AppGuard: entzieht Apps Berechtigungen, aber…

5. Juli 2012 Kategorie: Android, Backup & Security, geschrieben von: caschy

Heute ein paar E-Mails bekommen, die die folgende App als Tipp vorschlugen. Vorab sei erwähnt: bislang nur Android 3.x oder höher, womit die meisten von euch, ganz im Stile von Hoecker, einfach mal raus wären. Denn nur knapp 13 Prozent aller Androiden verfügt über Android 3.x oder höher. Die von Informatikern der Universität des Saarlandes hervorgebrachte, kostenlose App namens AppGuard soll dafür sorgen, dass man Apps unter Android Berechtigungen entziehen kann.

Kleines Beispiel, ich mache es einfach: ihr habt die App “Zombies vs. Trolle” installiert. Ein Spiel. Doch dieses Spiel will Zugriff auf die Kontakte. Warum will es das? Das wisst ihr selber nicht und habt das Spiel trotzdem installiert. Nun könntet ihr AppGuard starten. Diese App analysiert nun “Zombies vs. Trolle” und lässt euch die Berechtigung entziehen. Soweit klar? Die Nutzung ist auch easy.

Wie geht AppGuard vor? AppGuard analysiert die App, deinstalliert und modifiziert – ihr bekommt die modifizierte App zur Installation angeboten, der ihr die Rechte entziehen könnt. Hört sich alles klasse an, doch ich habe da so ein bis zwei Bedenken – wenn ich komplett falsch liege, dann berichtigt mich:

1. die durch AppGuard modifizierte App ist nicht in der Lage, via des Herstellers, also auch via Google Play aktualisiert zu werden. Ihr müsstest die modifizierte App deinstallieren, die aktualisierte aus dem Store installieren und wiederholt mit dem AppGuard “rüber gehen”. Eventuell gespeicherte Spielstände? Dürften wohl weg sein.

2. Während in den Lizenzbedingungen von AppGuard folgendes zu lesen ist: “Der SRT AppGuard darf nicht vervielfältigt, weiter gegeben oder dekompiliert werden… sowie App-Guard ganz oder teilweise zu verändern”, geht man selber bei anderen Apps so vor:

Der “Der SRTAppGuard untersucht den Bytecode der App und identifiziert jene Instruktionen, die sicherheitsrelevante Funktionen der Android API aufrufen. An diesen Stellen fügt der SRT AppGuard zusätzlichen Programmcode ein, der den Zugriff auf diese sicherheitsrelevanten Funktionen protokolliert und kontrolliert”.

Man kann durch das Werkzeug also selber genau das machen, was die Macher bei ihrer eigenen App verbieten. Und ich behaupte auch mal, dass viele andere Entwickler ähnliche Texte in ihren Nutzungsbedingungen haben. Schaut euch das ruhig bei Interesse einmal selber an.

Mein Fazit dazu? Nutzt die App nicht, um vielleicht Werbung und ähnliches blocken zu wollen, sondern unterstützt den Entwickler durch Anklicken seiner Werbung oder dem Kaufen der App. Sollte eine App euch fragwürdig erscheinen oder zuviele Rechte fordern, so installiert die App einfach nicht, anders lernen es die Leute nicht. (danke Sven, Christian & Patrick, via Heise)


Vielen Dank für das Lesen dieses Blogs! Wenn ihr uns unterstützen wollt, dann schaut euch auch diese Advertorials an, die wir auf separaten Seiten geschaltet haben: Acer Iconia Tab 8 und HP Cashback Aktion. Danke, jeder Aufruf hilft uns.

Neueste Beiträge im Blog

Gefällt dir der Artikel?
Dann teile ihn mit deinen Freunden.
Nutze dafür einfach unsere Links:
Über den Autor: caschy

Hallo, ich bin Carsten! Dortmunder im Norden, Freund gepflegter Technik, BVB-Maniac und Gründer dieses Blogs. Auch zu finden bei Twitter, Google+, Facebook, XING, Linkedin und YouTube.

Carsten hat bereits 16880 Artikel geschrieben.


