Pixel 6 & Pixel 6 Pro: Google verliert Vorbildfunktion – zu sorgloser Umgang mit Sicherheitslücken (Kommentar)

pixel 

Über mangelnde Medienpräsenz für die Pixel 6-Smartphones kann sich Google sicherlich nicht beschweren, allerdings kann man nicht immer mit guten Nachrichten aufwarten. Das Dilemma der aktuellen Generation dauert schon seit mehreren Monaten an, hat aus Security-Sicht aber zum Beginn dieser Woche einen neuen Höhepunkt erreicht, den man selbst durch das nachgeholte Update kaum schönreden kann. Damit untergräbt Google die eigenen Ansprüche an die Sicherheit der Smartphones.


pixel 6 live translate

Google verspricht Pixel-Nutzern nicht nur frühen Zugriff auf neue Funktionen und den schnellsten Rollout, sondern durch sofortige Updates auch eine höchstmögliche Sicherheit. Leider musste man sich mit den Pixel 6-Smartphones in den vergangenen Monaten von jeglichen Ansprüchen verabschieden, denn Google hat die Vorreiterrolle verloren. Das gilt nach wie vor, doch in dieser Woche gab es einen weiteren Höhepunkt, den man nicht so einfach unter den Tisch kehren sollte.

Dirty Pipe-Fix fehlt
Zwar gab es das Android-Update im April pünktlich und gleichzeitig mit allen anderen Geräten, aber das kann nicht darüber hinwegtäuschen, dass es kein vollständiges Update gewesen ist. Google hat am Montag die Fixes ausgerollt, die bereits fertig waren und konnte somit auf den ersten Blick wieder Punkte für die Pixel 6-Smartphones sammeln. Doch leider umfasst das Update NICHT die Dirty Pipe-Sicherheitslücke, die als schwerste Lücke seit Jahren gilt und Angreifern sehr umfangreiche Möglichkeiten zur Manipulation und Übernahme der Kontrolle des Smartphones gibt.

Dirty Pipe ist nur in sehr jungen Versionen des Linux-Kernels enthalten und betrifft somit nur wenige Geräte. Bei Google sind es nur die Pixel 6-Smartphones, während alle Generationen zuvor nicht betroffen sind. Es erfordert also einen Bugfix, der einzig und allein für Pixel 6 und Pixel 6 Pro ausgerollt werden muss. Genau das ist aber nicht geschehen.




Ich hatte bereits darüber geschrieben, dass Google die Dirty Pipe-Lücke in Android bereits gestopft hat und von Samsung auch schon auf die Galaxy S22-Smartphones ausgerollt wurde. Während Samsung die Lücke innerhalb weniger Wochen stopfen konnte, hat Google das nicht geschafft. Die Schuld dürfte erneut an Tensor liegen, der mehr Entwicklungsaufwand erfordert. Dadurch gab es in den letzten Monaten massive Verschiebungen bei den Sicherheitsupdate. Im April hat man sie in den Griff bekommen, aber wohl zu dem Preis, dass es nicht vollständig ist.

Wäre es nun besser gewesen, das Pixel 6-Update erneut zu verschieben? Vielleicht. Die beste Lösung wäre es wohl, wenn man endlich die Kommunikation in den Griff bekommt oder überhaupt erst einmal startet: „Hey Pixel 6-Nutzer, das Update kommt diesmal pünktlich, aber die Dirty Pipe-Lücke können wir erst am 19. April schließen“. Das macht den Fakt nicht besser, aber verbessert die Gesamtsituation und würde endlich zeigen, dass sich Google ernsthaft für die Pixel 6-Nutzer interessiert. Fehler passieren, Schwierigkeiten muss man meistern. Mit Transparenz gegenüber den Nutzern ließe sich sehr viel Druck vom Kessel nehmen.

Zwar wurde am Donnerstag mit Android 12 QPR3 Beta 2 die Dirty Pipe-Lücke geschlossen, aber das gilt nur für Beta-Nutzer. Weil das nur ein kleiner Teil ist, wartet die Masse der Nutzer nach wie vor auf den Patch.

Leider hat Google _Stand heute_ aus meiner Sicht nicht mehr den Anspruch, die bestmögliche Sicherheit für die Pixel-Nutzer zu gewährleisten. Man hat die Lücke in Android gestopft, selbst Samsung konnte es umsetzen und wenn man nur will, muss das auch für Google möglich sein. Zwar wird Dirty Pipe offiziell noch nicht ausgenutzt, aber was ist, wenn sich das morgen ändert? Dann wären die Pixel 6-Smartphones plötzlich ein sehr attraktives Angriffsziel.

