Frage: Wie sicher sind die eingegebenen Passwörter?

[AndroJ]

Hi,

ich habe mal eine Frage zur Sicherheit von Android. Viele Apps arbeiten ja mit Online-Diensten zusammen, Google, Facebook, Mailserver, usw.
Dazu benötigen sie ja immer Benutzername und Passwort die dann auch gleich irgendwo in Android abgespeichert werden. Mittlerweile "weiß" mein Desire eine ganze Menge meiner Passwörter weshalb mich natürlich brennend interessiert wie sicher die Passwörter abgespeichert sind.

Hat jemand infos dazu wie schwierig es ist die Passwörter aus einem (un-rooted) Gerät zu extrahieren?
Wie sieht das auf ge-rooteten Geräten aus?

Gruß Jan

 

[manu]

Ich vermute fast, dass einige Passwörter unverschlüsselt in der settings.xml der jeweilligen App abgelegt werden. Als Non-Root gibt es keinen Weg daran zu kommen (außer die App selber). Da die Datei natürlich irgendwo auf dem Gerät liegt, kann man als Root dort hin und diese anschauen. Aber nur als root. Alle anderen Apps kommen da nicht hin (außer du erlaubst ihnen Root zu benutzen).

Eine weitere Möglichkeit ist die SQL-Lite Datenbank. Dort können auch Passwörter abgelegt werden.

Vermutlich werden einige Apps die Passwörter auch verschlüsseln (man kann sie wieder entschlüsseln).

Generell würde ich aber sagen: So lange die App selber keinen Mist baut, sind die Passwörter ziemlich sicher. Google hat bei Android ein recht ausgeklügeltes Sicherheitskonzept angewandt.

Gruß Manu

 

[AndroJ]

Danke, so etwas hatte ich mir schon gedacht.

Letzendlich dürfte das aber auch bedeuten, dass der Schutz der Passwörter nur so lange funktioniert, wie man das gerät nicht rootet.
Bei einem gerooteten Android Handy hängt dann der Schutz am hoffentlich sicher gewählten Root-Passwort.

 

[manu]

Eigentlich müssen alle Anwendungen um Erlaubnis fragen, ob sie die Root-Rechte nutzen dürfen. Nur der Anwender oder eine Sicherheitslücke kann dies fälschlicherweise zulassen.
Ein gerootetes Gerät würde ich daher nicht unbedingt als unsicherer ansehen.

 

[AndroJ]

Meine Aussage bezog sich hauptsächlich auf den Fall, dass man das Telefon verliert oder kurzzeitig aus den Augen verliert. In einem solchen Fall müsste man auf einem gerooteten Gerät ja alle Daten über USB kopieren können und hätte somit Zugriff auf die Passwörter.

 

[manu]

Das stimmt, in diesem Fall kommt man an die Daten. Jedoch nur mit entsprechendem Aufwand und Wissen.
Für solche Fälle ist ein Remote-Wipe dringend zu empfehlen.