Technische Diskussion zu KNOX - Sammelthread

[Nightly]

@ollberg Danke für deine schlüssigen Ausführungen

Besonders interessant an Knox ist folgende Tatsache, welche vor allem den Business Bereich (MDM und Business Data in the Cloud einbezogen) betrifft:


Beispiel Centrify:
Deren Konzept aus sich heraus mag sicher erscheinen: Business Data in the Cloud &BYOD. Aber man muss wissen, dass Verschlüsselungen
> 56 Bit in den USA von den Herstellern gegenüber den Behörden offengelegt werden müssen (die Gesetzgebung, die auf den Patriot-​Act ​Verordnungen basiert, verlangt genau dies).

Cloud-​Infrastrukturen amerikanischer (MDM) Anbieter sind für amerikanische Behörden zu 100 % transparent. Dies bedeutet im vorliegenden Fall, dass die Verschlüsselung von Centrify gegenüber den Regierungsbehörden offengelegt sein muss – anderenfalls dürfte - per Gesetz- diese MDM Lösung nicht exportiert werden(!). Jedes AD-​Passwort, dass in der Centrify-​Cloud oder auf einer Centrify ​Lösung landet, ist somit für unsere ‘Freunde’ in den USA zu 100 % transparent.

Nach selbem Schema läuft es auch bei AirView, DoMoTo, Citrix. ..

So sehen schlüssige 'Konzepte' aus …

 

[OPC_300]

Was ist eigentlich wenn beim Handy der home button kaputt ist und Knox auf 0x1 steht verweigert Samsung dann die Garantie? Chainfire hat ja heute auch was neuen gepostet das das ja efuse sein soll usw.

Gesendet von meinem GT-I9505 mit der Android-Hilfe.de App

 

[frank_m]

@OPC_300: Ja, davon gehen wir zur Zeit aus. Wobei man aber noch mal wieder herausstellen muss: Garantie ist eh eine rein freiwillige Leitung seitens Samsung, und die EU Direktive, die Chainfire zitiert, bezieht sich auf Gewährleistung, und nicht auf Garantie. Das die Situation bei Gewährleistung anders aussieht, als bei Garantie, haben wir von Anfang an gesagt. Allerdings: Auch bei der Gewährleistung die exakten Auswirkungen des Knox Counters bislang unbekannt.

@ollborg: Dass ein Gerät mit einem verknüpften MDM redet, davon bin ich ausgegangen. Ohne eine solche Kommunikation würde es wohl auch nicht funktionieren. Ob ohne ein verknüpftes MDM aber eine Samsung Implementierung die Rolle einnimmt, wage ich zu bezweifeln, allein schon aufgrund der erforderlichen Ressourcen.

Wahrscheinlich habt ihr Recht, und man sollte sich einfach mal den auftretenden Netzwerkverkehr ansehen. Spätestens auf der nächsten Mobilfunkabrechnung wird auffallen, wenn die Datenmenge plötzlich deutlich größer ist, als vorher. Darüber hinaus würden es unsere Firmenfirewalls und die Proxys merken, wenn die mobilen Geräte plötzlich via WLAN Ports oder Server benutzen wollen, die vorher nicht erforderlich waren. Die sind nämlich üblicherweise gesperrt und werden nur auf Anforderung freigeschaltet. Schaun wir mal, ob sowas passiert, ich hab ja nun eine entsprechende Firmware drauf und kann das im Auge behalten.

 

[ollborg]

@OPC_300

Steht ja in Chainfires Info.

Es ist nicht einheitlich geregelt. Samsung direkt wird die Garantie verweigern.

Gehst du über deinen Händler, kannst du Glück haben und deren Reparatur Service führt diese durch.

Ob dies nach europäischem Recht korrekt ist kann er auch nicht sagen. Dies könnte nur ein Anwalt.

 

[Ninchen1]

Hallo,
ich habe mir diese 53 Seiten durchgelesen und mit ist eins aufgefallen.
Hier wird immer wieder gesagt, das ROOT den Counter hoch setzt, aber keiner geht genauer darauf ein.
Ich möchte von euch wisse, ob dieser Counter schon bei den ALTEN FW OHNE KNOX und OHNE NEUEN BL gesetzt wird oder NUR BEI DEN NEUEN.
Um genauer darauf einzugehen, wird bei der MGA FW der Counter bei root gezählt oder nicht?

Des weiteren möchte ich wissen, ob eFUSE nur bei der NEUEN oder auch bei den ALTEN FWs ausgelöst wird.

