Open-to-wipe Samsung Galaxy Serie

English version is: here.

Eben hat jemand eine schöne Möglichkeit gepostet, wie man ein Samsung Galaxy S3 ohne Rückfrage wipen kann. Leider ist die Quelle schon wieder gelöscht, aber es gibt ja noch andere Quellen, wie z.b. dieser Forenthread zu dem Thema: http://forum.xda-developers.com/showthread.php?p=31994542. Hier gibt es noch ein YouTube Video der Demo http://www.youtube.com/watch?v=Q2-0B04HPhs.

Betroffen ist davon nicht nur das Samsung Galaxy S3 sondern mindestens auch das S2 (von mir eben getestet mit Android 4.0.3). Ich vermute mal, dass alle aktuellen Samsung Android ROMs betroffen sind.

Zum Testen verlinke ich mal auf den tweet von Tsia, der das mal als Webseite eingestellt hat: https://twitter.com/tsia/status/250566154165301248

Dort findet sich der Link auf seine Testseite. Ich verlinke absichtlich nicht direkt drauf, weil „bestenfalls“ euer Gerät direkt und ohne Rückfrage gelöscht wird. Ein „mimimi, ich dachte da kommt eine Rückfrage“ will ich nicht hören 😉

Das ganze funktioniert natürlich auch als MMS, NFC Tag und so, aber als Webseite mit Frame hat es viel mehr charm. Der dazugehörige USSD Code lautet: *2767*3855# (auch hier: Das Gerät wird ohne Rückfrage gelöscht)

Wer testen will, ob ein Gerät auch anfällig für solche Angriffe ist kann den Quellcode von Tsias Seite mal auf einen harmloseren USSD Code abändern. (z.B. den zur Anzeige der IMEI: *#06#).

Wie immer in der IT gilt auch für Smartphones: Wer kein Backup hat, hat pech gehabt. Für Android kann ich hier TitaniumBackup empfehlen.

Update: Über Twitter hat mich gestern die Nachricht erreicht, dass hier kein kompletter wipe durchgeführt wird sondern „nur“ ein factory reset, der zum Beispiel die SD Karte nicht formatiert.

Fritz!Box Capture

Weil ich es immer und immer wieder google und mir nie merken kann:

Unter http://fritz.box/html/capture.html kann man bei einer Fritz!Box einen Paketmitschnitt starten. Dieser erfolgt in einem Format, welches direkt mit Wireshark geöffnet werden kann. Man kann zudem noch auswählen auf welcher Ebene man die Pakete mitschneiden möchte (DSL, WLAN, LAN und mit/ohne spezieller DSL Header). Beachtet bei einem Mitschnitt aber die Rechtslage in dem entsprechenden Land 😉

Bin dann mal ein paar Daten auswerten.

Der Facebook „Like“ button

Man sieht ihn immer häufiger, den Facebook „Gefällt mir“ Button auf Webseiten.

Facebook ist in letzter Zeit des öfteren in den Nachrichten gewesen, u.a. wegen Datenschutzumstellungen und ihren Mitgliederdaten, woraufhin haben einige Mitglieger das Netzwerk verlassen haben bzw. viele andere von einem Beitritt absehen

Doch „nutzen“ viele Facebook ohne es zu wissen. Einerseits durch den Abgleich von Kontaktdaten, selbst man selbst nichts damit zu tun hat gleichen manche Freunde ihr Adressbuch mit Facebook ab um eventuelle Mitglieder zu finden, dabei werden Teile dieser Daten gespeichert und auch für Freundschaftsvorschläge verwendet, aktuell steht dazu wieder etwas bei Heise. Ein Weiteres Kapitel in dieser Geschichte ist der „Like“ Button. Der Button kann von Webseitenbetreibern eingebunden werden um Lesern damit eine (einfache) Verlinkung mit Facebook herzustellen. Wenn man ihn (als Facebookmitglied) drückt wird man zu Facebook umgeleitet und kann den Link (z.b.) als Status einstellen („Ich lese gerade xyz“). Der Knopf selbst ist ein kleines Script welches vom Facebook Server geladen wird. Mit dem reinen Laden der Webseite (welche den Knopf einbindet) wird aber auch der Referer übertragen, die aktuell geladene Seite, wodurch Facebook weiß, wo man gerade surft. Daneben wird noch ein Cookie übertragen, mit dem der Nutzer eindeutig identifiziert werden kann. Das Alles ohne, dass man einen Facebook Account hat bzw. eingeloggt ist.Die daraus Resultierenden Daten sind vergleichbar mit denen von Google Analytics, nur dass die dafür (noch) nicht verwendet werden.

