News Experten entdecken Android-Sicherheitslücke

[nlr]

Achja... zum Glück gibt es ja Android 2.3.4 fürs Galaxy S.

In Picasa ist die Lücke auch mit 2.3.4 noch drinne!

 

[GrinderFX]

Es ist schon krass wie die Androidnutzer die ganzen Fehler schönreden und wieviel man doch frickeln muss, damit nicht ständig Daten vom Gerät geklaut werden.
Würde es bei anderen Anbietern nur 1% der Fehler geben die es bei Androidgeräten gibt, wäre das Geschrei unendlich groß. Dies hat auch nichts mit der Verbreitung der Geräte zutun, da andere Anbieter nahezu die gleiche Menge an Geräten auf dem Markt hat und da tritt sowas nicht in diesem Maße auf!

Genauso mag es auch sein, dass nun die Verion 2.3.4 erschienen ist aber was nutzt das, wenn 99% der Anbieter diese nicht anbieten.

 

[tavoc]

@GrinderFX und Apple ist da besser ? http://iszene.com/thread-116250.html

Oder Microsoft?

 

[narzissm]

@CPat,

unter Windows hast du dann aber keine Schreibberechtigungen, da für den Schlüsselaustausch sichere Kanäle verwendet werden. Dementsprechend ist dies nicht vergleichbar.

Teilweise werden Login-Daten trotzdem unverschlüsselt übertragen. Genauso wie Chatnachrichten und vieles mehr. Wenn ich mich dann mit E-Mail-Adresse und Passwort unverschlüsselt irgendwo anmelde und das gleiche Passwort unvernünftigerweise z.B. für meinen E-Mail-Account verwende hab ich schon verloren.

 

[Snoopmore]

@GrindeFX: Was heisst hier schönreden? Wenns bei Android ne richtige Sicherheitslücke geben würde, wäre ich an vorderster Front der Kritisierer. Aber hier handelt es sich nunmal nicht um einen Fehler von Android. Ich kann hier nichtmal eine Sicherheitslücke erkennen. Wow, in Netzwerken (und vor allem in öffentlichen) können Daten gesnifft werden. Das ist wahrlich eine gravierende Sicherheitslücke von Android.

Zugegeben: es werden Login-Daten unverschlüsselt übertragen. Aber das ist schlicht nur ein Problem diverser Google-Apps. Am OS liegts nicht.

 

[tavoc]

@narzissm Sofern du Pop und SMTP zum einloggen nutzt dann ja. Aber das ist kein Problem von Windows, sondern ein Protokollproblem. Es steht jedem frei POPS und SMTPS zu nutzen.
Die Windows Authentifizierung dagegen ist niemals unverschlüsselt, normalerweise wird das Kerberos Protokoll benutzt, im Notfall NTLM. Aber auf jeden Fall nicht Klartext.

 

[h00bi]

ich kleb mir ja auch nicht meine Bankverbindung auf den Rücken und lauf durch die Fußgängerzone....
Es ist docvh schon lange bekannt dass öffentliche WLANs nicht sicher sind.
Trotzdem gehe ich fest davon aus dass es für ältere Geräte zumindest einen Hotfix geben wird, weil sowas darf einfach nicht sein wenn man so starke konkurrenz hat.

 

[lordfiSh]

Oh man kann über WLAN Cookies abgreifen, was ganz neues!!111

 

[tavoc]

Keine Cookies, sondern Authentifizierungstoken, mit denen man sich einloggen kann und Schreibrechte erhält. Das ist was völlig anderes.

Jedenfalls keine Cookies im herkömmlichen Sinn

 

[mad_tom]

Es ist ja in 2.3.4 (lustige Versionsnummer ) bereits gefixt, bringt nur etwa 99% der Androidnutzer nichts.

Niemand ohne Motorola Xoom, Nexus One oder Nexus S ist vor dieser Sicherheitslücke sicher.

(fast) jeder der sein handy gerootet hat kann sicher sein, sonst hast du wohl recht.
es sollte halt nicht mit diesen versionen über offene wlans gesurft werden.

Mal schauen wann die ersten Google-Fanboys kommen und das runterspielen wollen, z.B. weil man ja problemlos auf eine höhere Version upgraden könnte und so^^

waren die google-fanboys nicht schon vor dir hier und haben es runtergespielt^^^^

 

[Magellan]

Niemand ohne Motorola Xoom, Nexus One oder Nexus S ist vor dieser Sicherheitslücke sicher.

Ich habe nen Desire mit 2.3.4 ... bringt aber der Masse natürlich nix.

Wie kann man sich da jetzt bei Geräten helfen die keine Updates mehr bekommen ?

Also erstmal nicht mit irgendwelchen unverschlüsselten WLANs verbinden (was man so oder so nie tun sollte), auch in den Einstellungen checken ob sich dein Handy automatisch mit verfügbaren WLANs verbindet und ggf. deaktivieren.

Wenn Google die betreffenden Apps mit einer ordentlichen Verschlüsselung ausstattet sollte das Problem auch mit alten Android versionen beseitigt sein, also abwarten was hier gemacht wird.

