App-Rechte unter Android

Android fasst jede App mit der Kneifzange an, sperrt sie in ein Gefängnis und schlägt ihr auf die Finger, sobald sie Schindluder treiben möchte. Viele Apps bitten bei der Installation jedoch häufig darum, diese Vorsichtsmaßnahmen aufzuweichen. Höchste Zeit also, einmal einen genaueren Blick auf die oftmals blind abgenickten Rechte zu werfen.

Eine App hat es unter Android wahrlich nicht leicht. Standardmäßig darf sie nur mit dem Benutzer des Smartphones beziehungsweise Tablets interagieren und Dinge auf den Bildschirm malen. Daten muss sie in einem eigens für sie geschaffenen Unterverzeichnis ablegen, das gleichzeitig auch noch vor den Blicken aller anderen installierten Kolleginnen geschützt ist. Mit denen darf die App zudem nur eingeschränkt und auf eine ganz bestimmte Weise kommunizieren. All diese rigiden Maßnahmen zusammen würden allerdings nur recht langweilige Apps ermöglichen.

Gierige Geier

Die meisten Apps verlangen deshalb Zugriff auf weitere Funktionen und Informationen. So muss beispielsweise das Navi den aktuellen Standort über das eingebaute GPS-Modul abfragen und die Twitter-App ins Internet funken dürfen. Solche zusätzlichen Befugnisse muss jede App explizit bei ihrer Installation beantragen. Android erkundigt sich dann beim Benutzer des Geräts, ob er der App den Zugriff auf diese Funktionen gewähren möchte. Wer schon einmal eine App installiert hat, kennt diese Rückfragen (Abbildung 1). Dabei gilt nur Hop oder Top: Entweder man erlaubt der App den Zugriff auf die eingeforderten Systemfunktionen oder verzichtet auf eine Installation.

Einige App-Shops zeigen schon vor dem Kauf beziehungsweise Download an, welche erweiterten Systemfunktionen die gewählte App später nutzen wird. Im Android Market findet man die entsprechenden Informationen auf dem Register Berechtigungen (Abbildung 2). Jedoch informieren nur wenige App-Stores derart ausführlich. Insgesamt kennt Android derzeit weit über 100 verschiedene Spezial- und Systemfunktionen, die eine App anfordern und verwenden kann. Ihren jeweiligen Nutzen verstehen teilweise nur Entwickler beziehungsweise Kenner des Android-Betriebssystems. Einige App-Stores fassen die Forderungen einer App immerhin einigermaßen lesbar zusammen beziehungsweise übersetzen sie ins Deutsche (Abbildung 3).

Trotz dieser Hilfen bleibt in der Regel unklar, wofür beziehungsweise warum eine App welche Funktionen benötigt. Beispielsweise leuchtet es zunächst nicht ein, warum Spiele wie die beliebten Angry Birds [1] oder das neue Tetris [2] Zugriff auf das Telefon verlangen oder immer den aktuellen Standort des Besitzers wissen müssen.

Manchmal klingt eine eingeforderte Berechtigung schlimmer, als sie tatsächlich ist: Damit beispielsweise ein Medienplayer während eines Telefonats automatisch aufhört vor sich hin zu dudeln, benötigt er entsprechenden Zugriff auf die Telefoniefunktionen, die Android wiederum mit einem bedrohlichen Telefonstatus lesen und identifizieren einfordert. Analog verlangen die Angry Birds Schreibzugriff auf die SD-Speicherkarte, um dort Spielstände speichern und im besten Fall erhöhen zu können – nur erfährt man das normalerweise nirgendwo.

Hinterhältige Gefahrenstoffe

Diese Undurchsichtigkeit hat dazu geführt, dass viele Android-Benutzer einfach blind jede Forderung einer App abnicken. Das nutzen wiederum Entwickler von Viren, Trojanern und Spionageprogrammen aus. Sie stellen in die App-Stores vermeintlich nützliche Apps, die zumindest auch den Netzwerkzugriff einfordern. Ein unachtsamer Benutzer nickt diesen Wunsch dann bei der Installation vertrauensselig ab und hat sich so einen Virus eingefangen. Selbst im Android Market tauchen immer wieder solche heimtückischen Apps auf. Man sollte sich deshalb bei der Installation einer App immer ein paar Sekunden Zeit nehmen und genau hinsehen, welche Systemfunktionen die App anfragt. Skepsis ist beispielsweise angebracht, wenn ein Mediaplayer kostenpflichtige SMS versenden möchte. Auf den ersten Blick scheint das trivial – im Herbst 2010 haben jedoch zahlreiche Android-Benutzer genau diesen Widerspruch übersehen und sich so einen Trojaner eingefangen [3]. Zudem ist es nicht immer ganz so offensichtlich: Im Gegensatz zu einem Medienplayer muss eine fesche SMS-App auch SMS verschicken können. Es garantiert aber niemand, dass sie heimlich nicht doch zahlreiche kostenpflichtige Kurznachrichten versendet.