Mit der zunehmenden Verbreitung des „Like“ Buttons wird der Nutzer für Facebook (ohne sein Zutun) immer transparenter.

Nun Stellt sich die Frage: Will man das??? Will man, dass ein Webdienst, den man unter Umständen garnicht nutzen will (weil man ihm z.B. nicht Vertraut) trotzdem weiß, wo man sich aufhält und welche Interessen man hat??

Als Webseitenbetreiber stellt sich auch die Frage: Will man seine Nutzer „ausliefern“, die Daten kostenlos weitergeben wodurch andere Firmen (unter Umständen) viel Geld daran verdienen können??

Welche Möglichkeit hat man als Webseitenbetreiber: Den Button einfach nicht einbinden. Für WordPress gibt es zum Beispiel „freie“ Alternativen, welche komplett Lokal laufen und keine Daten weitergeben.

Die Bedenken gelten aber nicht nur für Facebook. Die Funktionsweise ist bei einigen Webdiensten vergleichbar. Werbeanbieter, Analysedienste, Micropaymentdienste und viele andere bieten kleine Scripte zum einbauen in Webseiten an und bekommen dadurch Nutzerdaten „frei Haus“.

Als Nutzer kann man solche Scripte auch einfach Blocken, was mit den Erweiterungen AdBlockPlus (wurde eigentlich für Werbung erstellt) oder NoScript geht, für AdBlockPlus wäre hier die „Easy Privacy List“ zu empfehlen

Bin ich mit meiner Ansicht alleine? RA Stadler hat sich z.B. mit dem Thema befasst und ist zu dem Entschluss gekommen, dass der Button sehr wahrscheinlich gegen (deutsches) Datenschutzrecht verstößt. Wer kurz Sucht wird noch mehr zu dem Thema finden.

Ich für meinen Teil hab das Script auf meinen Rechnern (bzw in den Browsern) blockiert (wie viele andere auch). Das mag zwar jetzt als „Spaßbremse“ aussehen aber ich will nicht, dass Firmen unkontrolliert viele Daten über mich Sammeln. Es gibt zwar noch genug andere Scripte die fröhlich Sammeln, aber irgendwo muss man ja Anfangen und das ganze etwas eingrenzen.

De-Mail <-> GnuPG

De-Mail soll der „neue“ E-Maildienst für Deutschland heißen. Sicherheit soll durch Verschlüsselung und „kontrollierte“ Zuweisung der Adressen kommen. Um Sich zu registrieren muss man seine Identität bei einer Behörde bestätigen, dann bekommt man eine De-Mailadresse im Format vorname.nachname@anbieter.de, falls der eigentliche Name schon Vergeben ist werden Zahlen angehängt -> max.mustermann2@anbieter zum Beispiel.

Die E-Mails werden auf dem Server verschlüsselt gespeichert und auch nur verschlüsselt übermittelt. Es gibt (bei Bedarf) Empfangsbestätigungen bei der Zustellung und Lesebestätigungen beim lesen der De-Mail. Diese Features kosten allerdings Geld, untypisch für E-Mails. Noch dazu sind die Server „inkompatibel“ zu normalen Mailservern, man kann also nur von und zu De-Mailpostfächern Nachrichten schicken, aber nicht an andere Anbieter (z.B. im Ausland). Im moment Bieten nur GMX, Web.de und die Telekom dieses Feature an, offiziell gestartet ist es noch nicht, da das zugrundeliegende  Gesetz noch nicht verabschiedet ist.

Eine Alternative mit ähnlichem Ansatz ist der E-Postbrief der Deutschen Post, der Funktionsumfang ist vergleichbar und das System ist genauso inkompatibel zu normalen E-Mails wie zu De-Mail.

Beide Systeme sollen freiwillig sein, De-Mail soll (unter Anderem) zur gesicherten Kommunikation mit Behörden dienen und damit viele Behördengänge unnötig machen.

Besitzt man allerdings ein De-Mail Postfach und gibt man die Adresse an Behörden, ist man verpflichtet sein Postfach regelmäßig zu Prüfen.

