Sicherheit bei älteren Smartphones

[stefan59]

Hallo,
wir besitzen ein Huawai P30 lite und ein Huawai P30 Pro NX Generation.Nun frage ich mich wie es mit der Sicherheit der beiden Handys bestellt ist,da ja beide keine Updates mehr bekommen.Beide Handys Sicherheitspatch Level 1.März 2023.

 

[Christian1297]

Ich würde die Geräte aufgrund des nicht mehr ganz aktuellen Sicherheitspatch nicht gleich verschrotten. Das größte Risiko ist nämlich sowieso immer der Anwender der das Gerät bedient und wenn der halbwegs weißt was er tut, können viele Sicherheitslücken sowieso nicht ausgenutzt werden.

Ansonsten kannst du natürlich recherchieren was es in den letzten Monaten für große Sicherheitslücken in Android gegeben hat, welche nun eventuell nicht geschlossen sind. Dann kannst du selbst abwägen, ob das Gerät für dich auch noch für sensible Apps wie Online-Banking in Frage kommt. Mir persönlich ist da jetzt aber auch kein Exploit bekannt, der ohne dein zutun ausgenutzt werden kann.

 

[nutrix]

Da wäre ich nicht so optimistisch.

Das größte Risiko ist nämlich sowieso immer der Anwender der das Gerät bedient und wenn der halbwegs weißt was er tut, können viele Sicherheitslücken sowieso nicht ausgenutzt werden.

Nein, siehe:
https://www.chip.de/news/Android-Nu...sluecke-ist-eine-grosse-Gefahr_184781412.html

Die Sicherheitslücke CVE-2023-0266 ist eine sogenannte Use-after-free-Schwachstelle, die im Linux Kernel Sound Subsystem sitzt. TAG berichtet, die Schwachstelle sei ein Bug, der von Angreifern als Teil einer Reihe von Sicherheitslücken ausgenutzt wurde, um Nutzerdaten abzugreifen. Besonders gefährlich daran ist, dass das Ganze ohne eine Interaktion mit dem Nutzer möglich war. Betroffen sind vor allem Android-Smartphones von Samsung.

https://www.chip.de/news/Sicherheit...nen-User-muessen-jetzt-updaten_184910554.html

Google hat Sicherheitslücken in verschiedenen Versionen von Android-Geräten offengelegt, die als kritisch eingestuft werden. Diese Schwachstellen betreffen die Android-Versionen 11, 12, 12L und 13 und könnten potenziell Hackern die Möglichkeit bieten, bösartigen Code von entfernten Standorten aus auszuführen.

Besonders besorgniserregend ist die Schwachstelle mit der Bezeichnung CVE-2023-21273. Diese betrifft die Kernkomponente "System" und könnte dazu missbraucht werden, schädlichen Code aus der Ferne einzuspielen. Interessanterweise benötigen Angreifer keine zusätzlichen Berechtigungen, um diese Schwachstelle auszunutzen.

https://www.zdnet.de/88414091/februar-patchday-google-schliesst-53-sicherheitsluecken-in-android/#

Eine kritische Anfälligkeit erlaubt eine Remotecodeausführung. Betroffen sind Android 11 bis Android 14.
Google hat seine monatlichen Sicherheitspatches für das Mobilbetriebssystem Android veröffentlicht. Im Februar schließen die Entwickler 53 Lücken. Eine Anfälligkeit ist als kritisch eingestuft und erlaubt es Hackern, aus der Ferne Schadcode einzuschleusen und auszuführen und unter Umständen die Kontrolle über ein Android-Gerät zu übernehmen.

Beide Handys Sicherheitspatch Level 1.März 2023.

Das kam alles danach, ich würde solche Geräte so weder verwenden noch betreiben.

 

[siggi%%44]

Nein, siehe:

Doch, lese:

Zuvor mussten Angreifer zwar einen Trojaner auf das Gerät schleusen, danach konnte dann jedoch unbehelligt eine Spyware installiert werden.

Das steht in deinem Artikel und gibt @Christian1297 vollkommen Recht!

​

Ergänzung (23. März 2024)

Um diese Lücken auszunutzen braucht man entweder Nutzeraktionen oder sie sind so theorethisch, dass sie nicht unter normalen Bedingungen auszuführen sind. Aber ganz besonders würde ich da nicht auf chip.de hören. da kann man direkt die Micky Maus lesen.

 

[stefan59]

Ich würde die Geräte aufgrund des nicht mehr ganz aktuellen Sicherheitspatch nicht gleich verschrotten.

