Smartphone-Sicherheit-Gretchenfrage

[abflussrohr]

Gretchenfrage 2013: Wie hältst du's eigentlich mit der Smartphone-Sicherheit?

Aufm PC (Win) nutze ich seit Ewigkeiten TrueCrypt und GPG und fühle mich da recht sicher (was in den letzten Wochen natürlich gelitten hat).

Meinem Smartphone (Android) traue ich da viel weniger. Als IM benutze ich daher Threema (und konnte auch mein Umfeld dazu bewegen), GPG finde ich aber zu umständlich und unsicher (Mailkorrespondenz ist bei mir aus unerfindlichen Gründen irgendwie höher bewertet). Daneben habe ich noch eine KeePass-DB in der DropBox liegen, damit ich meine Logins halbwegs synchronisieren kann.

Benutzt ihr auch noch irgendwelchen Kryptospaß aufm Handy oder habt ihr da mittlerweile resigniert? Ich fühle mich damit immer ein wenig sicherer, obwohl mir meine "Das-ist-eh-alles-kaputt"-Resignation ständig im Hinterkopf rumschwebt.

 

[p3Eq]

Das ist eh alles kaputt Android bewerten viele sowieso als "unsicher", da es leichter ist, dort Viren in Umlauf zu bringen. Aber auch Apple würde ich nicht unbedingt trauen, da diese ebenfalls eine große Datensammelwut haben und in den USA ansässig sind.

Daher habe ich für mein Handy auch keine besondere Verschlüsselungssoftware im Einsatz. Zwar kann ich dank Samsung das gesamte Smartphone verschlüsseln, allerdings sehe ich darin keinen effektiven Schutz für Datenspionage. Installiert habe ich jedoch einen TOR-Client für Android. Der kann ja doch hin und wieder mal nützlich sein, allerdings nicht unbedingt für Anonymität, sondern um Ländersperren zu umgehen und Ähnliches.

 

[accC]

Da ich zur Zeit kein Smartphone habe, habe ich auch keine Verschlüsselung.
Apple entsperrt doch auf Anfrage von Behörden sogar Smartphones. Da nützt natürlich die stärkste und beste Crypto nichts, wenn Apple mit einem Masterkey bereitwillig alles entsperrt. Bei Android weiß ich nicht, wie das da aussieht.
Allerdings bringt dir insbesondere in-app-Verschlüsselung wenig, wenn schon an der Quelle mitgehört wird. Die meisten Apps sind ja auch nicht opensource und du weißt im Prinzip nicht, was da passiert. Kann ja sein, dass alles verschlüsselt übertragen wird, kann aber auch sein, dass die App insbesondere Schlüssel zum Entschlüsseln gleich noch mit schickt oder an irgendwelche Server überträgt.

Ich würde mein Smartphone, nicht dazu nutzen vertrauliche Inhalte zu speichern und/oder zu übertragen.

 

[nik]

GPG finde ich aber zu umständlich und unsicher (Mailkorrespondenz ist bei mir aus unerfindlichen Gründen irgendwie höher bewertet)

Die Aussage kann ich irgendwie nicht nachvollziehen. Wie meinst du das denn?

Empfehlen würde ich noch, wenn du Truecrypt verwendest, die Verschlüsselungsfunktion zu verwenden, falls das dein Handy unterstützt. So sind seine privaten Daten zumindest bei einem Diebstahl sicher.

 

[DerLadendieb]

Truecrypt für das Smartphone: http://code.google.com/p/cryptonite/

Anstatt IM verwende ich hauptsächlich IRC's.

 

[abflussrohr]

Die Aussage kann ich irgendwie nicht nachvollziehen. Wie meinst du das denn?

Ich habe mehr bedenken meinen private GPG-Key zu verlieren als meine IM-Konversation. Andererseits habe ich fast all meine Passwörter in KeePass... Scheint eine Glaubensfrage zu sein

 

[nik]

Du kannst ja wie oben beschrieben, dein Home-Verzeichnis auf dem Smartphone verschlüsseln. Wenn dir dann nicht gerade das Handy geklaut wird, während der Bildschirm entsperrt ist. Daneben hast du ja noch die Möglichkeit deinen Private-Key mit Passphrase zu schützen und dir vor allem den Schlüssel zur Entwertung aufheben.

 

[Perrin]

Hallo Abflussrohr,

das komplette Androidsystem hat meiner Ansicht nach nur einen Zweck. Nämlich Daten über den Nutzer zu Sammeln um dann individualisierte Werbung platzieren zu können.

