Einblicke in die Smartphone Technologie

Transkript

1 Einblicke in die Smartphone Technologie Smartphones haben Sie noch die Kontrolle? [ ] 1

2 Was mache ich? IT-Sicherheitsberatung mit folgenden vier Schwerpunkten: Netzwerksicherheit Mobile Endgeräte Penetrationstests Systemabsicherung Kurz: Den bösen Buben den Tag erschweren Infos: 2

3 Agenda Unterschiede und Gemeinsamkeiten von Android und ios (iphone, ipad) Berechtigungen von Apps am Beispiel von Android Schock Und was kann ich jetzt tun!? 3

4 1. Unterschiede und Gemeinsamkeiten von Android und ios (iphone, ipad) 4

5 Zahlen lügen nicht... Android Betriebssystem ios 6 Jahre Alter 6 Jahre Apps über 45 Milliarden App Downloads ca. 40 Milliarden ca. 750 Millionen Nutzer ca. 220 Millionen ca. 62% Marktanteil ca. 18 % ca. 300,- Durchschnittspreis ca. 600,- Und die Sicherheit dieser Systeme? 5

6 F-Secure: Mobile Threat Report 2012 Systemverteilung Art der Schadsoftware Aufgrund der hohen Verbreitung ist Android ein beliebtes Angriffsziel 6

7 Androids Problem Bezugsquellen für Apps sind vielfältig Jeder kann einen AppStore eröffnen Neben dem Google PlayStore unzählige weitere AppStores Keinerlei Regulierung durch Android / Google der AppStores Download von Apps aus beliebigen Quellen (auch Webseiten) Keine einheitlichen Prüfmechanismen für neue Apps Automatisierte Kontrollen neuer Apps vor Veröffentlichung im PlayStore Wer prüft die Apps der anderen Stores? Selbst im PlayStore ist 1 aus 200 Apps (also 0,5 %) Schadsoftware 7

8 Hauptunterschiede Sicherheit uneingeschränkt lasch sehr offen Bezugsquellen App-Kontrollen System itunes App Store restriktiv geschlossen Und dennoch ist Android kein unsicheres System... seine Offenheit, lasche Kontrollen und uneinheitliche Bezugsquellen sind allerdings eine große Schwachstelle 8

9 Was kann ich tun!? Apps nur aus vertrauenswürdigen Quellen beziehen Google PlayStore ( Amazon AppStore ( F-Droid AppStore ( Sich nicht blind auf die Funktion von Sicherheitssoftware verlassen. Ein Virenscanner auf Android hat zum Beispiel kaum messbaren Nutzen eigentlich gar keinen... Vor der Installation den gesunden Menschenverstand nutzen und vor allem die Berechtigungen prüfen! 9

10 2. Berechtigungen von Apps am Beispiel von Android 10

11 Das Popup vor jeder Installation... Fakten: Die hellste LED Taschenlampe Millionen Downloads 5 von 5 Bewertungssternen Positives Kundenfeedback Über Rezensionen Und natürlich (extrem) wichtig: KOSTENLOS! Klasse auf geht s! 11

12 Was sind Berechtigungen? Das nervige Popup vor jeder Installation... ist wichtig! Es fasst zusammen: Was darf eine App und was nicht? Idee In ihrer Grundidee sollen Berechtigungen auf Android gewährleisten, dass Apps ohne explizite Rechte keinerlei Aktionen auf dem Gerät ausführen dürfen. Realität Überforderte Anwender, die sich weder mit den Berechtigungen herumschlagen wollen, noch den Sinn dahinter verstehen. 12

13 Berechtigungen Taschenlampen-App (1) (1) Bilder und Videos aufnehmen Gutartig: Ohne diese Berechtigung kann die App die interne LED nicht aktivieren. Wird also benötigt, ansonsten leuchtet nichts. Bösartig: Bilder und Videos aus allen Lebenslagen. Noch dazu benötigt die App keine Bestätigung durch den Nutzer. (2) USB-Speicherinhalte ändern und löschen Beschreibung: Alle Inhalte im USB-Speicher oder auf der SDKarte werden dauerhaft gelöscht und der USB-Speicher oder die Karte wird für die Verwendung mit Ihrem Telefon vorbereitet. Für welchen Zweck benötigt eine Taschenlampe den Zugriff auf die SD-Karte oder USB-Speicher? 13

