Technische Diskussion zu KNOX - Sammelthread

[ollborg]

Mit Ausnahme der bekannten Subsysteme Secure Boot, Kernel Control in Echtzeit durch verbaute Hardware , eFuse System (e), Counter, Richtlinien Push, Regional Code.

Knox Teilschlaf, mit Kollateralschaden. Ich würde Knox nicht als wirklich deaktiviert bezeichnen. Vielmehr wurde ein Teil des multi Tier Frameworks schlafengelegt.

 

[Gnampf]

Naja, nur sehr eingeschränkt. Bis auf den Warranty Counter hat das Thema hier keinen Einfluss auf dein Vorhaben, denn Rooten und Bloatware entfernen geht nach wie vor problemlos.

Dann wären die ersten paar Seiten, in denen darüber diskutiert wird ob rooten einen Garantieverlust rechtfertigt genauso am Thema vorbei gewesen.

Was mich daran störte, war das irgendwie ein erheblicher Anteil von Leuten offensichtlich davon ausgehen, das "Rooten" nur was für Nerds ist die an dem Gerät rumspielen wollen- was ich völlig anders sehe.
Ich möchte lediglich ein "sauberes" Arbeitsgerät, ein Anspruch den sicher viele Privatleute als auch Firmen genauso sehen. Mir wäre dabei auch sicher Recht gewesen wenn man nur einen "externen Root" hätte, via dem SDK oder wie auch immer. Müsste ja nicht mal permanent "installiert" sein- gewünschte Änderungen machen, wieder wegnehmen, gut.
So bedeutet es für mich einen erheblichen Aufwand und ich muss mich auch noch auf eine "Hackersoftware" verlassen, bei der für mich auch nicht ersichtlich oder überprüfbar ist, inwieweit das ganze Vertrauenswürdig oder Sicher ist (wirklich ohne jemandem etwas unterstellen zu wollen!).

Um es mal knapp auf den Punkt zu bringen, nach ein paar Tagen recherche erscheint es mir einigermaßen gesichert zu sagen:

Knox bedeutet Schutz, Schutz für den Betreiber und dessen Werbepartnern (was vermutlich ohnehin eine der wichtigeren Intentionen dahinter ist), denn Knox bedeutet das ich keine Bloatware entfernen kann ohne mindestens einen Garantieverlust hinzunehmen.
​

Und das war es, was ich bei dem lesen aller Artikel und Foren herausfinden wollte. Im Endeffekt bin ich bei einem Defekt des Gerätes der gelackmeierte, weil ich nicht damit einverstanden bin, diesen Unsinn auf meinem Gerät, was ich teuer bezahlt habe, zu lassen.
Vielen Dank auch Samsung, für diese kreative Neuentwicklung.

 

[raoul_duke]

mich würde der counter ja fast nicht mehr stören, wenn ich dann nicht immer im Hinterkopf hätte durch 0x1 sicher etliche MB unnutzbarer Knox Software immer mit mir herum zu tragen.

Wenn man das ja wenigstens dann KOMPLETT über Bord werfen und löschen könnte, aber so tief wie es ins System verankert ist wird das wohl nichts, oder?

Wie schätzt ihr die Chancen ein, dass es custom roms auf stock basis geben wird, die knox-teschnich "entschlackt" werden?

UPDATE:
HIer http://forum.xda-developers.com/showthread.php?t=2454079 ist wohl jemandem gelungen das Note 3 zu rooten ohne den flag zu triggern

 

[ollborg]

Knox ist nicht nur eine Software, da sollte sich jeder klar drüber sein. Knox ist ein Framework das aus mehreren Schichten (Tiering Hardware, Software, Netz API) besteht. Dazu gehören eben auch mehrere Hardware Komponenten und Informationen die in Hardware abgelegt sind.

Subsysteme Secure Boot, Kernel Control in Echtzeit durch verbaute Hardware , eFuse System (e), Counter, Richtlinien Push, Regional Code

Hierzu werden wir erst gesicherte Informationen bekommen wenn meine Anfrage bei verschiedensten Medien erste Artikel erscheinen lässt. Wie gesagt es gibt schon einige Zusagen von Redaktionen. Dort wurden genau solche Informationen von Samsung angefordert.

Sobald erste Beiträge in der Presse sind verlinke ich diese hier.

Ich habe übrigens auch das Bundesamt für Sicherheit in der Informationstechnologie um eine Bewertung von Samsung Knox für Endkunden (nicht Business) gebeten. Ob da eine Reaktion erfolgt ist aber offen.

https://www.bsi.bund.de/DE/Home/home_node.html

 

[mrx]

Eigentlich gibt es mehrere parallele Themen die hier zu Knox diskutiert werden, die evtl. doch wieder zusammen hängen. Die Knox Flag hat z.B. auf den ersten Blick nichts mit Sicherheit zu tun. Auf der anderen Seite die Fragen, was Knox praktisch bringt und wie man es überhaupt verwendet. Das Thema mit den Richtlinien und die theoretische Ausspionierung ist noch ein weiteres Thema. Eigentlich bräuchte man evtl. mehrere Threads für Leute, die sich für einen bestimmten Gesichtspunkt interessieren.

