Sicherheitslücke: PIN-Sperre für Android Market-Käufe nutzlos

Frank Ritter
12

Seit einigen Monaten kann man eine PIN-Abfrage in der Android Market-App einrichten, mit der man verhindern kann, dass man selbst aus Versehen oder andere Nutzer mutwillig Apps kaufen. Diese Sicherheitsmaßnahme kann jedoch, wie sich jetzt herausstellte, problemlos umgangen werden.

Sicherheitslücke: PIN-Sperre für Android Market-Käufe nutzlos

Optionale Sicherheitsmaßnahmen, um die eigenen Gadegts gegen unbefugten Zugriff zu schützen, sind an sich eine gute Sache. In manchen Fällen ist das Gefühl, sich zusätzlich gegen Zugriff von Unbefugten abgesichert zu haben, allerdings trügerisch – weil sie aufgrund ihres Designs viel zu leicht umgangen werden können. So geschehen bei Face Unlock in Android 4.0, aber auch das iPhone hatte schon solche Probleme.

Ein weiteres dieser Beispiele ist die im Android Market neu eingeführte PIN-Sperre für App-Käufe im Android Market. Prinzipiell soll sie Nutzer, die gelegentlich ihr Smartphone oder Tablet aus der Hand geben, davor bewahren, dass Unbefugte Apps über die eingespeicherten Kreditkartendaten kaufen. Dieser Sicherheitsmechanismus ist jedoch ganz einfach auszuhebeln, wie ein reddit-Nutzer jetzt herausfand.

Android Market PIN eingeben

Die PIN wird in den Daten der Market-App gespeichert. Wenn man nun unter Einstellungen -> Apps bzw. Anwendungen -> Market den Menüpunkt “Daten löschen” wählt, muss man danach nur noch den Market neustarten. Schon können mühelos und ohne Sicherheitsabfrage Apps über das Google Checkout-Konto gekauft werden.

Android Market Daten löschen
android market app kaufen

Für einen Vater, der seinem Sohn das Smartphone zum Spielen von Angry Birds überlässt, mag die PIN-Abfrage ausreichend sein, für andere Fälle verliert sie ihre Wirkung und ist als vermeintliche Sicherheitsmaßnahme für Nutzer, die arglos auf die Market-PIN vertrauen und sich in falscher Gewissheit wiegen, sogar gefährlich. Das ist umso ärgerlicher, da Google hier Grundprinzipien des Designs von Sicherheitsmechanismen verletzt. Jedem Informatikstudenten im ersten Semester sollte klar sein, dass die PIN in diesem Beispiel nicht lokal gespeichert werden darf – und schon gar nicht in den problemlos löschbaren Daten der Market-App.

Derzeit gibt es keinen Workaround, um den Market gegen App-Käufe durch Dritte abzusichern. Wir empfehlen bis zum Erscheinen einer neuen Version der Market-App, eigene Geräte nur vertrauenswürdigen Personen in die Hand zu drücken.

[Update:] Denny von Smartdroid hat herausgefunden, dass es sich um keinen Bug, sondern ein Feature handelt. Zumindest gibt ein Hilfedokument bei Google den Tipp, die PIN-Sperre des Markets so auszuhebeln – was die ganze Geschichte aus unserer Sicht nicht besser, sondern schlimmer macht.

[via reddit, Redmond Pie]

Neue Artikel von GIGA ANDROID