» Pixel 6: Wie erfolgreich sind die Smartphones? Google könnte schon zehn Millionen Geräte verkauft haben

» Aktionen im Google Store: Viele Frühjahrsangebote – viele Rabatte auf Pixel, Fitbit, Smart Home, Stadia & Co


Keine Google-News mehr verpassen:
GoogleWatchBlog bei Google News abonnieren | GoogleWatchBlog Newsletter abonnieren


Teile diesen Artikel:

Facebook twitter Pocket Pocket

comment 3 Kommentare zum Thema "Pixel 6 & Pixel 6 Pro: Google verliert Vorbildfunktion – zu sorgloser Umgang mit Sicherheitslücken (Kommentar)"

  • Dieses ewige Gejammere über verspätete Updates beim Pixel 6 (Pro) habe ich jetzt wirklich satt. Gefühlt widmet sich jeder zweite Blog-Beitrag diesem Thema. Das ist so was von langweilig.

    • Ian – Dein Kommentar ist restlos wertlos. Es geht hier nicht um einfache Updates für irgendwelche Features, hier geht es um ABSOLUT SICHERHEITSRELEVANTE, MASSIVE SICHERHEITSLÜCKEN. Für die – wie andere Hersteller bewiesen haben – bereits seit mehr als EINEM gannzen Monat fixes bereitstehen. Google rennnt auf seinen Pixel Handys allerdings immer noch auf einem Januar Linux Kernel rum.

      Das ist absolut gerechtfertigte Kritik und ich habe keine Ahnung, wie hirnlos man sein muss, um so eine Scheiße zu verteidigen. Normalerweise werde ich nicht so ausfällig, aber bei so viel Einfalt und Dummheit muss ich einfach mal den Mund auf machen. SICHERHEITSLÜCKEN MÜSSEN STETS ZEITNAH GEPATCHT WERDEN!

      Ende der Debatte. Es ist gut und richtig und absolut gerechtfertigt, dass der Googlewatchblog hier auf diese jämmerlichen Zustände hinweist. Ein Unternehmen, dass für sich einen Anspruch von Sicherheit hat aber solche gewaltigen Sicherheitslücken NICHT sofort patcht (Dirty Pipe = mann kann mit EINEM befehl per app, ohne unlockten bootloader, KERNEL LEVEL ROOTZUGRIFF erhalten) – das heißt mit einer heruntergeladenen App, einem klick – sind ALLE, ALLE, ALLE Daten (Bankdaten, Unternehmensdaten – eben ALLES) in sofortiger Hand des Schurken.

  • Ich finde auch die Kommunikation müsste besser sein, aber am Ehrlichsten wäre es, wenn Google allen Besitzern des Pixel 6 einen Austausch anbieten würde:
    Pixel 6 wahlweise gegen Pixel 5a, plus Store-Gutschein für Zubehor.
    Pixel 6 Pro gegen Pixel 5 XL plus Gutschein.
    Und dann das Pixel 6 mitsamt Tensor vom Markt nehmen.

    Das Ding bringts nicht. Selbst unter Idealbedingungen kommt der nur an den SD870 ran (gabs auf XDA mal so ein Benchmarking, Link gerade nicht zur Hand), ist für jenste Probleme zuständig, und versursacht auch immer weitere.

    Und – @Ian – es geht nicht nur um VERSPÄTETE Updates, sondern viel mehr darum, das jene Updates, wie seinerzeit bei Windows, zwar EIN Problem beheben, aber VIER Neue schaffen. Du hast zwar gute Chancen ein Gerät zu erwischen, das keine „Update-Fehler“ (bsp. WLAN-Ausfall, 4G und 5G-Ausfall, etc) hat/bekommt, aber du hast ebenso gute Chancen eins zu erwischen, das dir entweder ab Auspacken schon die Fehler hat, oder durch das nächste Update diese bekommt. Denk dran, Ian, es gibt Leute die wollen das Pixel 6 im Produktiveinsatz nutzen; d.h. Banken-Apps, Versicherungs-Apps, Mail, Messenger, usw usf – und nach jedem Reset oder gar Gerätetausch musst du alles wieder von Vorne einrichten. Und mit JEDEM Update riskierst du den Werksreset. == verspärtete Updates, die dir TROTZDEM das System zerschiessen können, das macht das Gerät schlicht unbrauchbar! Zahlst DU gerne 650€ für etwas, das du nicht nutzen kannst?

    tl;dr: Pixel 6(Pro)-Besitzer gehen seit Marktstart durch die Hölle mit dem Teil. Und für den aufgerufenen Preis ist das eine Zumutung sondergleichen, die behoben gehört. Siehe oben: wir sind an dem Punkt, wo man das Gerät kostenlos mit „Ausfall-Boni“ gegen den Vorgänger austauschen muss.

Kommentare sind geschlossen.