Genau das ist es, was ich hören wollte!
Ich weiß zwar nicht immer zu 100% was ich mache,aber ich bin schon relativ vorsichtig.Online Banking mache ich sowiso nicht mit dem Handy.Ich benutze auch häufig den Optimizer dabei wird ja auch nach Viren und schädlichen App´s gescannt.Keine Ahnung ob das ausreichend ist.

 

[0x8100]

Mir persönlich ist da jetzt aber auch kein Exploit bekannt, der ohne dein zutun ausgenutzt werden kann.

rce bei bluetooth - reicht das? generell https://source.android.com/docs/security/bulletin/2023-04-01 und neuer anschauen, da sind einige rce ohne user-interaktion dabei - ganz abgesehen von den ganzen anderen sachen.

 

[siggi%%44]

Außerdem

rce bei bluetooth - reicht das? generell https://source.android.com/docs/security/bulletin/2023-04-01 und neuer anschauen, da sind einige rce ohne user-interaktion dabei - ganz abgesehen von den ganzen anderen sachen.

Der Bluetooth-Exploit ist unter normalen Umständen auch nicht ausführbar. Der Angreifer müsste sich währenddessen ständig in unmittelbarer Nähe aufhalten (10m), um das zu schaffen. Wenn der Angreifer also eine offene Bluetoothverbindung finden sollte (was praktisch nur dann geht, wenn ich mich mit meinem Handy im Bluetooth-Menü befinde, denn erst dann ist es sichtbar für andere), muss er dazu noch wissen, zu welchem Gerät es gerade in seiner Nähe passt und mir dann hinterherlaufen. Sonst sind die 10m schnell überschritten.

 

[stefan59]

ich würde solche Geräte so weder verwenden noch betreiben.

jetzt machst du mir aber doch Angst. Heißt das, das ein 900€ Gerät nach 4 Jahren Schrott ist.Wer hat in Gottes Namen so viel Geld sich alle paar Jahre ein neues Smartphone zu kaufen?

 

[siggi%%44]

Online Banking mache ich sowiso nicht mit dem Handy

Der PC ist definitiv weniger sicher als ein Handy.

Nutze aktuelle Apps mit aktuellen Updates und installiere nichts, was von außerhalb des Play Stores stammt. Das reicht für dich vollkommen aus und du wirst noch lange Zeit glücklich mit deinem Gerät.

 

[Lotsenbruder]

jetzt machst du mir aber doch Angst. Heißt das, das ein 900€ Gerät nach 4 Jahren Schrott ist.Wer hat in Gottes Namen so viel Geld sich alle paar Jahre ein neues Smartphone zu kaufen?

Du kannst dir auch ein Gerät kaufen welches erheblich preiswerter ist.
Bei mir kommt kein Handy ins Haus das mehr als € 300,- kostet.

Heißt das, das ein 900€ Gerät nach 4 Jahren Schrott ist.

So siehts aus. Einige Hersteller geben ja schon für längere Zeiträume Updates.

 

[siggi%%44]

So siehts aus.

Also sollte jeder sein Gerät nach dem letzten Patch wegwerfen, weil es schrott ist?

 

[0x8100]

Der Bluetooth-Exploit ist unter normalen Umständen auch nicht ausführbar. Der Angreifer müsste sich währenddessen ständig in unmittelbarer Nähe aufhalten (10m), um das zu schaffen. Wenn der Angreifer also eine offene Bluetoothverbindung finden sollte (was praktisch nur dann geht, wenn ich mich mit meinem Handy im Bluetooth-Menü befinde, denn erst dann ist es sichtbar für andere), muss er dazu noch wissen, zu welchem Gerät es gerade in seiner Nähe passt und mir dann hinterherlaufen. Sonst sind die 10m schnell überschritten.

k.a. warum du dich jetzt daran aufhängst. ist das nur ein beispiel von vielen rce-lücken und nur weil du dir kein szenario vorstellen kannst, heisst das nicht, dass das nicht praxisrelevant ist. übrigens steht im cve nichts davon, dass das gerät sichtbar sein muss - hast du dir das ausgedacht?

 

[siggi%%44]

Weil unsichtbare Geräte meist schwer zu finden sind... Dort steht auch nicht, dass Bluetooth aktiviert sein muss, trotzdem setzen wir das doch alle voraus, oder?

Wenn jemand bedenken bzgl. der Sicherheit seines Gerätes hat, hilft es wenig, irgendwelche Artikel rauszusuchen, die ihm suggerieren, jeder könnte einfach so die Kontrolle über das Gerät ergreifen. Natürlich könnte in freier Wildbahn jemand herumlaufen, der sich genau auf diese Lücke spezialisiert hat. Dann trifft es aber nur 1 von Millarden, vielleicht sogar 2. Soll das jetzt eine aussagekräftige Antwort auf seine Frage

Nun frage ich mich wie es mit der Sicherheit der beiden Handys bestellt ist,da ja beide keine Updates mehr bekommen

sein?

