Konsortium entwickelt Open-Source-Alternative zu Google Play Integrity

(Source: freepik / freepik.com)

(Source: freepik / freepik.com)

Der deutsche Smartphone-Hersteller Volla Systeme hat ein Industriekonsortium gegründet, um eine quelloffene Alternative zum Android-Dienst Google Play Integrity zu entwickeln. Das Projekt trägt den Namen Unified Attestation und soll App-Entwicklern ermöglichen, die Sicherheitsstandards eines Betriebssystems auf einem Gerät zu prüfen - auch bei alternativen Systemen, wie Volla schreibt. Ziel sei eine unabhängige Sicherheitsprüfung, die nicht von einem einzelnen Anbieter kontrolliert werde.

Jörg Wurzer, Geschäftsführer und Gründer von Volla Systeme. (Source: zVg)

"Wenn die Vertrauensprüfung selbst von nur einem Marktakteur kontrolliert wird, entsteht strukturelle Abhängigkeit", sagt Jörg Wurzer, Geschäftsführer bei Volla Systeme. Mit Unified Attestation wolle man deshalb "ein transparentes und vertrauenswürdiges Verfahren für die Sicherheitsprüfung" schaffen und "die letzte Hürde für die Verwendung alternativer mobiler Betriebssysteme" beseitigen, ergänzt Wurzer. 

Zum Hintergrund: Google Play Integrity erlaubt App-Entwicklern zu prüfen, ob Apps auf einem Gerät bestimmte Sicherheitsanforderungen erfüllen - wichtig für Banking-, Identitäts- oder Wallet-Apps. Für die höheren Sicherheitsstufen ist eine Zertifizierung des Betriebssystems durch Google nötig, die aber nur für proprietäres Android vergeben wird. Systeme auf Basis des Android Open Source Projektes (AOSP), die ohne Google-Dienste arbeiten, seien damit faktisch ausgeschlossen, schreibt Volla. 

Die geplante Architektur des Projekts Unified Attestation umfasst laut Mitteilung drei Elemente:

• einen Betriebssystem-Dienst, den Apps integrieren können, um Sicherheitsanforderungen zu prüfen
• einen dezentralen Validierungsdienst zur Überprüfung von Betriebssystem-Zertifikaten
• eine offene Test-Suite zur Zertifizierung eines Betriebssystems für ein bestimmtes Gerätemodell

Die Software werde zudem als Open Source unter einer Apache-2.0-Lizenz entwickelt.

An einem ersten virtuellen Arbeitstreffen im Februar beteiligten sich laut Mitteilung mehrere europäische Hersteller von mobilen Betriebssystemen und Endgeräten, darunter auch der Schweizer Softwareentwickler Apostrophy. Volla suche nun erste App-Entwickler sowie Herausgeber, die Unified Attestation als Early Adopter nutzen wollen. 

Wer eine App für das Android-Betriebssystem veröffentlichen will, muss künftig übrigens zunächst seine Identität verifizieren lassen. Google will dadurch Malware eindämmen, doch kritische Stimmen warnen vor der Kontrollmacht durch den Konzern. Lesen Sie hier mehr darüber. 

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.