Die Hauptfeatures sind einerseits die Verschlüsselung der Nachrichten, andererseits die Authentifizierung der Nutzer. Diese Features sind an Sich nichts neues.

Die größte Schwachstelle ist die Verschlüsselung der Nachricht, weil diese bei der Zustellung kurz entschlüsselt und neu verschlüsselt wird. Falls eine Person sich also Zugang zum Server verschafft, könnte er diese Nachrichten lesen oder gar Verändern. Da die Servern aber „staatlich geprüften Sicherheitsstandards entsprechen“ soll dies nicht möglich sein und man sich keine Gedanken machen, dass das System unsicher wäre ( via Netzpolitik), ich selbst habe daran allerdings meine Zweifel und würde mich nicht Wundern wenn sich das System doch als unsicher herausstellt.

Ein völlig anderer Ansatz ist dagegen schon seit einigen Jahren auf dem Markt und genießt seitdem leider ein Nischendasein, die E-Mail Verschlüsselung mit PGP/GnuPG oder S/MIME. Beide Verfahren sind end-to-end Verschlüsselungen, Nachrichten werden also beim Absender verschlüsselt (im E-Mailclient) und erst beim Empfänger wieder Entschlüsselt. Der Weg dazwischen ist nahezu egal, da nicht alle Informationen zur Entschlüsselung nicht mitgeliefert werden (Passwort bzw Schlüssel). GnuPG ist eine unsymmetrische Verschlüsselung und besitzt einen Privaten und einen Öffentlichen Schlüssel. Nachrichten können von jedem mit dem öffentlichen Schlüssel verschlüsselt werden, entschlüsselt aber nur mit dem Privaten. Auf Basis des Web-of-Trust wird die Echtheit der Personen und Schlüssel sichergestellt. Wenn man einer Person Vertraut kann man Ihren Schlüssel unterschreiben, wodurch dritte das Vertrauen „sehen“, sie sehen wer die Schlüssel unterschrieben hat.

S/MIME funktioniert dagegen mit X.509 Zertifikaten (wie oft auch VPN Tunnel) welche von „zentralen“ Stellen herausgegeben werden. Von den Ausgabestellen wird die Echtheit des Empfängers sichergestellt. Die eigentliche Verschlüsselung ist auch end-to-end, die E-Mail wird also nicht auf ihrem Weg entschlüsselt und wieder neu verschlüsselt.

Beide Verfahren könnte man ebenso wie De-Mail einsetzen, Behörden könnten Zertifikate ausgeben (oder GnuPG Schlüssel mit ihrem Schlüssel unterschreiben und damit die Echtheit bestätigen) und damit normale E-Mails verschlüsseln. Dies würde mit dem bisher Eingesetzten E-Mailsystem ohne Probleme sogar Weltweit funktionieren und noch dazu Geld sparen. Dafür hätte der Staat keine so ausgedehnte Kontrolle über das System wie bei De-Mail.

Meine Meinung zu dem Thema: Ich finde De-Mail überflüssig, mit den Bestehenden Diensten könnte man vergleichbare Sicherheit (eventuell sogar noch höhere) auch abbilden, nur hat dann der Staat keine (so große) Kontrolle darüber, ob die E-Mail auch ankommt und kann dadurch nicht so viel Druck machen, wenn man sie einfach Ignoriert. Die Verpflichtungen die mit dem Dienst kommen aber auch, dass es extra Geld kostet lassen mich davon Abstand nehmen. Ich habe gerne selbst die Kontrolle darüber wem und wo ich meine Daten anvertraue, einer im Auftrag des Staates arbeitenden Stelle möchte ich sie ganz bestimmt nicht geben, da Fahr ich lieber doch die 2km zum Amt. Das kurzfristige Entschlüsseln wird mit der Abwehr von Viren und Spam begründet, wenn ich aber so etwas lese bekommt das ganze einen faden Beigeschmack. Durch die doch immernoch lauten Rufe nach Internetsperren gehe ich davon aus, dass früher oder später auch De-Mails gefiltert werden (nach was auch immer). Ich bleibe bei eigenen Servern und GnuPG.

Wenn jemand Fehler findet (z.B. inhaltliche), Ergänzungen hat, oder sich einfach über etwas Beschweren will  soll sich bitte Melden (per Kommentar oder Mail) und nicht direkt eine Abmahnung schicken.