Demnach hat Google kein großes Interesse das System so zu gestalten, dass man es Sicher/Anonym nutzen kann, da dadurch der Fluss der Nutzerdaten unterbrochen würde.

Man muss sich einfach klar sein, dass ALLES was man mit dem Smartphone macht gespeichert wird bzw. man den ganzen Tag sein persönliches "Abhörgerät" mit sich herumträgt

 

[abflussrohr]

Naja, so negativ würde ich das jetzt nicht sehen. Klar sammelt Google eine Menge Scheiß, aber ich glaube nicht, dass sie die kompletten Daten auf dem SP scannen und auswerten. Allerdings glaub ich schon, dass sie das könnten wenn sie wollen/müssen. Schade, dass mobile Kommunikation mittlerweile so viele Layer of Crap hat, dass ein komplett quelloffenes System wohl nicht mehr realisierbar ist.

 

[p3Eq]

Wusstest du, dass NSA-Mitarbeiter an Android mitgewirkt haben? Angeblich wurden keine Backdoors verbaut, aber sowas lässt sich auch verschleiern. Teilweise ist der Code auch komplex genug, dass es ein großer Aufwand wäre, im Detail zu verstehen, was dort vorgeht...

 

[Dummkopf]

Aufm PC (Win) nutze ich seit Ewigkeiten TrueCrypt und GPG und fühle mich da recht sicher (was in den letzten Wochen natürlich gelitten hat)...
Daneben habe ich noch eine KeePass-DB in der DropBox liegen, damit ich meine Logins halbwegs synchronisieren kann.

wenn wir paranoid sein wollen, dann muessen wir auch fuerchten, dass zb. ein installierter dropbox, skydrive oder google drive-client auf pc und handy alle noetigen passwoerter mitschneiden und nach sonstwo weiterleiten koennte.

 

[abflussrohr]

Wusstest du, dass NSA-Mitarbeiter an Android mitgewirkt haben?

Wo haben die nicht mitgewirkt? Um die gehts mir aber nicht, gegen die NSA lässt sich eh nichts tun. Ich denke da eher an den Fall dass ich es irgendwo liegen lasse oder es geklaut wird.

 

[p3Eq]

Wer sagt denn, dass bei der NSA nichts geklaut wird? :P Wäre zwar schon irgendwie dreist, aber auszuschließen ist es nicht. Allerdings meinte ich mit "mitgewirkt" in diesem Fall wirklich, dass die NSA-Mitarbeiter dort programmiert haben. Also keine Hacks oder sowas, sondern offizielle Programmierarbeit...

 

[Pleitgengeier]

Schade, dass mobile Kommunikation mittlerweile so viele Layer of Crap hat, dass ein komplett quelloffenes System wohl nicht mehr realisierbar ist.

Ubuntu Phone ist doch schon in Entwicklung?

Das erste Stabile Release soll Ubuntu 13.10 ("Saucy Salamander") sein.
Vielleicht müssen wir aber auch noch bis "Wanking Walrus" warten...

 

[abflussrohr]

Ubuntu Phone ist doch schon in Entwicklung?

Ist doch schon gescheitert, oder? Gibts jetzt was abgespecktes?

Auch wenn das komplette System Open Source ist, heißt das ja nicht, dass es keine Hintertüren oder Bugs gibt. Und wenn ich daran denke, wie viel Code allein auf der SIM-Karte ausgeführt wird und in den Hardware steckt... Der Traum vom sicheren System ist vorbei.

 

[nik]

Mehr Gedanken mach ich mir da um die Verbindung im Mobilfunknetz.

 

[Pleitgengeier]

Für das Mobilfunknetz gilt der gleiche Grundsatz wie für das Internet: Jede nicht end-zu-end-verschlüsselte Verbindung ist als unsicher zu betrachten...

Edit: Sofern der Provider Datenverbindungen nicht verschlüsselt müsste man wenn man nahe an der BS ist, jede Verbindung sniffen können, oder?

 

[Togijak]

APG mit K-@ Pro für verschlüsselte Mails
VPN
Boxcryptor für die Dropbox
Jabber
Threema https://market.android.com/details?id=ch.threema.app

 

[Pleitgengeier]

Ist doch schon gescheitert, oder? Gibts jetzt was abgespecktes?

Du meinst die eigene Hardware...

Ubuntu soll doch auch für gängige Handies anderer Hersteller rauskommen?

 

[p3Eq]

Ich wollte hier mal kurz den Querverweis zu den aktuellen News posten:
http://ngb.to/threads/2590-NSA-liebt-Smartphones?p=70790#post70790