Für mich persönlich ist hier die Diskussion um eine mögliche Lösung am interessantesten. Im Moment sieht es aber eher schlecht aus. Bisher kann man es nur akzeptieren, was aber für einige Leute hier keine langfristige Lösung ist.

Interessant finde ich, dass sich hier mittlerweile sehr viele Leute zu Wort gemeldet haben und die Plauderecke unangemessen finden. Hier wurde jetzt auch sehr viel in Richtung Off-topic unterhalten, aber letztlich haben die Themen ja auch indirekt doch wieder mit dem Thema zu tun.


Ich habe übrigens noch zwei Artikel zu Knox allgemein gesehen:

• 7 things you need to know about Samsung KNOX dual-persona Android - Jack Madden - BrianMadden.com
• Neue Samsung-Geräte mit Android 4.2 - Vorbereitet für Samsung KNOX und mit SEAndroid von der NSA

Es sind beides vielleicht nicht die besten Artikel, aber sie sind vielleicht dennoch interessant und informativ für Leute, besonders wenn man noch nicht so viel über Knox weiß.

Mir fällt sowieso auf, dass sehr wenig Leute überhaupt richtig über Knox konkret Bescheid wissen, also wie man es denn überhaupt als Endverbraucher benutzt. Und für Endverbraucher scheint im Moment Knox sonst eher nicht gewollt zu sein.

Ich fänd es gar nicht schlecht, wenn es meine Entscheidung wäre und ich den Bootloader locken könnte (wie bei einem Nexus) und eigene Zertifikate installieren könnte. Damit könnte man sein Gerät sehr gut gegen Diebstahl sichern oder verhindern, dass fremde Leute meine Daten bekommen, wenn sie mein Gerät bekommen (z.B. auch die NSA...).


Noch eine Ergänzung: Im XDA Forum gab es eine Meldung, dass OTAs nicht mehr möglich wären. Ich habe jedoch eine später datierte Meldung gelesen, in der versichert wurde, dass es trotz Knox Flag gehen würde. Andererseits, prinzipiell kann sich das auch jederzeit ändern, je nachdem wie Samsung sich entscheidet.

 

[ollborg]

Bei meinen Anfragen an die Presse habe ich aber alle Aspekte angefragt. Ich wollte dort auf jeden Fall alle Themen addressieren, auch wenn das Thema Datenschutz für mich am wichtigsten ist.

Kurzer Ausflug:

Übrigens, für alle die LG schon als optimalen Ersatz auserwählt hatten. LG zieht jetzt nach mit dem System "Gate".

http://www.golem.de/news/byod-lg-bringt-eigene-smartphone-verschluesselung-1310-101887.html

 

[raoul_duke]

@ollborg.
find ich absolut beispielhaft wie du dich da rein hängst.

Super.

hoffentlich trägt das die erwarteten Früchte.

Ich hatte auch schon allaboutsamsung drauf angesprochen, bisher aber noch ohne Rückmeldung.

 

[mrx]

Ich finde auch ollborgs Beiträge hier ausgezeichnet und beispielhaft. Gerne würde ich mich mit der "Bedanken" Funktion bedanken. Da ich aber weniger als 10 Beiträge hier als neuer Nutzer habe geht es nicht. Ich habe hier zwar schon öfter geschrieben, aber da der Beitrag der Plauderecke zugeordnet ist zählen offenbar meine Beiträge nicht.

 

[Hilfe!]

Knox ist nicht nur eine Software, da sollte sich jeder klar drüber sein. Knox Wie gesagt es gibt schon einige Zusagen von Redaktionen. Dort wurden genau solche Informationen von Samsung angefordert.

Sobald erste Beiträge in der Presse sind verlinke ich diese hier.

Vielleich kann die eine oder andere Redaktion parallel mal in Richtung Verbraucherschutz nachfragen? Auch wenn das mehr die Sim Locks fuer aussereuropaeische Anbieter betrifft.
Ich mein ja nur, wenn schon Kontakte zu Journalisten da sind, zwei Fliegen mit einer Anfrage?

 

[mrx]

Eine Idee noch: Vom S4 gibt es ja eine Google Edition. Ich nehme an, dass es dort kein Knox gibt und auch nicht geben wird. Ich denke auch dass man das Gerät einfach mit fastboot oem unlock freischalten kann. Im Moment sehe ich nur das als Lösung wenn man kein Knox will und sicher stellen will das man problemlos rooten kann (in dem Sinne, dass man keine efuse zündet). Fragt sich ob und wann von neuen Geräten wie dem Note 3 oder dem S5 eine Google Edition erscheint und in welchen Ländern.

