AppGuard: Kontrolle ungewollter App-Berechtigungen unter Android Update

Der am Mittwoch veröffentlichte SRT AppGuard ermöglicht unter Android die Kontrolle von Berechtigungen anderer installierter Apps. Die Besonderheit daran: Das Gerät muss dafür nicht gerootet sein. Das von Informatikern der Universität des Saarlandes vorgestellte Sicherheitsprogramm ist kostenlos im Play Store verfügbar. Die angebotene Version funktioniert zwar nur unter Android-Version 3.0 und aufwärts, aber es wird bereits daran gearbeitet, den AppGuard auch für Android 2.3 kompatibel zu machen.

Weniger Rechte für WhatsApp
Bild: Screenshot Aktuell werden dem Nutzer bei der Installation lediglich die Rechte aufgelistet, die dem Programm gewährt werden. Darauf Einfluss nehmen kann er jedoch nicht, auch wenn manche Berechtigung zum Funktionieren offensichtlich nicht benötigt wird. Geht dem Nutzer ein bestimmtes Recht zu weit, so bleibt ihm lediglich der Verzicht auf die App. Eine gezielte Verweigerung einzelner Rechte war bislang nur auf gerooteten Geräten möglich.

Der SRT AppGuard ermöglicht nun die Anpassung eines Großteils der Berechtigungen, außer bei vorinstallierten System-Apps. Dafür wird die zu kontrollierende Apps deinstalliert, ihr Inhalt modifiziert und die derart veränderte Version dann installiert. Danach können aus dem AppGuard heraus einzelne Berechtigungen gezielt erteilt oder auch wieder verweigert werden. Beispielsweise verweigert der AppGuard dann der Facebook-App den Zugriff auf die Kontakte im Smartphone.

Facebook- und Twitter-App ohne Zugriff auf die Kontakte
Bild: Zwei Screenshots Installierten Apps kann so unter anderem der Internetzugriff gesperrt, aber auch der Blick auf den Standort oder durch die Kamera verweigert werden. Einige der Berechtigungen sind im AppGuard aber noch angegraut und können nicht kontrolliert werden, weil sich die Entwickler nach eigener Aussage auf die Berechtigungen mit dem größten Gefahrenpotenzial beschränkt haben. Trotzdem kann AppGuard beispielsweise WhatsApp schon zwölf Berechtigungen entziehen. Dabei sollte aber immer bedacht werden, dass Apps ohne manche Berechtigungen nicht mehr funktionieren wie erwartet. So braucht eine Taschenlampen-App nicht zwingend eine Internetverbindung, aber den Zugriff auf Hardware-Steuerelemente. Einmal entzogene Berechtigungen können aber problemlos auch wieder erteilt werden.

Whitelist für Angry Birds
Bild: Screenshot Eine besondere Funktion verbirgt sich außerdem hinter der Kontrolle des Internetzugriffs. Der kann für eine App nicht nur komplett gesperrt oder erlaubt, sondern auch gezielt eingeschränkt werden. Dafür ist es nötig, die zu überwachende App einmal mit komplettem Internetzugriff auszuführen. Danach können unter "Host Whitelist konfigurieren" die Serveradressen ausgewählt werden, zu denen die App Kontakt aufnehmen darf. Alle anderen werden dann blockiert. Das funktionierte in der getesteten Konfiguration (SRT AppGuard 1.0 auf dem Samsung Galaxy Nexus mit Android 4.0.4) in einigen Apps, andere, wie beispielsweise Facebook, verweigerten dann aber komplett die Arbeit. Da wo es funktioniert, kann der AppGuard im Prinzip wie ein Adblocker genutzt werden.

Die der App zugrunde liegende Technik des sogenannten Inline Reference Monitoring ist nicht neu. Sicherheitsmechanismen werden dabei direkt in die zu überwachenden Programme implementiert. Bislang habe es aber keine Umgebung gegeben, in der das nötig schien. Beispielsweise können Sicherheitsprogramme auf Rechnern zwischen die zu überwachenden Anwendungen und das Betriebssystem geschaltet werden und so ihre Aufgabe erfüllen. Android funktioniert jedoch anders und genau deswegen haben sich die Entwickler entschieden, diese Methode anzuwenden (PDF-Datei). Prinzipiell könne das Inline Reference Monitoring auch für böswillige Programme verwendet werden. Aber der Nutzer muss der Installation der damit modifizierten App immer zustimmen, was das Risiko deutlich verringert.

[Update 06.07.2012 7:55]:

Derzeit ist SRT AppGuard im Play Store nicht mehr verfügbar. Eine erste Anfrage bei Google in den USA erbrachte noch keine Reaktionen: Aufgrund des verlängerten Wochenendes nach dem Independence Day sah sich bislang niemand bei Google USA zu einer Antwort in der Lage.

[2. Update 06.07.2012 11:45]:

Wie die Entwickler des SRT AppGuard inzwischen mitteilten, sind sie nach der "vorübergehenden" Herausnahme der App aus dem Play Store in Gesprächen mit Google über eine baldige Wiedereinstellung. Bis das geschehen ist, könne die APK-Datei der App direkt heruntergeladen werden.
(mho)