Android-Update: Könnte sich eine neue Funktion zum automatischen Ausfüllen auf die Sicherheit der Benutzer auswirken?

Andreas Gutmann, 17. September 2019
Android Update: Could New Auto-fill Functionality Impact Users' Security?

Google bereitet neue Funktionen für Android vor, mit denen Apps Sicherheitscodes aus SMS abrufen und automatisch ausfüllen können. Im vergangenen Jahr hat Apple eine ähnliche Funktion wie iOS und macOS eingeführt, für die wir Sicherheitsrisiken für Online-Banking, Zwei-Faktor-Authentifizierung (2FA) und andere Dienste entdeckt haben. In diesem Beitrag analysieren wir, was wir bisher über die Google-Version wissen.

Die neueste Entwickler-Beta von Google Play Services (Beta 18.7.13) enthält Codefragmente, die eine neue Android-Berechtigung zum automatischen Abrufen von Bestätigungscodes aus Textnachrichten enthalten. Diese Funktion wurde noch nicht vollständig implementiert, aber der verfügbare Code ermöglicht eine Analyse und frühzeitige Bewertung möglicher Sicherheitsrisiken. Wir haben daher eine vorläufige Analyse durchgeführt, um dies zu identifizieren ähnlich Risiken Wie wir 2018 für die Funktion zum automatischen Ausfüllen des Sicherheitscodes in iOS und macOS demonstriert haben.

Hintergrund

Offenbar bereitet Google ein Update für das 2017 mit Android 8.0 eingeführte „Autofill Framework“ vor, das die neuen Funktionen enthält. Bisher bestand der einzige Zweck dieses Frameworks darin, die Funktion zum automatischen Ausfüllen von Kennwortmanagern in Android-Apps und Websites zu unterstützen. Die Codefragmente dieser neuen Funktion enthalten die Namen und Beschreibungen der zugehörigen Systemeinstellungen und der entsprechenden Laufzeitberechtigungsanforderungen (siehe unten).

SMS-Code Automatisch ausfüllen
Die wahrscheinliche Benutzeroberfläche der neuen Einstellung in Android zum Aktivieren / Deaktivieren des automatischen Ausfüllens von SMS-Code (Quelle: xda-developers.com ).
Die wahrscheinliche Benutzeroberfläche der neuen Laufzeitberechtigungsanforderung in Android (um den Zugriff einer Anwendung auf die Funktion zum automatischen Ausfüllen des SMS-Codes zu verweigern oder zuzulassen).

Mit dem Autofill Framework für Passwörter von Android können Apps und Websites selbst deklarieren, ob und wo sie die Funktion zum automatischen Ausfüllen von Passwörtern aktivieren möchten, z. B. mithilfe von android: autofillHints = "password" und android: importantForAutofill = "yes". Das Bild unten zeigt die Benutzeroberfläche von Android-Vorschlägen zum automatischen Ausfüllen von Passwörtern. Wir können davon ausgehen, dass die Vorschläge zum automatischen Ausfüllen von SMS-Sicherheitscodes ähnlich aussehen.

Probe automatisch ausfüllen
Aktuelle Benutzeroberfläche des Autofill Framework von Android mit Anzeige der verfügbaren Benutzeranmeldeinformationen. Wenn der Benutzer auf "Datensatz-2" tippt, werden dieser Benutzername und das entsprechende Passwort in die App oder Website eingefügt (Quelle: Android Open Source Projekt ).

Das Risiko des automatischen Ausfüllens von Sicherheitscodes

Das automatische Ausfüllen des SMS-Codes wird mit dem Autofill-Framework von Android verknüpft, mit dem Apps und Websites bestimmen können, ob und wo Vorschläge zum automatischen Ausfüllen gemacht werden sollen. Wir kennen derzeit nicht alle Details des bevorstehenden automatischen Ausfüllens von SMS-Code in Android und können nur einen Workflow neu erstellen, der auf den verfügbaren Codefragmenten und der aktuellen Implementierung des automatischen Ausfüllens von Passwörtern basiert.