Das Problem liegt in den Google-Apps, die nunmal im WLan die zugansdaten unverschlüsselt übertragen.

Ausserdem: Wer unverschlüsselte, fremde WLans nutzt ist eh selber Schuld.

Richtig. Ich muss aber gestehen dass ich im Urlaub auch schon offene WLANs in Bars/Hotels genutzt habe.
Dennoch wäre natürlich eine Lösung für User die sich nicht damit beschäftigen wünschenswert - wie eben zb ein Update der betroffenen Google Apps.

 

[Affenkopp]

Das ist eben der Nachteil an immer mehr Kommunikationstechniken. Aber jeder Käufer nimmt das bewusst oder unbewusst in Kauf. Da darf man eigentlich kaum meckern...

 

[LinuXfr3ak]

Das Problem betrifft ja nicht nur unverschlüsselte WLANs sondern auch öffentlich zugängliche verschlüsselte WLANs (in z.B. einen Hotel wo man den Schlüssel von der Rezeption bekommt). Wenn dem Hacker der Schlüssel bekannt ist kann er genauso die Daten abgeifen! Selbes gilt auch für WEP verschlüsselte WLANs die ein Hacker in max 10 Minueten geknackt hat! Für WPA Verschlüsselte WLANs gibt es für den Hacker immer noch die möglichkeit einen Fake AP zu benutzen.

Bleiben also nur noch die Optionen Synchronisation abschalten, WLAN generell nicht nutzen oder über VPN zu surfen. Ein Update auf 2.3.4 ist bei Android Geräten ja auch nicht immer möglich - auch über inoffiziellen Wege

 

[laderio]

Niemand ohne Motorola Xoom, Nexus One oder Nexus S ist vor dieser Sicherheitslücke sicher.

Mein HTC Desire ist auch sicher, dank Oxygen

Wenn ich z.b. neben deinem Haus stehe und einen eigenen AP aufsetze, der die gleiche SSID hat und der dazu noch stärker sendet. Dann verbindest du dich automatisch mit mir.

Da der Original AP ja mit WPA2 verschlüsselt ist und das PW auch zum automatischen Login gehört (den man übrigens nicht aktivieren muss), dann sollte das nicht passieren.

Wie kann man sich da jetzt bei Geräten helfen die keine Updates mehr bekommen ?

Custom ROMs benutzen.

Generell finde ich, dass ein SmartPhone auch im offenen WLAN sicher sein sollte. Letztlich ist der Mobilfunk und das Internet dahinter ja auch nicht wirklich davor geschützt, dass diese Informationen mitgelesen werden können.
Von daher, alle sensiblen Informationen die nicht nur im lokalen Netz übertragen werden sollten verschlüsselt übertragen werden.

 

[Lorch]

Gestern schon bei Spiegel gelesen, trotzdem find ichs, obwohl ich selbst Android nutze, nicht so weltbewegend. Von Clouding halte ich auch auf dem Handy nichts, entsprechend halte ich mich auch von Googles Diensten fern. Da ich ne Internetflat hab ist mein Wlan auch nur bei mir zu Hause an, entsprechend verbinde ich mich so gut wie nie mit oeffentlichen Netzwerken, schade find ich nur das der User hier mal wieder unter der Updatepolitik bei Android leidet...

 

[o$$!ram]

Nuja ... mir egal WLAN gibts nur im Geschäft und zuhause ... Und bei mir liegt alles auffem Exchange Server und wird nur mittem Handy Synchronisiert -> nix google ...

Nichts desto trotz: Google sollte das schnell fixen - gibt genügend Leute die es anderst handhaben ...

 

[PiPaPa]

Falsche Aufregung um Sicherheitslücke in Android mal durchlesen, verstehen, nochmal überdenken, dann posten.

Es ist absolut nichts neues und betrifft quasi alle Leute die ein unverschlüsseltes WLAN nutzen.

 

[tavoc]

nichtsdestotrotz ist dies ein Fehler im Softwaredesign.
Eine intelligente API, die automatisch alle Tokens per SSL rausschickt, für alle Authentifizierungsvorgänge würde helfen.
Weiterhin müsste dann nicht jedes APP das selbst einbauen.

Und nur weil es auch woanders das Problem gibt, heisst es nicht das es so ok ist.

 

[Minute|Man]

Jedes System hat Stärken und Schwächen. Aber eine derartige Sicherheitslücke finde ich doch wesentlich gravierender, als das vor ca. 2 Wochen aufgebauschte "Locationgate" bei Apple. Und das liegt nicht daran, dass es Apple ist, sondern an dem Problem per se.

 

[PiPaPa]

tavoc
Habe ich das gesagt das dies ok ist? Nein.
Aber das was die Forscher da tolles entdeckt haben ist absolut nichts neues, das Problem ist ein allgemeines Problem, nicht nur explizit von Android.

Und bevor wieder so doofes Zeug kommt: Nein, ich habe weder Android noch iOS, sondern nen simples Sony Ericsson 0815 Handy.