Slabi časi za zasebnost v Androidu

njyngs je 5. jul 2016 ob 14:30 izjavil:

Mavrik je 5. jul 2016 ob 14:03 izjavil:

njyngs je 5. jul 2016 ob 09:17 izjavil:

Kaki ekstra security/privacy tips za droid userje? Razen tega, da ne nameščamo raznih fejsbukov in podobnih zadev, če pa že, pa se jim naj skine pravice za dostope do občutljivih vsebin?

1.) Imej Android 6.0 ter preglej kaj pustiš aplikacijam da berejo. Pred tem je totalen clusterfuck in ti aplikacije kradejo podatke o obnašanju, kontaktih in vsem kar levo in desno.
2.) Imej zaklenjen bootloader in vklopljen full-disk encryption.
3.) Imej dovolj dolgo geslo oz. PIN. Pri tem močno pomaga fingerprint reader ker ti ne teži za vsak odklep.
4.) Močno pomaga če imaš Nexus napravo ki se posodablja mesečno.

Še kaj? Tole se mi zdijo čiste osnove, ki bi jih v 2016 moral poznati in izpolnjevati vsak

Fingerprint scanner je daleč od varnega. Je blo že velikokrat dokazano.

poweroff je 5. jul 2016 ob 12:51 izjavil:

njyngs je 5. jul 2016 ob 12:24 izjavil:

Problem je, ker ponujajo enkratna gesla, da potem ni treba vedno znova logina delat.

Laž.

V ozadju so (vsaj pred nekaj časa, ko sem bil na predstavitvi varnostne analize) uporabljali isti master key. Isti za vse mobilne aplikacije pri vseh strankah. In to ni veljalo samo za eno banko, pač pa za več bank. V Sloveniji in na Balkanu.

Se pravi ko si uspel izvleči master key, si se lahko na banko prijavil kot poljuben uporabnik. OTP gesla so bila pa samo za odklep tega master keya in so bila v bistvu navadno zavajanje.

Tolk o opevani varnosti bank.

Tega za glavni ključ nisem vedel. Hec je, da sodna praksa ščiti komitenta in praktično kar koli stori 3. oseba, plača banka. :)

poweroff je 5. jul 2016 ob 13:23 izjavil:

Glede bančnih web aplikacij sem tudi že videl marsikaj... Recimo totalno neustrezne auth mehanizme.

Je pa res, da se web applikacije spreminjajo v povprečju na 14 dni...

Moja mobilna tudi. :)

Mavrik je 5. jul 2016 ob 14:03 izjavil:

njyngs je 5. jul 2016 ob 09:17 izjavil:

Kaki ekstra security/privacy tips za droid userje? Razen tega, da ne nameščamo raznih fejsbukov in podobnih zadev, če pa že, pa se jim naj skine pravice za dostope do občutljivih vsebin?

1.) Imej Android 6.0 ter preglej kaj pustiš aplikacijam da berejo. Pred tem je totalen clusterfuck in ti aplikacije kradejo podatke o obnašanju, kontaktih in vsem kar levo in desno.
2.) Imej zaklenjen bootloader in vklopljen full-disk encryption.
3.) Imej dovolj dolgo geslo oz. PIN. Pri tem močno pomaga fingerprint reader ker ti ne teži za vsak odklep.
4.) Močno pomaga če imaš Nexus napravo ki se posodablja mesečno.

Dovolj dolgo in kompleksno geslo je praktično nemogoče uporabljati na Androidu brez roota, ker samo tako lahko ločiš preverjanji pristnosti zaklepa zaklona ib pred zagonomo. Valda ne boš vsakokrat tipkal n dolge klobase.

Zdaj ti vse tisto omojevanje dostopa ne pomaga kaj dosti, če ti isti podatki ekskluzivno in brez možnosti omejevanja odtekajo v Googlov račun.

Dejansko bi bil veliko bolj varen, da bi z nekim fake ID-jem pobiral aplikacije iz trgovibe in jih nato ročno nameščal na telefon, kjer se nikoli ne bi prijavil z računom. IMO je to za Android trenutno najboljša možnost. Malo bi si (ali pa kolegom) poenostavil, če bi si postavil lastno infrastrukturo (svoj F-Droid), pa ažurno tja dajal sveže žemljice iz Googlove pekarne. Vendar F-Droid (ta javni repozitorij) odsvetujem. Ker so vse stvari centralno podpisovane!

poweroff je 5. jul 2016 ob 14:21 izjavil:

Ja, imaš prav. Ampak po moje bi morala tukaj Article 29 WP nekaj narediti. Ker po tem, ko je data retention padel praktično po vsej Evropi, je takole početje Googla nevzdržno.

Prijavi našim in evropskim pristojnim inštitucijam. :)

Mavrik je 5. jul 2016 ob 15:31 izjavil:

Zato pa je fingerprint senzor praktično obvezen. Z njim moraš "klobaso" napisati samo enkrat pri zagonu in potem morda samo če imaš mokre prste. Nikako ni to "praktično nemogoče".

