DIVSI Studie: Wissenswertes über den Umgang mit Smartphones

DIVSI (Deutsches Institut für Vertrauen und Sicherheit im Internet) führte im März 2014 eine Studie zum Thema “Wissenswertes über den Umgang mit Smartphones” durch. Dabei werden BlackBerry OS10, Android, iOS und WindowsPhone verglichen. Im Studienbericht werden die komplexen Abläufe, die im Hintergrund laufen, erläutert.

Ziel der Studie ist es, ein Bewusstsein zu schaffen, welchen Einfluss über die Weitergabe und Verarbeitung von Daten der durchschnittliche Nutzer von Smartphones besitzt. Dies wurde durch Testgeräte, Dokumentationen der Hersteller und Minimalkonfigurationen realisiert.

BB10QNX.DE Fazit vorweg:
Im Privatanwendermarkt stellt es sich bei den 4 getesteten Betriebssystemen wie folgt dar:
“Not gegen Elend”, wobei BlackBerry positiv auffällt und trotzdem noch einiges nachlegen muss.
BlackBerry OS10 ist aber mit der Priorität auf Sicherheit entwickelt worden, wie das Whitepaper aufzeigt.
Der Privatanwender möchte alle Möglichkeiten nutzen mit seiner Umwelt zu kommunizieren. Die Sicherheit der Daten liegt am Endanwender selbst.
Wer sich also bei Facebook anmeldet, kann sich im Nachhinein nicht beim Smartphonehersteller über die Weitergabe seiner Daten beschweren. Hier sticht aber zum Beispiel BlackBerry heraus: BlackBerry schreibt die Apps für Facebook und einige Cloudanbieter selbst.Folglich muss man nicht wie bei Android einen zusätzlichen Facebook Messenger installieren, der die Berechtigungen zum Tätigen von Anrufen oder Versand von Textnachrichten verlangt.
Desweiteren kann man bei BlackBerry die Berechtigungen der Apps bearbeiten, ohne die Grundfunktionalität der Apps zu gefährden.

BlackBerry legt seinen Fokus aber auf Enterprise Kunden. Hier kann BlackBerry mit seinem BES12 punkten. Eine einheitliche Adminkonsole um BlackBerry, Android, iOS und WindowsPhone zu verwalten. (Siehe dazu das BlackBerry Enterprise Whitepaper)
Damit auch verbunden die eBBM™ Suite. Diese bietet den BBM Protected an, ein Messenger mit FIPS 140-2 validierte Verschlüsslungstechnologie, BBM Meetings, eine Möglichkeit für gesicherte VoIP-Konferenzen, und noch weitere Funktionen.
Durch die BES-Anbindung hat ein Kunde BlackBerry Balance auf seinem BlackBerry zur Verfügung stehen. Zwei Konten, ein privates und ein berufliches, strikt von einander getrennt. Nimmt man nun noch die Übernahme von Secusmart (verschlüsselte Kommunikation über eine Hardwareverschlüsselung in Form einer SD-Karte) und Movirtu (2 Rufnummern mit getrennten Rechnungen auf einer SIM-Karte) hinzu, hat man die volle Kontrolle der Datenintegrität ohne Einbußen des privaten Nutzererlebnisses. (Weiteres zur Strategie)
Desweiteren ab BlackBerry OS10.3.1 ab Dezember 2014: Bessere interne und externe “Außer Haus” Benachrichtigungen, nicht nur s/mime sondern auch PGP Verschlüsselung, Kamera für den Arbeitsbereich.

Es werden nun Auszüge der einzelnen Kapitel (Zahlen vor den Überschriften) der Studie gekürzt zitiert oder zusammengefasst. Es wird im Speziellen auf BlackBerry und die Unterschiede zu den anderen getesteten Betriebssystemen eingegangen.
Anmerkung: Im Bericht wird tatsächlich diese Schreibweise benutzt: BlackBerry

2. Zentrale Erkenntnisse

Benutzer sollten sich bewusst sein, dass bei jedem Hersteller eine Verbindung zu dessen Infrastruktur hergestellt wird und die Hersteller Nutzungsdaten zur Verbesserung ihrer Dienste nutzen.

