Der Installationsprozess von Android Apps - im Sicherheitskontext

Jon Oberheide hatte vor 6 Monaten als Proof of Concept eine App geschrieben, die weitere Apps einfach nachinstallieren konnte, ohne deren Permissions dem User anzeigen zu müssen.

Die dafür genutzte Sicherheitslücke wurde inzwischen von Google geschlossen, interessant an dem Artikel ist aber vor allem die Funktionsweise des Marketplace. Die Market-App schickt nämlich nur den erklärten Willen die App zu installieren dan den Server, dieser schickt dann den Befehl zur Installation zurück. Die Anforderung durch den Market ist dafür jedoch nicht notwendig.

Hintergrund dieses Designs dürfte wohl der Android-Online-Marketplace sein, bei dem ja eine Aufforderung zur Installation ohne User-Interaktion mit dem Handy passieren soll. Es bedeutet jedoch auch, dass Google auf jedem Gerät mit Android Market jederzeit ohne Rückfrage beim User Apps installieren/updaten kann.

Details zur Funktionsweise des Market siehe hier: http://blog.duosecurity.com/2011/05/...droid-edition/

PS: Nachdem ich ja Windows Phone Mod bin gleich noch die Aussage dazu: WP7 kann das augenscheinlich auch, wobei nicht klar ist wie dort der Mechanismus genau funktioniert. Dachte nur das wäre eine interessante Information.