35 Kommentare

Georg 5. Juli 2012 um 18:43 Uhr

Also ich nutze für diesen Zweck seit langem LBE Security. Nicht um Werbung zu blocken, sondern weil die Freigabe mancher REchte gelegentlich unumgänglich ist. Ich kenne z.B. keinen Skype-Client der auf den Zugriff auf meine Kontakte verzichtet. Also: Möglichst vertrauenswürdige App ziehen und ihr die Rechte via LBE entziehen. ;)

Patrick 5. Juli 2012 um 18:45 Uhr

Das gleiche geht auch mit LBE Privacy Guard, nur das hier nicht die Apps verändert werden. Allerdings benötigt die App Root und lässt einen Service laufen, womit dann die Berechtigungen überprüft werden.
http://goo.gl/UEZC9

rowi 5. Juli 2012 um 18:45 Uhr

Auch wenn es überall so steht, das gibt es schon länger für Android, nur ohne frische Pressemitteilung. Der Privacy Blocker macht genau das gleiche und den gibt es seit (mindestens) Anfang 2011.
Kostet zwar 1,99$ läuft aber ab Android 2.0
https://play.google.com/store/apps/details?id=com.xeudoxus.privacy.blocker

MonztA 5. Juli 2012 um 18:45 Uhr

Erster Punkt stimmt so.

Georg 5. Juli 2012 um 19:12 Uhr

@rowi: LBE udn PDroid können das kostenlos, PDroid sogar ohne Root. ;)

julian 5. Juli 2012 um 19:21 Uhr

Zumindest bei mir scheint LBE und Jelly Bean keine gute Mischung zu sein. Werde mir mal die erwähnten Alternativen anschauen müssen.

scyb 5. Juli 2012 um 19:23 Uhr

@Georg:
Aus Play zu PDroid:
“ROOT is required to install. You will need to flash an (open-source) PDroid patch.”

Jörg 5. Juli 2012 um 19:35 Uhr

Als erstes OT.
Ich hatte irgendwie vergessen die Emailadresse einzutragen. Wurde nach Klick auf “Kommentar abschicken” darauf hingewiesen. Danach führte aber kein Weg mehr “zurück”. Mein geschriebener Text war weg :( Wird das nicht irgendwo gecached?

Zum Thema
Da fällt mir ein Spruch ein: “Hast ‘ne App… brauchst ‘ne App” :D
Auch wenn ich etwas altmodisch klingen mag. Aber dieser Hype mit den ganzen Apps nervt gewaltig.
Dem Endverbraucher werden Apps jenseits von Gut und Böse angeboten. Wie er dann aber mit seiner Akkulaufzeit klar kommt, das interessiert die wenigsten. Denn je mehr Apps man hat, umso mehr wollen auch “nach Hause telefonieren”, laufen im Hintergrund usw…. Ergo erhöhter Stromverbrauch.
Da lobe ich mein E52. An die Laufzeiten kommt keiner aus meinem Umfeld mit Smartphone heran.
Die Einzigsten Apps, die ich mir gegönnt habe sind:
Opera, Joikuspot und eine Wetterapp.
Und man mag es kaum glauben. Ich kann mit dem Gerät sogar telefonieren, SMS schreiben oder mal eben dienstplan.xls ansehen.

Grüße

Kizune 5. Juli 2012 um 19:42 Uhr

Jörg: @OT: Wenn du Firefox benutzt, dann kannst du die Erweiterung “Lazarus” benutzen. ;)

Jörg 5. Juli 2012 um 19:49 Uhr

Ich bin gerade auf Arbeit. Und da herrscht Allgemeine Ignoranz sowie Intolleranz in Sachen alternative Browser. Alles wegen verschiedenen und weniger informativen Intranetseiten.
Trotzdem danke für den Tipp. Werde ich daheim mal ausprobieren.

Und auch irgendwie untergegangen:

Danke an alle, hier aktiven, Blogbetreiber für die vielschichtigen Informationen. Das Thema zum neuen MacBook war z.B. eine Wohltat für’s Auge :)
Keine nackten Zahlen, sondern auch mal eine persönliche Meinung.
Macht weiter so.

rowi 5. Juli 2012 um 20:02 Uhr

@Georg: LBE muss als Dienst im Hintergrund laufen, das ist IMHO nur bedingt zuverlässig.

