Sicherheit und USB-Debugging

[Palmfan]

Vorwort von Norbert:
Dieser Thread enthält Beiträge, die aus dem Gerätespezifischen Bereich ausgegliedert wurden.
Hier stell ich den Thread nun zur Allgemeinen Diskussion bezüglich Sicherheit & USB-Debugging rein.
~~~Danke~~~

Naja wenn man ein Sperrcode aktiviert hat kann normalerweise keiner etwas mit dem Handy anfangen. Es sei denn er weiß den Code. Bei Nicht-Samsung Handies, kann er dann nicht USB-Debugging anschalten und kommt dann auch nur an die Daten auf der SD-Card.

Viel schlimmer finde ich persönlich "aus unbekannter Quelle installieren"...

Das kann man ja ausschalten und so sicher ist der Marketplace nun auch nicht. Von daher finde ich das Risiko nun überschaubar. Letztlich muss man bei allen Apps sehr genau schauen und prüfen, egal wo sie her kommen.

 

[norbert]

so ganz versteh ich das Thema noch immer nicht. Wovor genau hast du eigentlich Angst?
Solang du dein Telefon nicht in fremde Hände gibst, wird dir ja auch keiner ein USB-Kabel anstöpseln können.
Und wenn du es verlierst - hättest besser aufpassen sollen Aber so sensible Daten wirst du wohl auch wieder nicht drauf haben. Wenn doch darfst du kein Gerät verlieren, es ist immer nur eine Frage des Willens bis ein Schutz geknackt ist (von den bei Telefonen serienmäßig vorhandenen).

 

[Palmfan]

Also ich habe auf meinem Organizer immer schützend werte Daten, wie Notizen zu Arzt-Terminen oder die Termine und Adressen an sich. Passwörter etc sind natürlich verschlüsselt. Das ich auf mein Phone aufpasse ist denke ich selbstverständlich, aber es kann halt immer mal passieren. Letztlich gibt es ja auch noch Leute, die so was klauen und vor denen gibt es auch nur einen bedingten Schutz.

Betrachtet man ein "normales" Android, bei dem
- USB-Debugging ausgeschaltet ist
- man ein Passwort beim entsperren eingeben muss
- und bei der nicht beliebige Software drauf gespielt wird

so ergibt sich das Bild, dass ein Dieb schon das Ding auseinander nehmen muss um dann irgendwie den Speicher direkt auszulesen bzw. geduldig Passwörter probieren muss. In der Zwischenzeit kann man mit einer TheftProtection, aber auch schon alle Daten löschen.

Jetzt betrachten wir ein mal das Samsung ACE. Gerät nehmen, an USB anschließen, vollen Zugriff aufs Gerät genießen. Abwehrmaßnahmen: Mir bislang keine bekannt. Und ich rede jetzt nicht von Systemlücken und BufferOverflow. Das zu tun ist etwas, was jeder kann, der mit einem Computer umgehen kann.

Da hat sich Google schon was bei gedacht, warum man USB-Debugging ein- und ausschalten kann und das insbesondere nur über die Oberfläche und nicht programmatisch!

 

[norbert]

ich halte deine Arzttermine und Kontakte jetzt nicht für so interessant, als das die wer haben möchte.
Mangels Ace kann ich derzeit nicht mal nachvollziehen ob sich das Debugging nicht doch wirkungsvoll ausschalten lässt.

Unabhängig davon: wenn einer dein Gerät "findet", wird ihn kaum interessieren was drauf ist. Er wird einen Hardreset machen, vielleicht noch die Speicherkarte löschen (die übrigens immer ungeschützt ist und sensiblere Daten wie z.B. persönliche Fotos enthalten kann) und das Gerät dann möglichst schnell verkaufen. Oder für Eigenbedarf nutzen.
Die Sim wird in einem Mistkübel landen, weil du sonst immer anrufst und lästig bist

Die wirklich wichtigen Dinge bekommt man von dir auf anderem Weg: Social Engineering

 

[matze91]

Betrachtet man ein "normales" Android, bei dem
- USB-Debugging ausgeschaltet ist
- man ein Passwort beim entsperren eingeben muss
- und bei der nicht beliebige Software drauf gespielt wird

so ergibt sich das Bild, dass ein Dieb schon das Ding auseinander nehmen muss um dann irgendwie den Speicher direkt auszulesen bzw. geduldig Passwörter probieren muss. In der Zwischenzeit kann man mit einer TheftProtection, aber auch schon alle Daten löschen.

Das glaubst aber nur du

Android ist doch schneller gehackt, als man denkt.
Solltest du dein Handy verlieren einfach als erstes beim Mobilfunkanbieter anrufen Sim sperren lassen, dann ggf. Krediktkarte sperren oder so schnell wie möglich einen Computer aufsuchen und KK aus Google Checkout löschen, mit Theftaware kannst du ja anscheinend dein Handy auch orten und so?!

Und wie schon gesagt, deine sozialen Daten und Kontakte interessieren die wenigsten. Wer sie will, kommt eh ran.