Die Erhebung von Nutzungs- und Diagnosedaten erfolgt laut Hersteller in anonymisierter Form.
Bis auf Android bieten alle Betriebssysteme eine Option zur Deaktivierung der Erhebung. (Anm: BlackBerry OS10 bietet bei der Einrichtung des Gerätes schon die Option an)
Viele private Daten auf Smartphones können mit Cloud-Diensten der Hersteller synchronisiert werden. Die Angebote unterscheiden sich von Hersteller zu Hersteller im Umfang und auch in der Entscheidungsfreiheit, die einem Nutzer zugestanden wird. Registriert ein Nutzer ein Microsoft-Konto auf seinem Windows Phone, werden auf dem Gerät gespeicherte Kontakte und Kalenderdaten mit dem Microsoft-Dienst automatisch synchronisiert. Dies kann nicht deaktiviert werden.
Wenn Berechtigungen in Gruppen zusammengefasst werden und der Nutzer der Gruppe zustimmen muss, kann dies problematisch sein. Bei Android können sich bei App-Updates die Berechtigungen innerhalb einer bereits bestätigten Gruppe ändern, ohne dass der Nutzer erneut zustimmen muss. Das bedeutet z.B., dass Apps, die auf die Anrufstatistik zugreifen dürfen, nach einem Update unter Umständen Anrufe ohne Nutzerinteraktion führen können.
Nutzer können Apps bei BlackBerry OS und iOS nachträglich die Zugriffsrechte entziehen (oder erteilen). Bei einem unmodifizierten Android und Windows Phone ist dies nicht möglich.

3. Betrachtete mobile Betriebssysteme

Android, BlackBerry OS10, iOS und WindowsPhone.

5.1 Smartphone einrichten

Verwendete Geräte und OS-Version:

Android: LG E960 Nexus 4 mit Android 4.4.3
BlackBerry OS: BlackBerry Q5 mit BlackBerry OS 10.2.1.2977
iOS: Apple iPhone 5s mit iOS 7.1.1
WindowsPhone: Nokia Lumia 920 mit WindowsPhone 8.0

Anmerkung: November 2014 erhältlich: Android 4.4.4, BlackBerry OS10.3, iOS8.1 und WindowsPhone 8.1.

5.1.2 Minimale Einstellungen in der Praxis

Zusammenfassung

Alle 4 Hersteller bauen Verbindungen zur eigenen Infrastruktur auf. Es werden bei allen eine TLS-Verschlüsselung für einen Teil der Kommunikation verwendet. (Anmerkung: Android 13,4%, BlackBerry 3,4%, iOS 52%, WindowsPhone 44,9%)

Durchgehende Verbindungen: iOS (für Pushnachrichten), Android (Video- und Chatfunktionen) und BlackBerry (laut Studie unbekannt, wird die Verbindung zum BlackBerry Server für die PIM-Dienste und BlackBerry Services sein)

Nur Android baute eine Verbindung zu einem Werbedienst auf: DoubleClick, ein Werbeunternehmen von Google.

Android und BlackBerry OS bauen eine Verbindung zu gpsonextra auf, um Updates für den Basisdienst zur Positionierung zu erhalten.

Alle 4 Betriebssysteme bauen eine Verbindung zu Content Delivery Networks (CDN) auf. Damit Mediendaten schnell und verzugsfrei beim Endanwender ankommen.

WindowsPhone baut eine Verbindung zu einem Dienst zur Standortbestimmung auf. Diese Verbindung wird auch bei Deaktivierung der Standortbestimmung genutzt und steht somit im Widerspruch der gewählten Option.

5.6 Erhebung von Nutzungs- und Diagnosedaten

Auffällig: In dem Bericht steht zu jedem Gerät, dass der Nutzer die Option hat diese Dienste zu deaktivieren. Nur bei Android nicht.
Android kann die komplette Nutzung der Google Services durchführen, dabei sind zum Beispiel auch Telefonlisten betroffen. Die Verarbeitung der Daten findet auf Servern in mehreren Ländern statt. Desweiteren kann ein Nutzer zwar auf seine Daten zugreifen, aber nur wenn es sich mit einem vertretbaren Aufwand realisieren lässt. Sicherungskopien werden womöglich nie von nicht aktiven Servern gelöscht.

BlackBerry Nutzer aus dem europäischen Wirtschaftsraum stimmen zu, dass ihre Daten außerhalb des europäischen Wirtschaftsraums bearbeitet werden. BlackBerry verpflichtet sich aber zur kompletten Löschung, Vernichtung oder Anonymisierung der Daten, falls diese nicht mehr benötigt werden. BlackBerry kann darüber hinaus private Angaben des Nutzers auch verwenden, um auf Gerichtsbeschlüsse, Haftbefehle oder sonstige rechtmäßige Anforderungen oder rechtliche Verfahren zu antworten oder um Notfallhilfe in Situationen geben zu können, die lebensbedrohend sind. In diesem Fall benötigt BlackBerry keine Einverständniserklärung des Nutzers.

Apple gibt die Daten an Dritte weiter, die für Apple Dienste bereitstellen. Daten von Nutzern im europäischen Wirtschaftsraum werden in Irland gespeichert und verarbeitet. Jedoch gibt auch Apple die Daten an Regierungsbehörden heraus, auch außerhalb des Wohnsitzlandes. Explizit wird hier die nationale Sicherheit genannt.