Ni naključje da so postali iPhoni bistveno varnejši ko so vsi dobili TouchID.

Ja, praktično nemogoče je. Ko rabiš hitro telefon, med vožnjo in še v kakšni povsem življenjski situaciji.

Čitalec prstnih odtisov je pri zagotavljanju najvišje stopnje varnosti povsem neprimerna rešitev. Z laserskim tiskalniko, papirjem, fotoaparatom in kozarcem, ki si ga uporabil se da zadevo dejansko (brez neke znanosti) odkleniti. Apple ni zaradi tega nič bolj varen, enako ali celo manj kot, če na novejših napravah uporabljaš samo kratek pin. ZakJ, je razloženo v povezavah Matthaia. Ker je ključ za odklep derivat nekega dobro izoliranega ključa, zapisanega nekje v napravi in pina ali še konkretnega gesla ali funkcionalnega rezultata preverjanja odtisa ter, ker je na strojni zasnovi, kjer se nahaja ta "strojni" ključ onemogočeno večkratno poskušanje (torej je preprečen napad z grobo silo na ta šibki člen).

Pa ob fingerprintu, enkripciji itd. je pametno, da nimaš shranjenih kakšnih pomembnih gesel. Če že rabiš banko na telefonu pač vpišeš geslo.

Kolega, v primeru sheme FDE, ki jo uporablja iOS, je PIN z omejitvijo poskusov odklepa bolj varen kot branje prstnih odtisov. Najšibkejšega člena se ne moreš lotiti z grobo silo, pri čemer lahko za prstni odtis vadiš na enaki napravi. Zaradi strojno programske zasnove, malo si poglej, kakšna je. O prstnih od Appla pa toliko: http://www.cnet.com/news/apples-touch-i...
https://www.schneier.com/blog/archives/... (malo nižje v zapisu na blogu)

Hja, a tole v ta isti hroščast in ranljiv TrustZone shranjuje Nexus? Fino.

Mavrik je 5. jul 2016 ob 16:40 izjavil:

matijadmin je 5. jul 2016 ob 15:41 izjavil:

Ja, praktično nemogoče je. Ko rabiš hitro telefon, med vožnjo in še v kakšni povsem življenjski situaciji.

Čitalec prstnih odtisov je pri zagotavljanju najvišje stopnje varnosti povsem neprimerna rešitev. Z laserskim tiskalniko, papirjem, fotoaparatom in kozarcem, ki si ga uporabil se da zadevo dejansko (brez neke znanosti) odkleniti. Apple ni zaradi tega nič bolj varen, enako ali celo manj kot, če na novejših napravah uporabljaš samo kratek pin. ZakJ, je razloženo v povezavah Matthaia. Ker je ključ za odklep derivat nekega dobro izoliranega ključa, zapisanega nekje v napravi in pina ali še konkretnega gesla ali funkcionalnega rezultata preverjanja odtisa ter, ker je na strojni zasnovi, kjer se nahaja ta "strojni" ključ onemogočeno večkratno poskušanje (torej je preprečen napad z grobo silo na ta šibki člen).

Joj, daj enkrat probaj telefon s takim bralnikom in se pozanimaj kako delujejo in potem govori take neumnosti no :/ Trenutne implementacije telefonov s takimi bralniki so _BISTVENO_ varnejše. Že zaradi tega ker ti OMOGOČAJO daljša gesla in obenem hiter dostop do telefona tudi v "življenjski" situaciji.

Nexus 5X se prižge in odklene praktično ob dotiku obročka, kar pomeni da je bistveno hitrejši kot katerikoli PIN, obenem pa bistveno varnejši ker ima v TrustZone shranjene kriptoključe. Obenem pa ne pusti prijave s senzorjem pri prvem zagonu tako da se ga ne da zlorabit za recimo dump podatkov s telefona, ker vse varnostno občutljive stvari zahtevajo vpis gesla.

Od teh sistemov autentifikacije brez pin kode, se mi zdi da edino realsense camera, ki jo uporablja windows hello naprimer, ni bila zlomljen oziroma kako drugače pretentana

ja

MrStein je 5. jul 2016 ob 15:27 izjavil:

Moja pa je ista že od namestitve.
(no, ni moja ampak Sparkassina)

Ahem.

Hmm, to je sicer res, ampak recimo, da to področje poznam nekoliko bolj podrobno in sem hotel s tem linkom nekaj povedat...

Evo še en dokaz,

Lahko imaš najvarnejši OS vseh časov, pa še vedno te ne more varovati pred lastno neumnostjo.

VELENJE - V torek dopoldne so policiste obvestili o goljufiji.

Neznanec je prek računalniške aplikacije spravil v zmoto oškodovanca v Velenju, ki mu je prek banke nakazal kupnino 2250 evrov za motorno kolo, nato pa je izbrisal podatke internetnega uporabnika, so sporočili celjski policisti.

Klik

http://motherboard.vice.com/read/i-repl...