Android Beam in Android 8 und Android 9 umgeht Sicherheitseinstellung

Android Beam kennen die meisten Nutzer, die ab und an Daten über das Android-Smartphone  mit Menschen in ihrer Nähe austauschen. Zahlreiche Android-Smartphones unterstützen NFC (Near Field Communication), dies wird für Anwendungen wie kontaktloses Bezahlen, Gerätekopplung oder auch Zutrittskontrollen verwendet. Android-Geräte unterstützen auch NFC für den Datentransfer zwischen zwei Geräten, einschließlich Fotos und Anwendungen, über eine Funktion namens Android Beam.

Und da gibt es jetzt eine interessante Meldung, die schon ein paar Tage alt ist – aber nun ergeben einige Entscheidungen von Google Sinn. So hat Google Android Beam ja abgekündigt, im Gespräch ist da ja noch eine Option Fast Share und natürlich kann man Dateien via Googles App „Files“ teilen.

Es heißt, dass Google Probleme hatte, eine Sicherheitslücke zu schließen, die schon im Januar 2019 gemeldet (CVE-2019-2114) wurde. Betroffen sein sollen Android 8 und 9, die Lücke wird als kritisch eingestuft, aber mit dem Sicherheitspatch Oktober wurde sie geschlossen. Das große Problem? Viele Smartphones haben diesen nicht und werden diesen auch lange Zeit nicht sehen.

Was uns zur Lücke bringt. Normalerweise fragt Android nach, ob ein Nutzer wirklich eine App aus unbekannter Quelle installieren möchte. Bei einer über Android Beam übertragenen Datei fällt dies laut Meldung weg, d. h. ein Angreifer könnte eine Malware über Android Beam an sein Opfer schicken. Klickt dieser wiederum auf die Datei, dann wird diese wohl ohne Abfrage installiert. Setzt natürlich voraus, dass sich Angreifer und Opfer in Nähe zueinander aufhalten, zudem Android Beam und NFC aktiv haben. Beide müssen also aktiv senden und bestätigen, dass ein Transfer vonstattengehen soll. Das Ganze ist etwas länger auch hier beschrieben.

Letzten Endes bleibt: Grundsätzlich passiert nichts von alleine, man ist nicht angreifbar ohne eine Interaktion. Man muss aktiv der Datenübertragung zustimmen und dann auch noch die entsprechende APK-Datei installieren. Es entfällt lediglich die Nachfrage, ob aus einer unbekannten Quelle installiert werden soll. Wenn möglich, kann man Android Beam separat deaktivieren oder schauen, dass man NFC entsprechende Berechtigung entzieht. Sieht unter Android 9 so aus, kann von Gerät zu Gerät aber variieren:

Einstellungen > Sicherheit & Datenschutz > zusätzliche Einstellungen >Apps aus unbekannten Quellen Installieren > Menü Systemprozesse anzeigen> NFC-Dienst > App-Installationen zulassen deaktivieren.