 

[Nightly]

... egal unter welchem Aspekt man Knox nun betrachtet,als Android begeisterter Enduser stört mich persönlich daran lediglich die Tatsache, daß man vorab weder über Knox ausreichend informiert noch letztlich die in meinen Augen unabdingbare Wahlfreiheit als Konsument hat.Man bekommt Knox still und heimlich mitgeliefert, vergleichbar einem Trojaner. So gerne ich den potentiellen Nutzwert dieses Multi Tier Frameworks sehen möchte, der fade Beigeschmack bleibt. Samsung verbläst x Millionen Euro, nur um ein paar neue Features anzupreisen, aber bei Anfragen technischer Natur zu Knox versagt der Support, man hüllt sich in Schweigen und verweist stoisch auf das nichtssagende white paper .... das ist mehr als peinlich! :screwy:

Zum Thema Huhn oder Ei: das S4 war vor Knox auf dem Markt ...
...Knox benötigt aber spezifisch angepasste Hardware, um 'sicher' arbeiten zu können
..'sicher' ist das alles aber nur ein bedauerlicher Zufall
Man freue sich auf Android 4.X .. ^^

 

[mrx]

Ich habe mich mal bei XDA zum Note 3 umgeschaut. Dabei habe ich gelesen, dass man Knox auf dem Note 3 deinstallieren kann:
xda-developers - View Single Post - How to remove Knox?

Ist das bei dem S4 noch nicht möglich? Vielleicht wird Knox doch optional werden oder es ändert sich was bei zukünftigen Roms oder dem S5.

Ich hatte auch gelesen, dass Knox nicht funktioniert, wenn man die Knox Flag auf 0x1 hat.

Zu beiden obigen Aussagen: Gibt es hier Leute, die etwas dazu sagen können bei ihrem S4? Ich habe noch den alten Bootloader und plane vorerst noch kein Update.

 

[Nightly]

Zumindest für mich lesenswert
http://securityblog.org/2013/06/28/se-for-android-gs4-howto-and-exploit-demo/

.apk http://securityblog.org/images/SEAndroidAdminActivity.apk

Wie üblich: use it @your own risk

Der ursprüngliche Beitrag von 18:22 Uhr wurde um 19:00 Uhr ergänzt:

@mrx ... Knox insgesamt dürfte derart tief ins System verwurzelt sein (Bootloader, Kernel, usw...) daß eine 'einfache Deinstallationsmöglichkeit' mir iwie nicht eingänglich ist ...

 

[mike_galaxy_s]

Nur mit einer alten FW könnte man VIELLEICHT den neuen BL los werden. Kann irgendwer, der gut Englisch kann, mal Chainfire anschreiben, was er davon hält? Das wäre ja sicher auch in Chainfire's Interesse, den neuen BL zu umgehen.

 

[SunSide]

Hier --> https://www.android-hilfe.de/forum/samsung-galaxy-note-3-n9005.1249/erste-erfahrungen-mit-dem-note-3.469284-page-10.html#post-6478868
hat ein User sehr schön beschrieben wie das mit Knox ist.

Danke an @shi.natsu

 

[myreality]

Kann nun jeder auch mal selbst testen.
Soeben hat Sammobile eine 4.3 Testfirmware veröffentlicht.
Exclusive: I9505XXUEMI8 – Leaked Android 4.3 test firmware for Galaxy S4 (GT-I9505) | SamMobile

 

[ollborg]

Wow, Freiwillige vor.

Weiter oben wurde gefragt ob Knox noch funktioniert bei Flag 0x1.
Nein es kann kein Knox Container angelegt werden. Das Gerät gilt als kompromitiert oder unsicher.

Die Subsysteme bleiben aber alle scharf und verrichten ihren Dienst.

 

[Nightly]

...geht doch nichts über Google Dorks
KnoX

.. ^^informativer als die lausigen White Papers

 

[frank_m]

Dieses SEPolicy Tool ist nicht neu, das hatten wir damals schon, als wir anfingen, das S4 zu rooten. Damals gabs zwar noch kein Knox, aber die alten SU Binaries liefen ja trotzdem nicht.

Ist es jetzt eigentlich bestätigt, dass in der momentanen Firmware die Knox Container App noch nicht drin ist, oder bin ich nur zu dumm, sie zu finden? Ich habe heute noch mal ein garantiert sauberes S4 mit T-Mobile Branding in den Fingern gehabt (MH9 Firmware). Dort konnte ich die App auch nicht finden, trotz Knox Warranty 0.

Der ursprüngliche Beitrag von 20:21 Uhr wurde um 20:29 Uhr ergänzt:

// Nachtrag: Ich lade mir den neuen Leak runter, aber ich werde ihn heute nicht mehr installieren. Ich fahre übers lange Wochenende weg und brauche ein zuverlässiges Telefon, das ist mir zu riskant. Nächste Woche werde ich es aber mal testen, auch auf einem Gerät mit Knox Warranty 0.

 

[Mike-Meiers]

Vielleicht ist es ja erst ab 4.3 nutzbar, beim Note 3 geht es .

Gesendet von meinem GT-I9505 mit Tapatalk 2