Ich persönlich finde es hilfreicher, ihm solche Aussagen realistisch darzulegen, anstatt unnötig Angst zu schüren.

 

[0x8100]

Weil unsichtbare Geräte meist schwer zu finden sind... Dort steht auch nicht, dass Bluetooth aktiviert sein muss, trotzdem setzen wir das doch alle voraus, oder?

dann setz dich z.b. an einem bahnhof ins cafe, dort haben jede menge leute bluetooth für z.b. kopfhörer an (und wer schaltet im allgemeinen bluetooth noch aus? das ist default an und niemand schaltet das hin und her). wie gesagt, nur weil du dir keinen angegriffsvektor vorstellen kannst, heisst das nicht, das ein anderer ihn nicht ausnutzt.

und häng dich bitte nicht an diesem einen cve auf - in den listen gibt es noch jede menge mehr inkl. rce ohne nutzerinteraktion. wer ein phone ohne support zuhause für youtube nutzen will, gerne. als daily-driver inkl. banking wohl eher weniger.

 

[MSSaar]

Lücken sind immer vorhanden, selbst ein aktuell gepatchtes Handy ist nicht frei davon. Ein aktueller Patch kann auch eine Gefahr sein, weil man sich nur auf den Hersteller verlässt und nicht mehr selbst aufpasst und denkt, dass einem sowieso nichts passieren kann.

Ich sehe die älteren Geräte nur als eine theoretische Gefahr - wenn diese Lücken praktisch ausgenutzt und angegriffen würden, wäre das Netz voll von Meldungen über Millionen befallener Geräte.

 

[Lotsenbruder]

Also sollte jeder sein Gerät nach dem letzten Patch wegwerfen, weil es schrott ist?

Das muss Du selber wissen ob Du es weiternutzt oder nicht.

 

[siggi%%44]

dann setz dich z.b. an einem bahnhof ins cafe, dort haben jede menge leute bluetooth für z.b. kopfhörer an (und wer schaltet im allgemeinen bluetooth noch aus? das ist default an und niemand schaltet das hin und her). wie gesagt, nur weil du dir keinen angegriffsvektor vorstellen kannst, heisst das nicht, das ein anderer ihn nicht ausnutzt.

und häng dich bitte nicht an diesem einen cve auf - in den listen gibt es noch jede menge mehr inkl. rce ohne nutzerinteraktion. wer ein phone ohne support zuhause für youtube nutzen will, gerne. als daily-driver inkl. banking wohl eher weniger.

Dir ist schon klar, dass 99,99% aller Patches nur darauf beruhen, dass Google selbst oder Hersteller/Entwickler diese gezielt/zufällig im AOSP entdecken und nicht, weil diese im wahren Leben aufgetaucht sind. Ich verstehe auch nicht, warum Banking dabei immer eine Rolle spielen soll? Ich könnte dir meine Zugangsdaten hier im Forum preisgeben und du könntest nichts damit anfangen. Du könntest dich nicht einmal anmelden. Man sollte alles realistisch sehen.

 

[0x8100]

Dir ist schon klar, dass 99,99% aller Patches nur darauf beruhen, dass Google selbst oder Hersteller/Entwickler diese gezielt/zufällig im AOSP entdecken und nicht, weil diese im wahren Leben aufgetaucht sind.

und dir ist klar, dass man anhand der fixes dann sehen kann, wie man das auf ungepatchten system ausnutzen kann?

Ich verstehe auch nicht, warum Banking dabei immer eine Rolle spielen soll? Ich könnte dir meine Zugangsdaten hier im Forum preisgeben und du könntest nichts damit anfangen.

oh, gerne. immer her damit.

 

[siggi%%44]

und dir ist klar, dass man anhand der fixes dann sehen kann, wie man das auf ungepatchten system ausnutzen kann?

Und? Wer macht es? Kennst du konkrete Fälle? Genau deswegen sollte man nicht so einen Wirbel darum machen und seine Geräte austauschen/verschrotten, nur weil der letzte Patch 2 Monate zurückliegt. Genau aus diesem Grund.

 

[0x8100]

such einfach nach "android exploit in the wild" und du findest die berichte.

nur weil der letzte Patch 2 Monate zurückliegt.

wir reden hier über phones, die bereits seit einem jahr keine updates mehr bekommen haben. wenn du meinst, dass updates nicht nötig sind - bitte, du kannst gerne damit leben, aber empfehle sowas nicht dem rest der welt.