Ich benutze zwar kein Android

[deus-ex]

aber diese Problematik wird nichts an der Android Dominanz ändern. Windows hat Sicherheitsproblemen auch nicht geschadet.


Menschen kaufen vornehmlich Hardware. Die installierte Software/OS nehmen sie als gegeben hin.

Und die unterschiede sowie Vor- ubd Nachteile von Betriebssystem werden auserhalb der Tech Branche nicjt diskutiert.

Android offen wie einen Scheunentor?
Scheissegal! Das ändert nichts!

[Floyd42]

Das Problem ist, dass das TEE is unabhängig vom Betriebssystem ist und die ganze Sache mit Android eher weniger zu tun hat. Es tritt auch auf, wenn Windows, Tizen ... laufen würde. Und ein Betriebssystem-Update alleine löst das also nicht, es muss das TEE aktualisiert werden - und dafür ggf. erstmal die ganze Sicherheitsarchitektur überdacht werden.

[slead]

offen wie ein Scheunentor würde ich es jetzt nicht unbedingt bezeichnen, halt risiko behaftet (mehr oder weniger)

[Stimmy]

Man darf auch nicht vergessen, dass es Nutzer gibt, die ARM Trustzone mutwillig aushebeln wollen, z.B. um DRM oder sonstige Un-Features zu umgehen. Und dagegen kann und sollte man ein System nicht wirklich absichern.

Realitätsnahes Beispiel:
Wenn ich auf meinem Gerät die TEE downgraden will, um Streaming-Videos weiterhin per MHL ausgeben zu können, dann will ich nicht, dass der Hersteller das zu verhindern versucht.

Und für viele Nutzer kommt aktuell auch kaum ein anderes Mobil-OS als Android in Frage.

[gelöscht]

deus-ex schrieb:
--------------------------------------------------------------------------------
> aber diese Problematik wird nichts an der Android Dominanz ändern. Windows
> hat Sicherheitsproblemen auch nicht geschadet.
>
> Menschen kaufen vornehmlich Hardware. Die installierte Software/OS nehmen
> sie als gegeben hin.
>
> Und die unterschiede sowie Vor- ubd Nachteile von Betriebssystem werden
> auserhalb der Tech Branche nicjt diskutiert.
>
> Android offen wie einen Scheunentor?
> Scheissegal! Das ändert nichts!

der artikel, bzw. die headline ist quatsch. das problem ist nicht bei android, sondern aufseiten der hersteller. das hat zur folge, dass dies ein android-problem wird, aber android ist nicht die ursache.
dazu kommt: welche alternative ist denn *nachweislich* sicherer?



1 mal bearbeitet, zuletzt am 25.07.17 16:24 durch tunnelblick.

[Trollversteher]

>der artikel, bzw. die headline ist quatsch. das problem ist nicht bei android, sondern >aufseiten der hersteller. das hat zur folge, dass dies ein android-problem wird, aber >android ist nicht die ursache.
>dazu kommt: welche alternative ist denn *nachweislich* sicherer?

Apples SecureEnclave Implementierung ist auf jeden Fall sehr viel durchdachter, stringenter und robuster. Und konnte, im Gegensatz zur Android-Implementierung, bisher von noch niemandem geknackt werden - zumindest weder von den Hackern und Sicherheitsexperten, die es öffentlich versucht haben noch weisen die bisher geleakten Geheimdienst-Informationen zu diesem Thema darauf hin.

[gelöscht]

Trollversteher schrieb:
--------------------------------------------------------------------------------
> >der artikel, bzw. die headline ist quatsch. das problem ist nicht bei
> android, sondern >aufseiten der hersteller. das hat zur folge, dass dies
> ein android-problem wird, aber >android ist nicht die ursache.
> >dazu kommt: welche alternative ist denn *nachweislich* sicherer?
>
> Apples SecureEnclave Implementierung ist auf jeden Fall sehr viel
> durchdachter, stringenter und robuster.

danke, die argumente sind auf technischer ebene nicht weg zu diskutieren.

> Und konnte, im Gegensatz zur
> Android-Implementierung, bisher von noch niemandem geknackt werden -
> zumindest weder von den Hackern und Sicherheitsexperten, die es öffentlich
> versucht haben noch weisen die bisher geleakten Geheimdienst-Informationen
> zu diesem Thema darauf hin.