Letztendlich muss man jeder App vertrauen. Das sollte gegeben sein, wenn sehr viele Benutzer die App verwenden – erkennbar in den App-Stores an den Kommentaren, der Beliebtheit und der Anzahl der Installationen. Je mehr Augen auf eine App und einen Entwickler schauen, desto wahrscheinlicher kommen versteckte Sicherheitslücken ans Licht. Das bekam im Frühling 2011 auch Rovio zu spüren, Hersteller der Angry Birds. Mit einer Aktualisierung bat das Spiel plötzlich darum, kostenpflichtige SMS verschicken zu dürfen [4]. Nur wenige Minuten später ging ein Aufschrei durch das Internet. Rovio sprach erst von einer Unachtsamkeit, dann von einer neuen Einkaufsmöglichkeit für zusätzliche Spielinhalte. Schließlich ruderte Rovio zurück und entfernte die Funktion wieder. Auch Electric Arts entfernte den Zugriff auf kostenpflichtige Nummern nach Protesten aus seiner Tetris-App.

Zweifel an der Gutmütigkeit einer App kann schnell eine Suchanfrage bei Google oder Bing beseitigen – oder bestätigen. Zusätzliche Hilfe gibt die Tabelle "Wichtige und kritische Rechte im Überblick".

Nachtragshaushalt

Entscheidet man sich für eine Installation der App, kann man ihr die einmal zugesprochenen Rechte nachträglich nicht wieder entziehen. Immerhin stellt Android sicher, dass sie auch zukünftig nur genau die angeforderten Systemfunktionen nutzt. Die App kann es sich also nicht einfach anders überlegen und doch plötzlich die Standortdaten anzapfen. Die ihr zugestandenen Funktionen darf sie aber sehr wohl in vollem Umfang nutzen. So darf das Spiel Angry Birds genau so wie die Facebook- und E-Mail-App jeden beliebigen Internetserver kontaktieren. Als Benutzer kann man sie weder auf bestimmte Server noch auf bestimmte Dienste festnageln.

Wer nachträglich wissen möchte, was seine Apps auf einem Gerät so alles anstellen dürfen, wechselt in die Einstellungen (alias Settings), dort weiter zur Liste mit den Anwendungen (Apps oder Anwendungen) und tippt schließlich auf Anwendungen verwalten. In der Liste entscheidet man sich für die entsprechende App und findet dann auf der neuen Seite ganz am unteren Rand alle Berechtigungen, die die App benötigt. Als einfacher Android-Benutzer hat man jedoch auch hier keine weiteren Eingriffsmöglichkeiten – eigentlich. Denn mit einem kleinen Trick kann man einer App doch noch einzelne Rechte entziehen. Das ist jedoch zum einen nicht ganz ungefährlich und zum anderen muss man dabei das Installationspaket der App auseinandernehmen.

Mannis Fest

Die aus dem Store bezogene App-Datei ist eigentlich gar kein Programm, sondern ein komprimiertes Archiv. Es besitzt die Endung .apk und enthält neben der eigentlichen, ausführbaren Anwendung noch ein paar weitere Dateien. Eine davon trägt immer den Namen AndroidManifest.xml. Sie enthält das sogenannte Manifest, eine Liste mit Informationen rund um die App. Darin finden sich neben der Versionsnummer auch die von ihr benötigten Rechte. Indem man nun das Archiv auseinandernimmt und die unerwünschten Rechte in der AndroidManifest.xml ausradiert, kann man gezielt den Zugriff der App auf einzelne Systemfunktionen verhindern.

Dazu muss man zunächst die .apk-Datei der App auf den eigenen PC transferieren. Sofern man beim Einkauf beziehungsweise Download der App dieses Archiv nicht schon direkt erhalten hat, kann man es mit einer App wie dem AppMonster [5] oder appSaver [6] auf eine eingesteckte SD-Speicherkarte sichern und dann auf den PC übertragen.

In die .apk-Datei linst unter Windows das Programm APK Edit [7] (Abbildung 4). Bevor man das Werkzeug installieren kann, benötigt man noch Java [8] und das .NET Framework mindestens in Version 3.5. Letzteres sollte auf aktuellen Windows-Versionen bereits installiert sein. Mit APK Edit öffnet man die .apk-Datei, wechselt dann zum Register Details und klickt auf Browse. Im neuen Fenster führt man einen Rechtsklick auf die Datei AndroidManifest.xml aus und wählt aus dem Kontextmenü Bearbeiten.