Für PDroid benötigst Du nicht nur root sondern auch noch einen Patch für dein ROM. Hat man das ist das bisher die Beste Lösung, da sie direkt im System verankert ist (über den Patch) und den Zugriff nicht nur abweist sondern auf Wunsch auch Fake Daten liefert. Viele Programme sind nicht darauf ausgelegt daß ein Aufruf abgelehnt wird und stürzen einfach ab.

andi 5. Juli 2012 um 20:49 Uhr

Zu deiner Frage, caschy:
Die Permissions werden in Android lediglich in einer XML-Datei gesetzt. Wenn AppGuard unsere App decompiled, die Permissions ändert, neu compiled und installiert, dürfte das der PlayStore beim Update eigtl. nicht merken. ABER: Die geupdatete Version hat wohl wieder alle Permissions.
Soweit meine Vermutung, ausprobieren kann ich es mangels >=3.x-Androids nicht…
Vielleicht weiß es ja jemand sicher oder probiert es einfach aus.

asdf 5. Juli 2012 um 21:18 Uhr

Danke für den Tipp. Ich habe vor einiger Zeit mal den Permission Remover (http://www.plop.at/de/android.html#permissionremover) ausprobiert, der ebenfalls verspricht, Apps Rechte zu entziehen. Hat bei mir allerdings nicht richtig funktioniert.

Tim 5. Juli 2012 um 21:26 Uhr

Hi Cashy!
Bisschen OT, aber wo wir gerade beim Thema Datenschutz sind: Hast du nicht mal Lust einen Beitrag zu schreiben, wie man seine Daten sicher und zuverlässig vor dem Verkauf vom Telefon löschen kann? :-)
Viele Grüße!

Robert 5. Juli 2012 um 21:32 Uhr

Für alle CM7-Nutzer: ist integriert :D
Für alle 4.0 und höher Nutzer: gibt’s das eine app die Funktioniert?
Bei CM9 gibt’s das Feature leider nicht mehr…

m3adow 5. Juli 2012 um 21:40 Uhr

Kann die App nicht empfehlen. Habe sie testweise auf einem Xoom mit Android 3.1 installiert und wollte – ebenfalls aus Testgründen – der GPS Tester App die Gps-Berechtigung nehmen. Hat das ganze System zum Einfrieren gebracht. Das konnte dann nur noch durch einen Forced Restart wieder zum Laufen gebracht werden.
Dann doch lieber PDroid.
@rowi:
Meines Wissens ist einer der Vorteile von PDroid, dass Apps eben nicht abstürzen, wenn man ihnen Rechte entzieht.

Mystery 5. Juli 2012 um 21:42 Uhr

@Cashy
Du hast ja auch schon LBE mal hier im Blog vorgestellt. Mich würde jetzt der Vergleich zwischen APPGuard,PDroid und LBE interessieren.
Noch hab ich ein altes Symbian (S60v5) Handy, erwarte aber mein erstes Android Handy in den nächsten Wochen.
Hab mich schon (teilweise mit der Hilfe deines Blogs) über alle Möglichen nützlichen Apps, Rooten und Custom Roms (inklusive Anleitung zur (unsichtbaren) Umkehrung (wegen Garantie)) informiert.
Im Grunde wird mein Handy, nur solange der Akku lädt, im original Zustand bleiben, ansonsten hab ich mir schon alles zukünftige zusammen gesammelt.
Ein Privacy Blocker ist für mich auf jeden Fall unabdingbar, doch sollte es von vorn herein der “beste” sein.

rowi 5. Juli 2012 um 22:03 Uhr

@andi ein direktes Update wird allerdings vermutlich nicht funktionieren weil das recompilat ja nicht mit dem Originalzertifikat des Entwicklers signiert werden kann. Habe es zwar nicht getestet, aber das dürfte sich nicht ohne weiteres umgehen lassen.

@m3adow ja, das ist einer der Vorteile von PDroid, dass die Programme halt fake-Daten bekommen und nicht einfach nur einen Fehler beim Funktionsaufruf. Der andere Vorteil ist dass es durch den Patch direkt ins System integriert ist und auch greift wenn andere Tools aus Speichermangel beendet wurden.

@Robert die Rechtekontrolle ist in CM7 integriert, blockiert aber nur den Aufruf. Viele Programme kommen aber nicht damit klar und stürzen ab. Fake Daten sind da besser.

mj084 6. Juli 2012 um 00:15 Uhr

Von PDroid hab ich noch gar nix gehört…hab bis jetzt immer LBE genutzt..lief auch auf dem Milestone 2 ganz gut, aber jetzt auf dem Droid4 mit nightly CM9 mag es net so recht…
Leider kann ich PDroid noch nich testen, da der Patcher meine CM9 Version noch nicht unterstützt….hört sich aber auf jeden Fall interessant an!