"windows ist viel sicherer als linux. sehen sie, wir mussten letzten monat nur 40 patches veröffentlichen, bei einer ausgewählten linux-distribution waren es mehr als doppelt so viele. entscheiden sie selbst, was sie für sicherer halten."

wenn die welt doch nur so einfach wäre.
übrigens: https://www.hardwareluxx.de/index.php/news/hardware/prozessoren/40113-secure-enclave-von-apples-soc-womoeglich-mit-zahlreichen-sicherheitsluecken.html

[nachgefragt]

tunnelblick schrieb:
--------------------------------------------------------------------------------
> wenn die welt doch nur so einfach wäre.
> übrigens: https://www.hardwareluxx.de/index.php/news/hardware/prozessoren/40113-secure-enclave-von-apples-soc-womoeglich-mit-zahlreichen-sicherheitsluecken.html

"Laut den Machern der Studie ist die Secure Enclave aber noch immer die sicherste Möglichkeit in diesem Bereich und technisch um Lichtjahre der Konkurrenz voraus"

qed

[Floyd42]

Bei Apple kommt das alles "aus eine Hand", es gibt wesentlich weniger Geräte(varianten) und es ist sehr stark restriktiert, was auf dem Gerät laufen darf. Daher ist das etwas einfacher, das ganze dann gut abzusichern. Und es gibt regelmässige Updates für die Geräte, die die Lücken fixen. Manche dieser Update werden dir sogar einfach untergeschoben, ohne dass du was merkst und das verhindern kannst. Und ohne das Update ist das Geräte irgendwann kaum noch brauchbar.
Bei einem Android Gerät kommt alles von verschiedenen Herstellern und es entsteht eine Kette, in der alle ihre eigenen Wünsche haben und ggf eigene Anpassungen vornehmen. Das macht die Abstimmung etwas aufwendiger, denn jeder hat seine eigenen Prioritäten. Update kommen eher selten und oft erreichen sie Geräte garnicht, weil jemand in der Kette den Support eingestellt.
Das Problem bei "Sicherheit" ist halt leider auch, dass es kein "add-on", sondern ein fundamentaler Teil ist, der sich dann eben nicht so einfach mal eben irgendwie nachrüsten lässt.

[gelöscht]

nachgefragt schrieb:
--------------------------------------------------------------------------------
> tunnelblick schrieb:
> ---------------------------------------------------------------------------
> -----
> > wenn die welt doch nur so einfach wäre.
> > übrigens: www.hardwareluxx.de
>
> "Laut den Machern der Studie ist die Secure Enclave aber noch immer die
> sicherste Möglichkeit in diesem Bereich und technisch um Lichtjahre der
> Konkurrenz voraus"
>
> qed

es gibt da nichts zu "beweisen". sicherheit kann nicht bewiesen werden. die wahlautomaten galten auch mal als sicher.
wie auch immer - es ist ein hardware-problem und kein generelles android-problem.
jeder mag sich bei einem iphone natürlich sicherer fühlen, sicher sollte man sich jedoch nicht fühlen.

[Stimmy]

Es stellt sich halt auch die Frage, wie viel "Sicherheit" man in dieser Richtung überhaupt haben möchte.

TEE dient weniger dem Schutz von Nutzerdaten als dem Trusted Computing. Also Speichern von DRM-Keys und sonstigen Daten, auf die der Nutzer keinen Zugriff bekommen soll.
Und gegen solche intransparenten Closed-Source-Lösungen bin ich fast pauschal, da ist's mir nur recht wenn sie massig Lücken haben ;)
PCs kommen ja auch ohne sowas aus.

[nachgefragt]

Und wo hat Trollversteher oder dein Artikel von einer Beweisführung gesprochen?
Eine Beweisführung durch Falsifizierung ist in der Computertechnik ohnehin recht schwer bis unmöglich. Das QED steht.



2 mal bearbeitet, zuletzt am 25.07.17 16:54 durch nachgefragt.