Wer unter Linux oder Mac OS X arbeitet, muss das .apk-Archiv umständlich in einem Terminal-Fenster mit dem Werkzeug apktool [9] entpacken. Um es einsetzen zu können, benötigt man das Java Development Kit, das man unter Linux schnell über den eigenen Paketmanager hinzuholt. Anschließend angelt man sich von der apktool-Homepage sowohl das apktool1.4.1.tar.bz2-Paket, als auch das für das eigene Betriebssystem gedachte apktool-install...-Archiv. Beide entpackt man und kopiert dann die drei herausgepurzelten Dateien als Benutzer root respektive Administrator in das Verzeichnis /usr/local/bin. Jetzt kann man das .apk-Archiv in einem Terminal-Fenster mit dem Befehl:

apktool d app.apk out

entpacken, wobei app.apk durch den Dateinamen der App zu ersetzen ist. Der Inhalt des Archivs landet im neuen Verzeichnis out.

Egal mit welchem Werkzeug man an die AndroidManifest.xml gelangt, ihr Inhalt ist ziemlich kryptisch (Abbildung X). Wichtig sind alle Zeilen, die mit

<uses-permission ...

beginnen. Jede von ihnen bittet Android um eine bestimmte Systemfunktion. Steht in ihr beispielsweise die Zeile:

<uses-permission android:name="android.permission.INTERNET" />

möchte die App irgendwann ins Internet gehen (Abbildung 5). Wichtig ist der Begriff in den Großbuchstaben, die restlichen Zeichen weisen Android nur daraufhin, dass es sich um den Antrag auf ein Zugriffsrecht handelt.

Nicht immer sind die Berechtigungen so naheliegend beziehungsweise einfach zu lesen. Mit jeder Android-Version kommen zudem neue hinzu. Eine (englische) Aufstellung aller Rechte findet man in der Entwicklerdokumentation [10], die wichtigsten nennt die Tabelle "Wichtige und kritische Rechte im Überblick".

Möchte man nun der App ein Recht entziehen, löscht man einfach die zugehörige Zeile und speichert die Änderungen ab. Dabei muss man insbesondere unter Windows darauf achten, dass der Editor die Textdatei in der Zeichencodierung UTF-8 speichert.

In APK Edit klickt man danach auf OK, was wiederum die .apk-Datei aktualisiert. Anschließend kann man die App wie gewohnt (erneut) installieren.

Wer das apktool einsetzt, muss die App zunächst wieder verpacken. Dazu ruft man im out-Verzeichnis (in dem die AndroidManifest.xml liegt) den Befehl:

sudo apktool b

auf. Das System fragt dabei nach dem Passwort eines Administrators beziehungsweise des Benutzers root. Im Unterverzeichnis dist liegt jetzt eine neue .apk-Datei. Die muss man noch signieren:

sudo keytool -genkey -v -keystore release.keystore -alias alias_name -keyalg RSA -validity 10000
sudo jarsigner -verbose -keystore release.keystore app.apk alias_name

app.apk ersetzt man dabei durch den Dateinamen des .apk-Archivs, das man abschließend wieder auf dem Smartphone oder Tablet installieren kann.

Die nachträgliche Manipulation und der Rechteentzug führen allerdings oftmals dazu, dass die App nicht wie gewohnt funktioniert oder sogar regelmäßig abstürzt. Man sollte daher zumindest eine Kopie der originalen .apk-Datei aufbewahren. Obendrein verstößt man insbesondere bei kommerziellen Apps gegen die Lizenzbedingungen.

Zurück zu den Wurzeln

Nicht nur die Apps unterliegen einer strengen Kontrolle, auch der Benutzer des Smartphones oder Tablets darf nur in begrenzten Bahnen handeln. So bekommt er etwa keinen Zugriff auf die Systemdateien. Mit speziellen inoffiziellen Programmen kann man sich jedoch allumfassende Rechte verschaffen. Man spricht in diesem Fall von einem Root-Zugriff – in Anlehnung an den allmächtigen Benutzer namens root aus Unix- und Linux-Betriebssystemen. Wie man sich Root-Zugriff auf dem eigenen Gerät verschafft, hängt vom Modell und Hersteller ab. Anleitungen hierzu findet man unter anderem im Android-Hilfe-Forum [11]. Meist gibt es eine spezielle App, die mit wenigen Fingertipps ("On-Click") das Android-Gerät "rootet". Bekannte Werkzeuge dieser Gattung hören auf die Namen Easy Root, unrevoked, Visionary oder z4Root. Als Universalist ist am ehesten SuperOneClick zu bezeichnen, der angeblich bei "99 Prozent" aller Android-Geräte die Root-Rechte herbeiführt. In der Regel nutzen diese Apps Fehler im Android-System aus, um die Gewalt über das komplette Gerät zu erlangen und so dem Benutzer schließlich den gewünschten Root-Zugriff zu gewähren. Mitunter schließen die Android-Macher diese Lücken allerdings in späteren Updates. Dann verliert man nicht nur die Root-Rechte, man muss auch darauf hoffen, dass jemand ein neues Root-Werkzeug entwickelt. Andererseits stopft man mit dem Update mindestens eine Sicherheitslücke – es nicht einzuspielen, könnte folglich gefährlich werden.