14 Berechtigungen Taschenlampen-App (2) (3) Voller Netzwerkzugriff Gutartig: Die App ist kostenlos und finanziert sich durch die Darstellung von Werbung. Dazu wird Internetzugriff benötigt. Bösartig: Im Hintergrund sammelt die App fleißig persönliche Daten. Dazu gehört bei dieser App die eindeutige IMEI oder Daten vom USB-Speicher. Zudem kann die App Bilder und Videos aufnehmen die könnten über diesen Kanal verschickt werden. (4) Telefonstatus und Identität abrufen Gutartig: Bei einem Anruf beendet sich die App selbst bzw. unterbricht ihre Arbeit und merkt sich den aktuellen Zustand. Bösartig: Ermöglicht der App die Erfassung von Telefonnummer, der IMEI oder IMSI. 14

15 Berechtigungen Taschenlampen-App (3) (5) Genauer (GPS-)Standort, ungefährer Netzwerkstandort Beschreibung: Ermöglicht die Ortung über das GPS-Modul, Mobilfunkantennen oder WLAN-Accesspoints Auch hier gilt: Wozu benötigt eine Taschenlampen-App meinen genauen Standort? Alternative: Search Light zu finden im PlayStore 15

16 Analyse des Internetverkehrs Nach dem Start werden folgende Verbindungen aufgebaut: *.doubleklick.net *.flurry.com *.mydas.mobi Doubleklick: Wurde von Google gekauft und wird oft mit Spyware in Verbindung gebracht. Ermöglicht eine Aufzeichnung der angezeigten Werbung und welche angeklickt wurde. Flurry: Sammelt und wertet Daten aus. MyDas: Gehört zu Millennial Media und ist vergleichbar mit Doubleklick. Blendet auf Basis gesammelter Nutzerdaten maßgeschneiderte Werbung ein. 16

17 Wozu die Datensammelwut? Unternehmen / Konzerne Aufbau von detaillierten Benutzerprofilen Personalisierte Werbung Kurz: Ein Handel mit Daten. Ihren Daten! Kriminelle Abgreifen von Bankgeheimnissen (TAN, Kreditkarten) Zugriff auf sensible / privaten Daten Nutznießer dieser Entwicklung ist der Staat Patriot Act in den USA gewährt US-Behörden den Zugriff auf Daten in Facebook, Google und Co. 17

18 Apps die (fast) jeder nutzt (1) WhatsApp Der Ersatz für SMS Extrem hoher Verbreitungsgrad Über 17 Milliarden Nachrichten pro Tag Kostengünstig (0,79 pro Jahr!) Kinderleichte Bedienung Hat sich allgemein durchgesetzt und wird akzeptiert Und die Sicherheit bzw. der Datenschutz? 18

19 WhatsApp Sicherheit & Datenschutz Bis Ende 2012 war es mit einfachen Mitteln möglich Accounts von anderen Anwendern zu übernehmen Bis Mitte 2012 konnte jeder Chat in einem öffentlichen WLAN mitgelesen werden Extrem schlechte Implementierung der Sicherheitslogik Bei jedem Start der App wird das komplette Adressbuch des Smartphones an die WhatsApp Server übertragen Auch die Adressdaten von Kontakten die WhatsApp niemals genutzt haben Was geschieht mit den ausgetauschten Nachrichten? Entsteht im Hintergrund ein riesiger Datenberg mit Nutzerinformationen? 19

20 WhatsApp Upload Telefonbuch (2) Kontaktdaten Upload (1) Anmeldung 20

21 Apps die (fast) jeder nutzt (2) Facebook The Social Network Extrem hoher Verbreitungsgrad Über 25 Millionen aktive Nutzer in Deutschland Über 1,1 Milliarden aktive Nutzer weltweit Kostenlose Nutzung Hat sich weltweit durchgesetzt Und der Datenschutz? 21

22 Facebook Datenschutz Facebook merkt sich alles! Jedes Wort, jedes Bild, jeden Klick Hinter Facebook steckt kein Wohlfahrtsverein, sondern ein knallhartes, gewinnorientiertes Unternehmen Das Kapital sind Ihre Daten! Die Facebook App überträgt ungefragt das Adressbuch eines Smartphones Facebook ermittelt ständig den derzeitigen Aufenthaltsort via GPS oder Netzwerkinformationen (WLANs) Genehmigt sich bei der Installation weitreichende Berechtigungen Auslesen von SMS-Nachrichten, Kontakten, Anrufprotokollen Zugriff auf USB-Speicherinhalte... 22

