Android löscht Daten bei Initialisierung nicht
Forscher der Cambridge Universität in England fanden in einer Studie
heraus, dass etwa 500 Millionen Android-Smartphones die gespeicherten Daten im Zuge einer neuen Initialisierung nicht richtig löschen. Nach dem Löschen waren Login-Daten, Kontakte, SMS, Fotos und E-Mails immer noch wiederherstellbar.
Android beinhaltet eine Funktion, die Daten vom Speicher zu entfernen, um gebrauchte Geräte zu verkaufen. Die Studie fand aber heraus, dass die Daten vollständig wiederherstellbar waren, wenn der Benutzer die Speicher-Verschlüsselung einschaltet. Sensible Daten auf der SD-Karte werden nicht richtig gelöscht.
Das hat massive Auswirkungen auf die Daten des Benutzers. Wird das Android-Gerät beruflich genutzt, entsteht eine massive Sicherheitslücke.
„It’s a staggering number of devices out there that are exposed, and it’s not just somebody’s Gmail password. It’s images, photos, text, chat. It’s all these things that are private that you think if you’ve reset it you’ve reset it.“
Android-Geräte von 2.3.x bis 4.3.x sind davon betroffen. Bei jeder dieser Versionen ließen sich Daten wiederherstellen, seien es die Zugangsdaten von Facebook oder WhatsApp. In 80% der Fälle konnte das Master-Token von Android wiederhergestellt werden. Dieses ermöglicht den Zugang zu den meisten Google-Daten inklusive Google-Kalender und Gmail-Konto.
„We recovered Google tokens in all devices with flawed Factory Reset, and the master token 80% of the time. Tokens for other apps such as Facebook can be recovered similarly. We stress that we have never attempted to use those tokens to access anyone’s account.“
android_recovery_data.png
Für das Fehlverhalten gibt es mehrere Gründe. Ein Grund besteht ganz einfach darin, dass der Hersteller die Programme für das Löschen der Speicher nicht in das Smartphone integriert hat.
Die Forscher hatten gebrauchte Android-Geräte zwischen Jänner und Mai 2014 erstanden. Wie sich die Version 4.4 von Android verhält, ist nicht klar. Vermutlich ist auch diese von der Sicherheitslücke betroffen.
Siehe auch:
Artikel von arstechnica.com, 21.05.2015: Flawed Android factory reset leaves crypto and login keys ripe for picking