaueren Prüfung; allein die Berechtigungsanfrage beweist keine Schadsoftware.
- Geben Sie keine sensiblen Informationen ein, wenn ein Anmeldebildschirm verdächtig aussieht. Öffnen Sie die App auf Ihrem gewohnten Weg und prüfen Sie die Adresse oder Installationsquelle.
- Testen Sie nach dem Entzug unnötiger Zugriffsrechte die benötigten unterstützenden Werkzeuge. Sicherheit darf das Gerät für seinen Besitzer nicht unbrauchbar machen.
Vermuten Sie, dass Ihr Passwort oder Ihre Sitzung bereits offengelegt wurde, genügt der Entzug einer Berechtigung nicht. Prüfen Sie von einem vertrauenswürdigen Gerät aus aktive Sitzungen und Wiederherstellungsmöglichkeiten für das Konto und ändern Sie gefährdete Passwörter.
Was sollten Entwickler testen?
Bewerten Sie Anmeldeseiten, Aktionsbestätigungen und Anzeigen sensibler Informationen getrennt. Testen Sie verdeckte Berührungen und teilweise Verdeckungen; ein Screenshot-Test allein reicht nicht. Prüfen Sie anschließend denselben Ablauf mit einem echten Screenreader und unterstützenden Werkzeug, damit die Sicherheitsmaßnahme den berechtigten Zugriff nicht beeinträchtigt.
Halten Sie im Testbericht die Android- und App-Version, die Art des Dienstes, die Berechtigungen und die tatsächlich sichtbaren Daten fest. Aus einem begrenzten Test lassen sich keine Aussagen über alle Geräte ableiten.
Die Grenze der Messenger-Verschlüsselung
Livaras Bedrohungsmodell nimmt infizierte oder entsperrte Geräte von der Garantie des Inhaltsschutzes aus. Ein Algorithmusname oder ein Post-Quanten-Schlüsselaustausch schützt deshalb nicht vor sämtlichen Missbrauchsformen der Benutzeroberfläche. Betrachten Sie den Schutz des Nachrichtenwegs, die Geräteintegrität und die Berechtigungskontrolle als drei getrennte Prüfungen.
