Google führt Intrusionsprotokollierung für Android-Pixel-Geräte ein

Google rollt Intrusion Logging aus, eine Opt-in-Android-Funktion im Advanced Protection Mode, die Sicherheitsereignisse protokolliert, um Forschern bei der Untersuchung von Spyware- und Forensikangriffen auf Handys zu helfen, wie TechCrunch berichtet. Die Funktion ist auf Geräten mit dem Android-16-Update vom Dezember und neuer verfügbar, erfordert jedoch derzeit noch den Advanced Protection Mode, ein bei Google angemeldetes Konto sowie ein Google Pixel-Gerät.

So funktioniert Intrusion Logging

Die Protokolle werden täglich erstellt und in verschlüsselter Form im Google-Konto des Nutzers gespeichert. Laut Google kann die Funktion App-Installationen, Verbindungen zu Websites und Servern, den Zugriff über Android Debug Bridge, die Entsperrungen des Telefons sowie Versuche aufzeichnen, Datensätze zu löschen. Amnesty International hat bei der Entwicklung der Funktion mitgeholfen.

Schließen von Lücken in der Android-Forensik

Intrusion Logging wurde gebaut, um eine wesentliche Einschränkung in der Android-Sicherheitsforschung zu adressieren. Die technischen Rahmenbedingungen von Android haben es in der Vergangenheit historisch deutlich schwerer gemacht, ausgefeilte Spyware-Angriffe im Vergleich zu iOS zuverlässig zu erkennen. Vor dieser Funktion waren Forschende auf Systemprotokolle angewiesen, die nicht für die Erkennung von Eindringlingen ausgelegt waren, und diese Einträge wurden oft überschrieben, wodurch Hinweise auf einen Angriff gelöscht wurden.

Das System ist darauf ausgelegt, Angriffe von staatlich eingesetzter, „Government-grade“-Spyware sowie polizeilichen Forensik-Tools wie Cellebrite zu erfassen, einem Unternehmen für digitale Forensik, dessen Software Strafverfolgungsbehörden dabei helfen kann, Geräte zu entsperren und Daten auszulesen. Zuvor hatte kein Smartphone-Hersteller eine Funktion veröffentlicht, die speziell darauf ausgelegt ist, Sicherheitsforschern bei der Untersuchung dieser gezielten Spyware-Angriffe zu helfen.

Einordnung in den breiteren Android-Sicherheitskontext

Intrusion Logging fügt sich in eine umfassendere Android-Sicherheitsüberarbeitung ein, die unter anderem stärkeren Factory Reset Protection beinhaltet, wodurch gestohlene Handys schwerer wiederzuverwenden sind, sowie ein demnächst verfügbares Berechtigungsmodell für Local Network Protection, das es Menschen ermöglichen würde, zu kontrollieren, welche Apps auf Geräten im selben Wi-Fi-Netzwerk Zugriff erhalten.

Google platziert Intrusion Logging im Advanced Protection Mode, der entwickelt wurde, um gegen staatliche Spyware und polizeiliche Forensikgeräte vorzugehen. Dieser Ansatz unterscheidet sich von Apples Strategie: Apple bietet den Lockdown Mode an, eine Sicherheitseinstellung, die einige Telefonfunktionen einschränkt, um die Angriffsfläche zu reduzieren. Während Lockdown Mode darauf abzielt, die Angriffsfläche zu verkleinern, fügt Intrusion Logging detaillierte verschlüsselte Aufzeichnungen für forensische Arbeiten nach einem Vorfall hinzu — eine Fähigkeit, die Android-Forschern bisher nur schwer konsistent beschaffen konnten.