Markus 6. Juli 2012 um 00:17 Uhr

Also diese App wurde scheinbar aus Google Play entfernt, zumindest kommt bei mir eine Fehlermeldung: “Die angeforderte URL wurde auf diesem Server nicht gefunden.”
Und auf meinem Nexus S kann ich es im Store auch nicht finden… :(

beewhale 6. Juli 2012 um 07:01 Uhr

Ja, scheint aus dem market genommen worden zu sein.
Link funktioniert nicht mehr und lässt sich nicht mehr finden.

Hatte sie vorher an einer meiner Apps getestet, dann ein Update veröffentlicht, war auf dem Gerät dann nicht mehr möglich sie zu updaten, auf anderen ohne Probleme.

m3adow 6. Juli 2012 um 07:21 Uhr

@Mj084:
Es gibt einen Port für ICS: http://forum.xda-developers.com/showthread.php?t=1554960
Außerdem gibt es noch einen Autopatcher: http://forum.xda-developers.com/showthread.php?t=1719408 Den habe ich aber noch nicht getestet.

frank 6. Juli 2012 um 08:14 Uhr

Zitat “Sollte eine App euch fragwürdig erscheinen oder zuviele Rechte fordern, so installiert die App einfach nicht, anders lernen es die Leute nicht.”
Das Problem ist doch eher, dass ich als Normaluser, der schon daran scheitert sich die Rootrechte zu holen, gar nicht wirklich überprüfen kann, welche App was für Daten ausliest und nach Hause schickt. An der Stelle muss ich mich darauf verlassen, dass die Entwickler mit offenen Karten spielen. Und ganz ehrlich, sobald ich kostenlose Apps nutze kann ich doch fast davon ausgehen, dass im Gegenzug Daten abgefischt und ggf. “verwertet” werden. Denn aus purem Idealismus programmieren die wenigsten. OK, bei Bezahlapps habe ich auch keine Garantie, dass die Entwickler mit offenen Karten spielen.
BTW: Ich habe schon mehrere Apps deinstalliert, bzw. gar nicht erst installiert, die aus unerfindlichen Gründen Zugriff auf die Kontakte haben oder in der Chronik des Firefox lesen wollten.

matthias 6. Juli 2012 um 09:10 Uhr

werbung ist natuerlich was gutes fuer den. entwickler,aber generiert einen nicht kleinen anteil des trafffics. das ist aber nicht mein hauptproblem damit: wer wie ich schon einmal ueber werbebanner betruegerisch um knapp 50 eur gebracht wurde,der sieht das anders. leider laesst sich auch heute das wapbilling nicht bei allen abschalten … und selten ist dieses problem auch nicht gerade.

kauft lieber die vollversion,nachdem ihr die free ausprobiert habt.das isz fair und sicher.

jga 6. Juli 2012 um 09:33 Uhr

Zu deinem letzten Satz, ich hab mir gestern Abend eine Adblock Variante für Android instlalliert. Ich wollte auch zuvor die Anbieter von Apps unterstützen aber es geht nicht wenn ich das Wetter oder ähnliches über ein App schauen will das dann erstmal Werbung für porntube oder sowas kommt. Zudem kam die Werbung dann über den ganzen Bildschirm. Gegen seriöse Werbung habe ich nichts einzuwenden, aber sowas tue ich mir nicht an. Dann kaufe ich lieber das App, soweit es kostenlose varianten gibt.

mj084 6. Juli 2012 um 09:35 Uhr

@m3adow

Glaube nich das der Port funktoniert…und ich schrieb ja, dass der Patcher meinen CM9 nicht unterstützt…