Und weiß Gott, haltet euch zurück mit 'les dir die Seiten durch' und ähnlichen Sprüchen!
Es soll sich niemand angegriffen fühlen, aber so wie hier geredet wird ist das alles extrem schwammig.
Man könnte das mit der Aussage 'Man kann den Administratormodus unter Windows nur 10000 mal ausführen' gleichsetzen, denn hierbei wird ebenfalls nicht geklärt, ob es generell so ist oder nur eine bestimmte Version.

 

[SimonGleinert]

Würde mich auch mal interessieren...das mit eFuse.
Versteh ich nämlich nicht!
Ist eFuse in allen s4's eingebaut und wartet jetzt nur noch auf Knox, bis es aktiv wird (bei "alten" Geräten wie meins ), oder ist/wird eFuse erst bei neuen Geräten eingebaut, die mit Knox schon das Werk verlassen?
Würde ungern ne böse Überraschung erleben, sollte ich doch irgendwann mal auf den neuen Bootloader umsteigen (Garantie hab ich eh nicht mehr, bzw. würde ich wahrscheinlich nicht durch bekommen, so viele Dellen und Katscher mein s4 schon an den Seiten hat )

 

[BIG_I]

MGA ist kein Knox aktiv. Erst nach MGA ist knox aktiv. Es wird ein counter gesetzt aber man kann ihn noch reseten mit orginal Kernel und recovery

Gesendet von meinem GT-I9505

 

[Nightly]

@ SimonGleinert. ...es ist anzunehmen, dass sich in deinem S4 identische Hardware wie in allen anderen ausgelieferten S4 befindet

 

[SimonGleinert]

Naja jut...
Dann zieh ich meine Sicherheitsrichtlinien denen von Samsung vor und bleibe so lange wie möglich beim alten Bootloader, ohne KnoxMist...sicher-ist-sicher

 

[mrx]

@Ninchen1: Laut XDA habe ich folgendes verstanden: Die eFuse ist kein Counter, sondern eher eine Flag: 0 oder 1. Sie wird bei älteren Firmwares nicht verwendet. Vorher gab es den Software-Counter ohne eFuse, dieser lässt sich weiterhin zurücksetzen.

 

[ollborg]

Ich habe hier soeben einen externen Security Blog gefunden, der sich mit Samsung Knox beschäftigt.

Dieser Blog ist von Leuten aus der Security Scene, die auf jeden Fall besseres Wissen und bessere Möglichkeiten als ich haben. Diese Leute fungieren auch als Unternehmensberater im Bereich Mobile und Mobile Security.

Es gibt anscheinend jede Menge Menschen denen das Ganze auch Angst macht und die sich damit seit langem beschäftigen.

Bei der Suche über Google habe ich den Blog nie gesehen, Fireball hat ihn weit oben im Index.

http://pretioso-blog.com/samsung-kn...meilenstein-mit-technik-von-nsa-und-centrify/

Hier zum Thema SE Android auf dem MWC 2013

http://pretioso-blog.com/android-un...-4-2-basierend-auf-seandroid-der-nsa-spyware/

Überblick Security mobile Welt heute.

http://pretioso-blog.com/android-bl...ie-geht-sichere-enterprise-mobility-ab-jetzt/

 

[Hilfe!]

[...]
Ob Knox nach Hause telefoniert ist auch nicht geklärt, nur eine einfache Versicherung von Samsung das dies nicht so sei. Kann man jetzt glauben oder nicht.

Das MUSS man, in den Firmen, die diese Phones 'sicher' haben wollen, glauben.
Andererseits koennte man auch glauben, das jede VPN korrumpiert waere:
To create a Samsung Knox enterprise VPN configuration - Citrix eDocs

Lohnendes Ziel, oder? Gerade bei Enterprise Nutzung

 

[bergerstrasse]

Was bilden sich manche Leute ein so über uns zu urteilen

 

[ollborg]

Hier sind schon Leute im Bösen gegangen, daraus rekrutieren sich gerne solche Zusammenschlüsse. Da muss man drüber stehen, insbesondere anscheinend wenn man Samsung kritisiert.

Ich habe solche Kommentare schon oft gesehen, sieht immer nach Rache wegen vermeindlicher Ungerechtigkeiten aus.

 

[frank_m]

Ich habe hier soeben einen externen Security Blog gefunden, der sich mit Samsung Knox beschäftigt.

