Apple und Samsung widerstehen den neuesten Forderungen der indischen Regierung

Die indische Regierung hat eine umfassende Überarbeitung der Smartphone-Sicherheitsanforderungen unter den „Indian Telecom Security Assurance Requirements“ vorgeschlagen. Dazu gehört ein Paket von 83 Sicherheitsstandards, die den Schutz der Benutzerdaten angesichts steigender Online-Betrug und Cyber-Bedrohungen im massiven Smartphone-Markt des Landes verbessern sollen. 

Tech-Giganten wie Apple und Samsung sind der Bewegung entgegen, und behaupten, dass das Paket kein globales Vorbild hat und proprietäre Details und Geschäftsgeheimnisse offenlegen könnte, insbesondere den Quellcode, den Apple heftig schützt und in der Vergangenheit die Weitergabe an Länder wie die USA und China widerstanden hat. 

Das Land behauptet jedoch, dass die Forderungen Teil der breiteren Strategie von Premierminister Narendra Modi zur Stärkung der Cybersicherheit in Indien sind, dem zweitgrößten Smartphone-Markt der Welt.

Indiens Regierung stellt Forderungen an Telefonhersteller

Unten ist eine Liste einiger der Sicherheitsanforderungen, die Indien für Smartphone-Hersteller wie Apple und Samsung vorschlägt, was hinter den Kulissen zu Widerstand von Technologieunternehmen geführt hat.

• Offenlegung des Quellcodes, die Hersteller verpflichtet, nicht nur zu testen, sondern auch proprietären Quellcode zur Überprüfung durch von der Regierung benannte Labore bereitzustellen, die erwartet werden, Schwachstellen in den Telefon-Betriebssystemen zu identifizieren, die von Angreifern ausgenutzt werden könnten.
• Einschränkungen der Hintergrundberechtigungen, die Apps davon abhalten, im Hintergrund auf Kameras, Mikrofone oder Standortdienste zuzugreifen, während Telefone inaktiv sind, und wenn diese Berechtigungen aktiv sind, ist eine kontinuierliche Statusleistenbenachrichtigung erforderlich 
• Berechtigungsüberprüfungswarnungen, die Geräte dazu auffordern, regelmäßig Warnungen anzuzeigen, die Benutzer dazu auffordern, alle App-Berechtigungen zu überprüfen, mit kontinuierlichen Benachrichtigungen.
• Einjährige Protokollaufbewahrung, die Geräte verpflichtet, Sicherheits-Audit-Protokolle, einschließlich App-Installationen und Systemprotokolle, bis zu 12 Monate lang zu speichern.
• Regelmäßige Malware-Scans, bei denen Telefone regelmäßig nach Malware scannen und potenziell schädliche Anwendungen identifizieren müssen.
• Option zum Löschen vorinstallierter Apps, die mit dem Telefon-Betriebssystem gebündelt sind, außer denen, die für grundlegende Telefonfunktionen unerlässlich sind. 
• Benachrichtigung einer Regierungsorganisation vor der Veröffentlichung größerer Updates oder Sicherheitspatches.
• Tamper-Erkennungswarnungen, die erkennen, wenn Telefone gerootet oder „gejailbreakt“ wurden, und kontinuierliche Warnbanners anzeigen, um korrigierende Maßnahmen zu empfehlen.
• Anti-Rollback-Schutz, der die Installation älterer Softwareversionen dauerhaft blockiert, auch wenn sie offiziell vom Hersteller signiert sind, um Sicherheits-Downgrades zu verhindern.

Was Technologieunternehmen von den Anforderungen halten 

Die Indische Regierung hat die Sicherheitsanforderungen verteidigt, indem sie behauptete, sie diene dem Schutz ihrer Bürger, eine Bewegung, die mit Narendra Modis Datendatensicherheits-Push übereinstimmt. Allerdings haben große Akteure wie Samsung, Apple, Xiaomi und Google, vertreten durch MAIT, die indische Industriegruppe, die diese Firmen vertritt, ihren Widerstand geäußert, insbesondere hinsichtlich der Weitergabe des Quellcodes. 

„Das ist nicht möglich … aufgrund von Geheimhaltung und Privatsphäre“, MAIT, die Gruppe, die die Smartphone-Hersteller vertritt, sagte in einem vertraulichen Dokument, das als Antwort auf den Regierungsvorschlag erstellt wurde. „Wichtige Länder in der EU, Nordamerika, Australien und Afrika schreiben diese Anforderungen nicht vor.“

Sie behaupten, dass es auch keine zuverlässige Möglichkeit gibt, gejailbreakte Telefone zu erkennen oder Manipulationen zu verhindern, und sagen, dass der Anti-Rollback keine Standards hat und dass viele vorinstallierte Apps beibehalten werden müssen, da sie kritische Systemkomponenten sind. 

MAIT hat reportedly die Ministerin gebeten, den Vorschlag fallen zu lassen, so eine Quelle mit direktem Wissen. Die Dokumente des Unternehmens sagen auch, dass regelmäßige Malware-Scans den Akku eines Telefons erheblich entleeren würden und dass es „unpraktisch“ sei, die Regierungszustimmung für Software-Updates einzuholen, da sie zeitnahe Korrekturen sein sollen. 

Was die von der Regierung angeforderten Telefonprotokolle betrifft, die mindestens 12 Monate auf Geräten gespeichert werden sollen. MAIT behauptet, die meisten Geräte verfügten nicht über die Kapazität, solche Protokolle darauf zu speichern, was eine unmögliche Anforderung zur Erfüllung macht. 

Als Antwort auf die von MAIT vorgebrachten Punkte behauptete IT-Sekretär S. Krishnan, dass jegliche legitimen Bedenken der Industrie mit einem offenen Geist angegangen werden, und fügte hinzu, dass es „frühzeitig sei, mehr hinein zu lesen.“

Inzwischen weigerte sich ein Ministeriumssprecher, weiter zu kommentieren, und behauptete, die Konsultation mit den Technologieunternehmen zu den Vorschlägen laufe noch.