Ctrl+C, Ctrl+V, Ctrl+CVE: So umgeht man Androids Schutz vor Clipboard-Zugriffen
Ctrl+C, Ctrl+v, Ctrl+cve: Bypassing Android's Clipboard Read Security Measures
Ein Sicherheitsforscher zeigt, wie sich die Clipboard-Sperren von Android aushebeln lassen, die seit Android 10 verhindern, dass Hintergrund-Apps den Zwischenspeicher auslesen. In der HN-Diskussion entlädt sich der Frust über ein Feature, das jede kopierte Information – Passwörter, persönliche Daten – für lauschende Prozesse greifbar macht. Manche verteidigen die Sperre, andere beklagen, dass legitime Apps wie Wörterbücher daran kaputtgingen.
Wenn es die Zwischenablage nie gegeben hätte und sie heute plötzlich erfunden würde, käme sie durch keine Privacy- oder Security-Prüfung eines großen Unternehmens.
- iloveyoutwo
GrapheneOS hat kürzlich Secure Paste hinzugefügt: https://grapheneos.org/features#secure-paste
- vintagedave
Ich benutze Android nicht, daher bin ich mir nicht sicher, was ich in dem eingebetteten Video sehe. Ist es so, dass oben auf dem Bildschirm eine Benachrichtigung erscheinen sollte, aber keine da ist? Ich dachte, der Artikel impliziert, dass zwei verschiedene Benachrichtigungen verwendet werden, die die Systembenachrichtigung verbergen, aber ich sehe überhaupt keine.
- seszett
Ich war schon immer genervt von der fehlenden Kontrolle darüber, ob Apps die Zwischenablage einsehen können oder nicht.
Die bpost-App (belgische nationale Post) liest die Zwischenablage sofort aus, wenn sie geöffnet wird, und ich hasse dieses Verhalten leidenschaftlich. Andererseits rastet sie völlig aus, wenn sie einen entsperrten Bootloader, Root-Zugriff, "verdächtige" Apps oder was auch immer entdeckt.
Am Ende habe ich sie zusammen mit den Bank- und Identitäts-Apps, die ich nicht vermeiden kann, auf ein veraltetes Telefon mit Stock-OS verbannt. Ich schweife ab, aber die ursprüngliche Ursache meiner Verärgerung war tatsächlich die fehlende Kontrolle über meine Zwischenablage, die mir dank dieser kleinen Benachrichtigung aufgefallen ist.
- chinhodado
Vor langer Zeit habe ich eine Wörterbuch-App für den Eigengebrauch geschrieben, die die Wortdefinition anzeigte, sobald das Wort in die Zwischenablage kopiert wurde (z. B. aus einer E-Book-Reader-App). Die Wörterbuch-App lief im Hintergrund und zeigte das Popup nur bei einem Zwischenablage-Ereignis an.
Dann, etwa um Android 10 herum, verschärften sie die Sicherheit und entschieden, dass Hintergrund-Apps keine Zwischenablage-Ereignisse mehr empfangen dürfen. Was aus Sicherheitssicht Sinn ergibt, aber meine Wörterbuch-App völlig kaputt machte. Ich wünschte nur, es gäbe eine Möglichkeit für mich als Entwickler, das mit meiner eigenen App zu umgehen.
- streetfighter64
Ich denke, es ist ein großer Fehler, überhaupt irgendeinem Programm das Lesen der Zwischenablage zu erlauben. So wie es funktionieren sollte: Es wird vollständig vom OS abgesichert, und die einzige Zeit, in der eine App den Inhalt sehen kann, ist, wenn sie ihn in einem vom Benutzer ausgelösten Ctrl+V-Ereignis erhält. So erwarten es die meisten Benutzer, selbst nicht-technische, meiner Meinung nach ziemlich sicher.