Ohne jetzt auf die journalistische Qualität der Beiträge eingehen zu wollen: Der Blog eines Hersteller alternativer Software zu Knox, die sich mit den gleichen Features brüstet, die an Knox kritisiert werden, finde ich schon einigermaßen merkwürdig. Unabhängig ist der Berichterstatter jedenfalls definitiv nicht! Da fragt man sich unwillkürlich, was die Motivation für derartig polemisch aufbereitete Beiträge ist ... vielleicht war er nur sauer, dass sein MDM keinen Knox Zugang bekommen hat?

Skepsis an den Tag zu legen ist gut, aber man sollte sie dann auch allen Informationequellen entgegen bringen, die in diesem Zusammenhang herangezogen werden.

___________________________________


Anderes Thema: Ich habe heute mal den Knox Container aktiviert. Wie hier schon steht, ist das im Grunde ein Android im Android. Man kann dort separate Mail Konten einrichten, z.B. Exchange oder IMAP. Die Auswahl an Apps ist aber auf den Samsung Knox Store beschränkt, was viele Anwendungen ausschließt. Zugriff auf den Knox Bereich ist nur nach Eingabe eines Passwortes möglich. Ich hab testweise mal ein Exhange Konto eingerichtet, somit lassen sich gewisse Informationen in diesem Knox Container abschotten und sind erst nach Eingabe des Passwortes verfügbar.
Übrigens belegt die Knox Installation direkt im Urzustand fast 700 MB Speicher. Ich würde den Einsatz also eher auf 32 GB Geräten empfehlen.

Ich denke, ich werde es wieder deinstallieren. Der Knox Container hat für mich so nur einen eingeschränkten Mehrwert, da mir Apps fehlen, die ich üblicherweise brauche, um die Daten zu bearbeiten, dich ich dienstlich empfange. Wenn ich die Daten eh erst aus dem Knox herauskopieren muss, um sie zu bearbeiten, dann kann ich sie auch direkt dort lassen.

 

[ollborg]

Ähnliche Features schon aber so wie ich das verstanden habe für Cyanogen Mod, also vom Code offene Systeme.

Warum dies, wird dort ja auch begründet. Ich finde jeder sollte sich da seine eigene Meinung bilden.

 

[Prius 3]

Nun mal ehrlich, man könnte ja meinen das dieses Forum nur so vor Terroristen wimmelt !
Was soll an uns schon so interessant sein, das die NSA ihre wertvolle Zeit ausgerechnet mit uns verschwendet ?

 

[ollborg]

Deine Daten und die Daten von Unternehmen, Institutionen...
Wenn diese nicht interessant wären, hätte Snowden auch nichts zu erzählen gehabt.

@Frank

Hättest du die Möglichkeit den Netzverkehr mal mitzuschneiden?
Ich denke das wäre in jeder hinsicht wirklich interessant. Oder Proxy Logs einzusehen, vieleicht kann das ja allem den Wind aus den Segeln nehmen.

 

[Prius 3]

Deine Daten und die Daten von Unternehmen, Institutionen...
Wenn diese nicht interessant wären, hätte Snowden auch nichts zu erzählen gehabt.

Also bei mir gibt es nicht viel zu erfahren, wenn sich die Herren der NSA unbedingt die Mühe machen wollen, dann bittesehr !
Was mich an der Sache nur so wundert, wenn Knox so gefährlich ist wie hier gemutmaßt, warum begeben sich dann Firmen, die ja nun tatsächlich Betriebsgeheimisse zu schützen haben, freiwillig in diese "Falle" ?
Was ich Außerdem nicht ganz kapiere ist, warum man sich um Knox solche Gedanken macht
, aber scheinbar überhaupt keine Probleme hat Daten in einer ominösen Datenwoke zu lagern bei dem ja auch keiner genau weiß wer da noch heimlich Zugriff hat

 

[ollborg]

Da hast du völlig Recht. Bei Cloud Systemen ist das eine ähnliche Situation. Ich kann da auch in den letzten Monaten bei meinem Brötchengeber einen starken Trend zur Vorsicht feststellen. Viele Kunden legen dort Wert darauf, dass Daten in Deutschland gehostet werden.

Das hat vor Snowden nur in bestimmten Bereichen eine Rolle gespielt.

Bei mir gibt es auf den ersten Blick wirklich auch keine interessanten Daten aber es gibt sehr viele Menschen wie Journalisten, Ärzte oder Unternehmensleiter usw wo dies anders aussieht.

Auf den zweiten Blick könnten auch deine und meine Daten für Werbung, Versicherungen... bare Münze sein, wenn sie verknüpft in Big Data ausgewertet werden.

Bei einem Angestellten in Unternehmen könnten für Konkurrenz oder an Technologie interessierten Staaten Daten nützlich sein.