[MadMonkey]

Trollversteher schrieb:
--------------------------------------------------------------------------------
> Apples SecureEnclave Implementierung ist auf jeden Fall sehr viel
> durchdachter, stringenter und robuster. Und konnte, im Gegensatz zur
> Android-Implementierung, bisher von noch niemandem geknackt werden -
> zumindest weder von den Hackern und Sicherheitsexperten, die es öffentlich
> versucht haben noch weisen die bisher geleakten Geheimdienst-Informationen
> zu diesem Thema darauf hin.

Da werden Finfisher und Cellbrite aber nicht ganz einverstanden sein!

[Floyd42]

Ich muss dir leider die Illusion nehmen, PCs haben das mittlerweile auch. Schau dir mal aktuelle Intel und AMD Prozessoren an.

[gelöscht]

nachgefragt schrieb:
--------------------------------------------------------------------------------
> Und wo hat Trollversteher oder dein Artikel von einer Beweisführung
> gesprochen?
> Eine Beweisführung durch Falsifizierung ist in der Computertechnik ohnehin
> recht schwer bis unmöglich. Das QED steht.

wo bin ich denn hier in einem argumentativen "kampf"? das qed steht natürlich nicht. bewiesen werden soll die sicherheit, die galt es zu beweisen.

[cyzz]

nachgefragt schrieb:
--------------------------------------------------------------------------------
> tunnelblick schrieb:
> ---------------------------------------------------------------------------
> -----
> > wenn die welt doch nur so einfach wäre.
> > übrigens: www.hardwareluxx.de
>
> "Laut den Machern der Studie ist die Secure Enclave aber noch immer die
> sicherste Möglichkeit in diesem Bereich und technisch um Lichtjahre der
> Konkurrenz voraus"
>
> qed

Lichtjahre sind eine Längenangabe.

[Seelbreaker]

Alle Systeme die die Chips benutzen sind anfällig für diese Probleme, nicht nur Android... siehe Nintendo Switch:

https://twitter.com/derrekr6/status/889556685353881600

[miauwww]

> Apples SecureEnclave Implementierung ist auf jeden Fall sehr viel
> durchdachter, stringenter und robuster. Und konnte, im Gegensatz zur
> Android-Implementierung, bisher von noch niemandem geknackt werden -
> zumindest weder von den Hackern und Sicherheitsexperten, die es öffentlich
> versucht haben noch weisen die bisher geleakten Geheimdienst-Informationen
> zu diesem Thema darauf hin.

Von heute:
https://www.heise.de/mac-and-i/meldung/Spionage-Malware-Fruitfly-blieb-ueber-Jahre-auf-Macs-unentdeckt-3783163.html

Auch schön:
https://www.blackhat.com/docs/us-16/materials/us-16-Mandt-Demystifying-The-Secure-Enclave-Processor.pdf

Erstmal siehts besser aus bei SE, aber ich neige einstweilen zu der Ansicht, vorallem nicht dem Marketinggelaber irgendwelcher Konzerne - ob Google, Apple, MS etc. - zu vertrauen.



3 mal bearbeitet, zuletzt am 25.07.17 17:37 durch miauwww.

[Niaxa]

Was sollen die auch bitte besser machen? Die haben alle die gleichen Mittel zur Verfügung was Kentniss, Finanzen und ausreichend Manpower angeht. Für Apple ist das was Google macht kein Hexenwerk und andersherum ebensowenig. Beide gehen mit ohren Produkten einen anderen Weg. Und da hat Google es eben durch die offene Verteilung ihres Systems, dezent schwerer.

Ich nutze weiterhin beides. Für mich war ein SP aber auch noch nie der geeignete Ort um irgendwelche wichtigen Daten darauf zu speichern.

[hyperlord]

nachgefragt schrieb:
--------------------------------------------------------------------------------
> tunnelblick schrieb:
> ---------------------------------------------------------------------------
> -----
> > wenn die welt doch nur so einfach wäre.
> > übrigens: www.hardwareluxx.de
>
> "Laut den Machern der Studie ist die Secure Enclave aber noch immer die
> sicherste Möglichkeit in diesem Bereich und technisch um Lichtjahre der
> Konkurrenz voraus"
>
> qed

Das beweist doch genau nix. Ein "bisschen sicher" gibt es nicht - entweder das ist sicher oder eben nicht. Es hilft Dir ja auch nix, wenn dein privater Krypto-Key nur ein bisschen öffentlich geleakt ist.