Das Huawei Mate 30, das erste Smartphone ohne Google Apps ist in den letzten Tagen immer mal wieder im Gespräch. Eine Installation der Google Apps wäre so gut wie unmöglich. Dann gab es Informationen, dass der Bootloader geöffnet werden und somit doch eine nachträgliche Installation der Google Apps möglich sein könnte. Diese Aussage wurde relativ schnell wieder retour genommen. Doch es gab Hoffnung, tauchten doch im Netz verschiedene Videos und Tutorials auf, wie man mit LZPlay die G-Apps doch noch auf das Mate 30 bekommt. Doch auch diese Hoffnung ist jetzt zerstört.
Huawei Mate 30 lässt keine Installation der G-Apps durch LZ Play mehr zu
Das Huawei Mate 30 ist ein echtes Flaggschiff-Gerät, nur leider hier durch das Fehlen der Google Apps für die breite Masse nicht wirklich zu gebrauchen. Daher wird das Mate 30 in Deutschland bisher auch nicht in den Verkauf gehen.
Das nachträgliche Installieren der Google Apps war kurze Zeit über LZPlay möglich. Die URL wurde über den Browser des Mate 30 aufgerufen und per Klick auf die blaue Schaltfläche der Download des Google Service Framework gestartet. LZPlay forderte dabei umfangreiche Berechtigungen, um zum Geräteadmin zu werden.
I did not pay attention to the „How to install gapps on the P30 Pro!“ guides that were published last week, but GOOD LORD! You people were recommending users install an ADMINISTRATOR app from an unknown third-party? That is outrageously dangerous. Never install this. https://t.co/DfvKzdDHVC
— Ron Amadeo (@RonAmadeo) October 1, 2019
Wie 9to5google berichtet ist es seit gestern jedoch nicht mehr möglich LZPlay herunterzuladen. Die Webseite ist nicht mehr erreichbar.
Sicherheitsexperte John Wu hat einen Artikel veröffentlicht und darin die APK von LZPlay analysiert. Er hat herausgefunden, dass LZPlay Schnittstellen von Huawei nutzt, welche die Installation von Apps mit Systemrechten erlaubt. Huawei hat sich damit eine bisher unbekannte „Hintertür“ offen gehalten. Allerdings kann diese „Hintertür“ nur von Drittanbietern genutzt werden, welche von Huawei zertifiziert wurden.
LZ Play verwendet für die Installation jedoch zwei undokumentierte Huawei MDM (Mobile Device Management) Berechtigungen, um die wichtigsten Google Apps als System-Apps zu installieren.
Die beiden von John Wu entdeckten undokumentierten MDM-Berechtigungen sind:
- com.huawei.permission.sec.MDM_INSTALL_SYS_APP
- com.huawei.permission.sec.MDM_INSTALL_UNDETACHABLE_APP
Die erste Berechtigung ist eine Erlaubnis zum Installieren von System-Apps, die zweite eine Erlaubnis zum Installieren einer App, welche anschließend nicht deinstalliert werden kann.
Für beide Berechtigungen müsste LZPlay von Huawei zertifiziert sein, laut Huawei ist man jedoch nicht an LZPlay.net beteiligt.
Solche undokumentierten Berechtigungen können die Sicherheit gefährden. Nach der Veröffentlichung des Artikels ist nun LZPlay aus dem Web verschwunden. Auch durch LZPlay installierte Apps auf dem Mate 30 funktionieren nicht mehr oder nur noch eingeschränkt. Huawei hat also den Zugriff von LZPlay auf die eigenen Schnittstellen entzogen.
Auch Google hat eingegriffen, seit gestern besteht das Mate 30 nicht mehr den offiziellen „SafetyNet“-Test für Android. Mit SafetyNet testet Google, ob die Smartphones normal funktionieren und nicht gerootet wurden. Dies konnte nur funktionieren, da Huawei „Stubs“ der Google Apps auf seinen Smartphones vorinstalliert hat. Ohne bestandenen Test funktioniert nun auch kein Google Pay mehr.
I wanted to investigate why this works, and the only answer that I can come up with (after talking to a few devs) is that Google seems to have whitelisted the Huawei Mate 30 Pro’s build fingerprint.
— Mishaal Rahman (@MishaalRahman) September 24, 2019
Soooo uhh this is new.
— Alex Dobie (@alexdobie) October 1, 2019
Since today’s developments, Mate 30 Pro now fails SafetyNet. Last week it passed.
What the what pic.twitter.com/fPeaWUHD2v
Auch das Huawei P30 Pro mit EMUI 10 ist durch den Test gefallen. Das P30 Pro mit EMUI 9.1 funktioniert jedoch weiterhin.
Got the same result on my P30 Pro running EMUI 10. pic.twitter.com/0jiluXSpoc
— Peter Holden ?????? (@PeterHolden_) October 1, 2019
So as per @alexdobie original tweet. Failed CTS check = no more Google Pay working. So I tested.
— Damien Wilde (@iamdamienwilde) October 1, 2019
But considering this was working less than 2 days ago, this is not good. pic.twitter.com/0E8pGNtY97
Eine anonyme App, die in ein paar Minuten sämtliche G-Apps auf ein Flaggschiff-Smartphone bringt, welches nicht von Google zertifiziert wurde und Huawei weiß von nichts, da man ja angeblich nur zertifizierte Drittanbieter zulässt. Und auch die SafetyNet Tests der nicht zertifizierten Geräte durch Google können eigentlich so gar nicht stattfinden, außer beide Komponenten (Huawei und Google) tauschen sich untereinander aus/übermitteln Daten und umgehen so das Handelsverbot/Abkommen der US Regierung.