SvenS 6. Juli 2012 um 09:43 Uhr

Mal ein paar Anmerkungen:
1. Die meisten “Alternativen” die hier genannt werde, wie LBE oder PDroid, benötigen ein geROOTetes Smartphone!!! AppGuard NICHT.
2. Es ist nicht (oder nicht nur) damit getan, dass die .apk entpackt und in der manifest die Rechte entzogen werden. Ich habe das Paper von Prof. Backes und seinem Lehrstuhl (das sind die, die APpGuard entwickelt haben) noch nicht gelesen (hol ich am WE nach), aber die Phrase “Inline Referemce Monitor”sticht doch einem direkt ins Auge. Also wird (wenn ich mich richtig errinnere) im Objektcode Checks eingefügt. Also vermutlich wird der Mschinencode einer App nach kritischen Systemaufrufen durchsucht und dann werden diese Systemaufrufe in einem Monitor gekapselt.
3. Aus 2. ergibt sich sofort als Folge, das, wenn man für eine App essentielle Dienste verweigert, die App natürlich nicht mehr funktioniert. Sprich, wenn man eine GPS Test App startet, dieser GPS verweigert und im Code etwas steht wie “warte auf GPS-Daten”, hängt sich die App auf. Es werden ja keine Fake-Daten (wie bei LBE) übermittelt.

Ich werde mir mal das Paper anschauen, finde aber auf einen ersten Blick die Idee gut, zumindest um mal aus einem wissenschaftlichen Blickwinkel zu untersuchen, wie weit man mit so einem Ansatz aktuell am Beispiel Android kommen kann.

@Google:
Ist das wirklich nötig, das Android dem Endnutzer KEINE EIGENE ECHTE Kontrolle in die Hand gibt! Warum fliesst der Ansatz von LBE nicht in eine neue Android Version ein. Das Apps u.U. nicht mehr funktionieren, wenn man sie mit Fake-Daten füttert (siehe GPS) ist (hoffentlich) jedem klar. Aber ich will wenigstens die MÖGLICHKEIT haben. Auch wenn es bei eingigen Rechten nicht ganz einfach ist es mit Fake-Daten umzusetzen, einige (siehe GPS) sind sofort möglich. BITTE implementiert das in einer der nächsten Android Versionen. Somit ließe sich wenigstens einig Informationen privat vor FB und Co halten.

Viele Grüße
Sven

PS:
Vielen Dank Prof. Backes für die gut gemachten Crypto, Security und Practical Security Vorlesungen. Vor allem die letzten beiden waren eine echte Bereicherung meines Studiums.

caschy 6. Juli 2012 um 09:47 Uhr

Habe wohl mit meinen Vermutungen Recht gehabt, die App ist erst einmal weg.

faselbohne 6. Juli 2012 um 10:44 Uhr

@m3adow: Danke für den Link zum PDroid-Port für ICS. Hatte das Projekt schon länger nicht mehr verfolgt, seit ich auf ICS (CM9) unterwegs bin, da es vorher ja nur auf Gingerbread-Roms lief. Umso schöner, dass es nun auch dort funzt…
Habe mit dem Auto-Patcher (über Windows via Cygwin) mir mal die aktuelle CM9-Nightly gepatcht, dann die Update.zip über CWM eingespielt und… es funktioniert wunderbar!! Pdroid ist einflach nur klasse und ihmo der beste Rechte-Verwalter für Android. Leider ist die Installation für Otto-Normal-User etwas hoch, der Nutzen ist dafür aber immens.

FunThomas 6. Juli 2012 um 10:44 Uhr

Ola, Just 4 Info, der Market-Link geht leider ins leere.

Lg

mj084 6. Juli 2012 um 10:53 Uhr

@faselbohne

Wann wurde dein CM9 ROm erstellt?

Mit meiner Nightly vom 5.7.2012 gings mit dem AutoPatcher nicht..

andi 6. Juli 2012 um 18:59 Uhr

@rowi: Damit könntest du natürlich recht haben

ALF 12. November 2012 um 20:45 Uhr

Ich glaube nicht, dass Google eine App-Rechteverwaltung in Android integrieren wird. Google hat sich das wohl schon überlegt. Menn man mit Android-Einstellungen den Apps Rechte entziehen könnte, würden das Millionen Menschen tun, und sich anschließend darüber beschweren, wie instabil und unzuverlässig die Android-Apps laufen.

testomat 24. September 2013 um 07:20 Uhr

…nicht. Apps werden über appguard aktualisiert.


1 Trackback(s)

6. Juli 2012
Anonymous

Deine Meinung ist uns wichtig...

Kommentar verfassen

Du willst nichts verpassen?
Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den Hauptfeed abonnieren. Alternativ könnt ihr euch via E-Mail über alle neuen Beiträge hier im Blog informieren lassen. Einfach eure E-Mail-Adresse hier eingeben, dann bekommt ihr 1x täglich eine Zusammenstellung.