Es ist jedoch noch früh - und wie in jedem Entwicklungszyklus können sich viele Dinge ändern. In diesem Sinne haben wir unseren Kontakten bei Google eine Empfehlung gegeben, um zu verhindern, dass Android-Benutzer Sicherheitsrisiken ausgesetzt werden, die denen ähneln, die wir zuvor für die Funktion zum automatischen Ausfüllen des Sicherheitscodes in iOS und macOS entdeckt haben. Wir empfehlen, Apps und Websites nicht die Kontrolle darüber zu geben, ob ihren Benutzern vorgeschlagen werden soll, Sicherheitscodes automatisch in ein bestimmtes Formularfeld einzufügen. Dafür gibt es zwei Gründe:

  1. Stellen Sie sich zunächst einen Angreifer vor, der Android so manipuliert, dass er vorschlägt, einen Sicherheitscode auf einer anderen Webseite automatisch auszufüllen, als dort, wo der Code vorgesehen ist. Ein solcher Angriffsvektor könnte zum Phishing von 2FA-Sicherheitscodes verwendet werden. Diese Codes werden häufig zum Sichern von Online-Konten verwendet, einschließlich E-Mail und Banking.
  2. Zweitens betrachten Sie ein Transaktionsautorisierungsszenario. In einem solchen Szenario enthält die an den Benutzer gesendete SMS Kontextinformationen (z. B. den Betrag, der bei einer Online-Zahlung überwiesen wird), die der Benutzer überprüfen muss, bevor er den Sicherheitscode angibt. Wenn der Vorschlag zum automatischen Ausfüllen diese wichtigen Kontextinformationen bei der Präsentation des Codes entfernt, wird der Benutzer effektiv aufgefordert, den Code automatisch auszufüllen, ohne zuvor die Richtigkeit dieser Kontextinformationen zu überprüfen. Eine solche „Codeblindheit“ könnte Man-in-the-Middle- und Man-in-the-Browser-Angriffe erleichtern.

Das automatische Einfügen von Sicherheitscodes aus SMS in das vorgesehene Zielformularfeld würde die Benutzerfreundlichkeit erheblich verbessern. Benutzer müssen keine Apps mehr wechseln, um auf Sicherheitscodes in ihrer SMS-Anwendung zuzugreifen, diese zu kopieren oder zu speichern. Anschließend wechseln sie zurück zur vorgesehenen Ziel-App oder Webseite und zitieren den Sicherheitscode. Damit das automatische Ausfüllen sicher ist, muss das Einfügen in die vorgesehene App oder Webseite erfolgen, und der Empfänger muss die Möglichkeit haben, wichtige Kontextinformationen im Voraus zu lesen und zu überprüfen.
Wir freuen uns auf die Entwicklungen bei Google und das Endergebnis.   

Erfahren Sie, wie Sie mit App-Abschirmung Betrug reduzieren, Geld sparen und Ihren Umsatz schützen können

Erfahren Sie, wie Sie mit App-Abschirmung Betrug reduzieren, Geld sparen und Ihren Umsatz schützen können

Setzen Sie sich für eine höhere Sicherheit mobiler Apps ein und erfahren Sie, wieso die Abschirmung von Apps mit Runtime-Protection vor dem Hintergrund der aktuellen Bedrohungen für Mobilgeräte besonders wertvoll ist.
 

Whitepaper herunterladen

Dieser Artikel, der ursprünglich am 6. August 2019 veröffentlicht wurde, erschien erstmals am Benthams Blick .

Andreas ist Forscher am OneSpan Cambridge Innovation Center und arbeitet an der Schnittstelle von FinTech mit Benutzerfreundlichkeit, Sicherheit und Datenschutz. Er ist Marie Skłodowska-Curie Actions Fellow der Europäischen Kommission und promoviert derzeit am University College London.