Meist gibt es die Root-Werkzeuge nicht im Market, sondern nur auf den Seiten der Programmierer. Man muss daher zunächst in den Einstellungen des Smartphones beziehungsweise Tablets die Installation von Apps aus fremden Quellen erlauben, das Root-Werkzeug auf eine SD-Karte kopieren und es dann über einen Dateimanager (wie etwa die beliebte Linda [12]) starten und einspielen. Je nach Gerät kommt man auch nicht darum herum, sich in die (Kommandozeilen-)Werkzeuge der Android Entwicklungsumgebung (SDK, Software Development Kit) einzuarbeiten – allen voran adb, der Android Debug Bridge, mit der man die Programme auf das Smartphone beziehungsweise das Tablet schiebt [13].

Wer den Root-Zugriff auf dem eigenen Gerät freischaltet, verliert dabei jegliche Garantie. Darüber hinaus muss man fremden Programmen aus teilweise undurchsichtigen Quellen vertrauen. Selbst wenn die keine bösen Absichten hegen, weiß man nie, ob sie nicht an anderer Stelle neue Sicherheitslücken aufreißen.

Die dunkle Seite der Macht

Hat man einmal den Root-Zugriff hergestellt, kann man nicht nur tief in das Android-System abtauchen, sondern auch einzelnen Apps weiterreichende Rechte einräumen – etwa den Zugriff auf die Daten der Kollegen. Damit laufen dann auch Apps, die ohne Root-Zugriff undenkbar wären. Dazu zählen unter anderem Backup-Apps, die das gesamte System mit Haut und Haaren sichern, wie etwa Titanium Backup [14], komfortable Screenshot-Programme a la drocap2 [15] oder Werbeblocker wie AdFree Android [16]. Die meisten dieser Apps setzen übrigens die Werkzeugkiste BusyBox [17] voraus, die eine ganze Reihe gängiger Linux-Befehle und Programme nachrüstet.

Startet man nach der Freischaltung zum ersten Mal eine App, kann man in der Regel festlegen, ob man ihr die umfassenden Root-Rechte nur jetzt, immer oder niemals zugestehen möchte. Über die App SuperUser [18] lassen sich nicht nur alle Apps mit Root-Rechten einsehen, sondern ihnen auch nachträglich diese Rechte wieder entziehen. Normale Apps maßregelt man mit dem LBE Privacy Guard [19] oder Permissions Denied [20]. Mit ihnen erübrigt sich somit der umständliche Eingriff in das Manifest.

Da man auf dem freigeschalteten Gerät nun auch selbst mehr Rechte besitzt, kann man allerdings auch (versehendlich) wichtige Systemanwendungen oder Konfigurationsdateien löschen und so das komplette Gerät lahmlegen. Wer mit dem Gedanken spielt, sich Root-Rechte zu verschaffen, sollte daher unbedingt ein Backup des gesamten Systems anlegen. Darüber hinaus lechzen auch wieder Schad- und Spionageprogramme nach den erweiterten Rechten, können sie doch noch umfassender in die Eingeweide des Systems spicken. Wer sein Gerät "gerootet" hat, sollte folglich bei der Installation von Apps doppelt so vorsichtig sein.

Fazit

Bevor man eine App installiert, sollte man unbedingt die eingeforderten Rechte kontrollieren. Kann man die nicht nachvollziehen, hilft möglicherweise ein klärender Blick auf die Seiten des App-Entwicklers, im Zweifel sollte man ihn sogar (per E-Mail) direkt kontaktieren. Bleiben zu viele Fragen offen, sollte man lieber zu einer anderen App mit ähnlichem Funktionsumfang greifen.

Ein maßregelnder Eingriff in die .apk-Datei lohnt nur in Sonderfällen. Meist handelt man sich damit unerwünschte Nebeneffekte und Abstürze ein. Nur wer sich wirklich damit auskennt, sollte seinem Gerät einen Root-Zugriff spendieren oder gar ein CustomROM einspielen. Zu groß ist das Risiko, dass man unbemerkt Teile des Systems zerstört, neue Sicherheitslücken aufreißt oder sich Schadprogramme einfängt.