23 Facebook, was weißt du über mich!? Wolfram Alpha Suchmaschine 23

24 Smartphones sind Taschenspione Smartphones Apps sind spannend, bunt und bieten oft einen Mehrwert Blitzer-Warnung, kostenlose Kommunikation, Barcode-Scanner, Fernsehprogramm, Sport-Nachrichten, Zeitvertreib mit Spielen... Aber sie sind auch kleine Taschenspione! Selbst kostenpflichtige Apps sammeln Daten Niemand hat die Kontrolle über seine Daten Und wichtig: Was passiert damit eigentlich!? Fazit: Wir stehen noch ganz am Anfang bei der Frage nach Sicherheit und Datenschutz in Smartphones Problem: Weder Hersteller noch Nutzer wollen etwas ändern... 24

25 3. Schock! Und was kann ich jetzt tun!? 25

26 (1) Informieren. 26

27 (2) Aufklären. 27

28 (3) Alternativen aufzeigen. 28

29 Allgemeine Tipps für Android (1) Zunächst einmal Smartphone entrümpeln! Auf welche Apps kann ich verzichten? Welchen Apps vertraue ich / welchen nicht? Welche Apps verletzen nicht nur meinen Datenschutz, sondern auch den meiner gespeicherten Kontakte? Anschließend bei der Installation neuer Apps auf die Berechtigungen achten 29

30 Allgemeine Tipps für Android (2) Ich bin vollkommen planlos Hilfe!? Apps nicht installieren, die zu viele Berechtigungen einfordern. aspotcat hilft beim Verständnis. Gezielt nach Apps suchen, bei denen Sie selbst festlegen welche Berechtigungen okay sind. APEFS unterstützt diese Möglichkeit Entwickler bieten teilweise Informationen aus welchem Grund Ihre App Berechtigung XY benötigt Vertrauenswürdige Quellen zum Download von Apps nutzen Vergessen Sie das Bewertungssystem und Kommentare in den App Stores Selbst urteilen und nicht der Masse folgen! 30

31 Allgemeine Tipps aspotcat (3) 31

32 Allgemeine Tipps APEFS (4) 32

33 Allgemeine Tipps Entwickler Infos (5) 33

34 Allgemeine Tipps PlayStore (6) 34

35 Allgemeine Tipps Bewertungen (7) Negativbeispiel für positive Bewertungen Keinerlei Funktion Sämtliche Daten werden nach Israel geschickt Trotz Kontaktaufnahme Google entfernt die App nicht Mehr Infos auf dem Blog: Mobiwol Android Firewall Mogelpackung 35

36 Bin ich jetzt sicher!? Ja und Nein Jein Die Tipps helfen gegen die größten Datenschleudern Auf manche Apps wollen / können Sie aber nicht verzichten Wiederum andere Apps beurteilen Sie vielleicht falsch und nutzen Sie mit gutem Gewissen Daten verlassen noch immer ungefragt Ihr Smartphone Kann ich es überhaupt verhindern!? 36

37 Selbstbestimmung (1) Befreiung von den Restriktionen der Hersteller Nennt sich bei ios Jailbreak Wird bei Android rooten gennant Ermöglicht die Veränderung des System und die Installation weiterer Apps Und die Garantie / Gewährleistung? EU-Verordnung 1999/44/CE regelt die Gewährleistung trotz Veränderungen an der Software Ein Schalter ist defekt. Trotz Befreiung darf der Hersteller innerhalb der ersten 6 Monate die Reparatur nicht verweigern Manche Tools ermöglichen das Übertakten der CPU. Nimmt die CPU davon einen Schaden gilt die Gewährleistung nicht 37

38 Selbstbestimmung (2) Installation von Sicherheitstools Firewalls zur Kontrolle von Verbindungen Android: AFWall+ ios: Firewall ip Berechtigungsmanager Android: PDroid, OpenPDroid ios: Protect my Privacy Nebeneffekt: Reduzierter Akkuverbrauch (ca. 15%) Installation von Custom ROM's Vorteile: Aktueller, performanter und offener Entfernt Hersteller-Branding 38

39 Selbstbestimmung Firewalls (3) 39

40 Selbstbestimmung Berechtigungsmanager (4) 40

41 Aber jetzt bin ich sicher!? Ja Fast! Vorausgesetzt: Korrekter Umgang mit den Tools Die Bindung an Apple oder Google (Android) lässt sich allerdings kaum aushebeln Es ist dennoch möglich, allerdings schwierig zu realisieren und macht das Smartphone nahezu unbenutzbar Beide Hersteller sind also weiterhin in der Lage Nutzerinformationen zu sammeln Fazit: Ein sicheres oder gar datenschutzkonformes Smartphone existiert nicht. Wer sich und seine Daten schützen möchte muss dies in eigene Hände nehmen und andere aufklären! 41

42 Vielen Dank für Ihre Aufmerksamkeit! für die Einladung zum Event! Dipl.-Inform. (FH) Tel: Mail: Web: Blog: