Ein Forschungstrio der Columbia-Universität in New York hat nun bewiesen wie leicht es ist, aus dem Quellcode einer Android App Zugangsdaten zu den Servern der Entwicklern und geheime Tokens auszulesen.

Die Informatiker haben innerhalb kürzester Zeit 308 gültige Zugangsdaten zu Amazons Web-Services sowie 6228 Tokens für Twitter und 460 für Facebook gefunden. Fünf Monate nach dem ersten Versuch waren noch immer zwischen 71 und 95 Prozent der Daten gültig.

Die Daten lassen sich relativ simpel auf den Quelltexten der Apps auslesen. Den zahlreiche Entwickler ignorieren empfohlene Umsetzungen bei der Programmierung der Apps. Geheime Schlüssel werden direkt in den Quellcode einbettet. Es scheint also als wüssten die Programmierung nicht, wie einfach der Quellcode zurückübersetzt werden könne.