WindowsPhone hat laut Studie die höchste Anzahl an betroffenen Daten. Desweiteren merkt Microsoft an, dass die Nutzerdaten möglicherweis in den USA und weiteren Ländern durch Microsoft, deren Partner, Tochtergesellschaften sowie Dienstanbieter gespeichert und verarbeitet werden. Regierungsbehörden erhalten auch hier Hilfe vom Hersteller.

6. Grundfunktionen und Kopplung mit der Cloud

Android: Bei Anlegen eines Google-Kontos wird ein Nutzer unmittelbar dazu aufgefordert, die Kontakte über Cloud-Dienste zu synchronisieren. Die Daten werden nur übertragen, wenn der Nutzer dem zustimmt.
BlackBerry: DIVSI schreibt, dass das BlackBerry OS keine Möglichkeit der Cloudsynchronisation bietet. Dies ist nicht ganz korrekt.
BlackBerry hat für Privatanwender keinen eigenen Clouddienst. Man kann seine Kontakte aber über mehrere Protokolle synchronisieren, z.B. Microsoft Exchange oder CardDAV.
iOS: Synchronisierung mit der iCloud ist voreingestellt und kann auf Wunsch deaktiviert werden.
WindowsPhone: Keine Deaktivierung der Synchronisierung möglich

Ähnlich sieht es bei Kalender- und Termindaten sowie Fotos und Musik aus. BlackBerry kann auf Wunsch Fotos mit Dropbox oder Box synchronisieren. Bis vor kurzem konnte über die BlackBerry World Musik und Videos bezogen und synchronisiert werden. Dies hat nun 7digital mit einer Standalone App übernommen.
Da die Angaben nicht ganz korrekt waren, wurden diese Punkte aus der DIVSI Studie nicht übernommen.

6.2 E-Mails und Kurznachrichten

BlackBerry fasst zwar alle Konten im BlackBerry Hub zusammen, doch stellt jede Art der textlichen Kommunikation eine eigene App dar. Alle anderen Hersteller verbinden teils ihre Kurznachrichtendienste mit IP-Messengern.

6.3 Surfen im Internet

Android: Kein Privat-Modus, keine Do-not-Track-Option, nur grobgranulare Cookie-Einstellungen, keine Cloud-Synchronisierung
BlackBerry: Privat-Modus, keine Do-not-Track-Option, nur grobgranulare Cookie-Einstellungen, keine Cloud-Synchronisierung
iOS: Privat-Modus, Do-not-Track-Option, feingranulare Cookie-Einstellungen, Cloud-Synchronisierung
WindowsPhone: Do-not-Track-Option, grobgranulare Cookie-Einstellungen

6.7 Weitere Cloud-Dienste

Alle Anbieter haben eine Cloud im Portfolio, außer BlackBerry für den Privatanwender. Für den Privatanwender gibt es BlackBerry Protect, das ein Auffinden eines gestohlenen Geräts bietet. An einem BES betrieben, kann der eigene Serverspeicher als Cloud eingebunden werden.

7.1 App-Markets

Alle Hersteller prüfen vor Einstellung in ihre Markets das Angebot auf bösartige Apps.
Bei BlackBerry werden native wie auch Android Apps vor der Installation geprüft. Dies Aussage in der Studie “Eine pauschale Aussage über automatisierte Sicherheitstests dieser Drittmärkte kann jedoch nicht getroffen werden.” trifft nur auf die Markets von Drittanbieter zu, nicht aber für die einzelnen Apps.
Hier ist aber auch wieder der Endanwender gefragt. Eine App aus einer unbekannten Quelle und einem Ergebnis “Datei ist nicht bekannt” sollte man nicht unbedingt installieren.

Vergleich der Sicherheitsmodelle

Zeitpunkt und Selektive Vergabe

Android und WindowsPhone bieten nur an, alle Berechtigungen zu vergeben oder abzulehnen.

Granularität

Bei Android ist Vorsicht geboten: Seit Mai 2014 werden die Berechtigungen in Gruppen zusammengefasst. Erlaubt man einer App den Zugriff auf eine Gruppe, können mit einem Update ohne Nutzeraktivität weitere Berechtigungen hinzukommen. Beispiel: Apps, die auf die Anrufstatistik zugreifen dürfen, können zu einem späteren Zeitpunkt
unter Umständen Anrufe ohne Nutzerinteraktion führen.

Änderungsmöglichkeit

Nur bei BlackBerry und iOS kann man im Nachhinein die Berechtigungen einzeln ändern. Bei Android und WindowsPhone gibt es keine Möglichkeit.

Geregelter und erkennbarer Zugriff auf Nutzerdaten

Weitere Sicherheitsvorkehrungen der Betriebssysteme

Bildschirmsperre

Alle Betriebssysteme stellen verschiedene Arten der Bildschirmsperre zur Verfügung.

Android und iOS bieten Fingerabdrucksensoren an. Dies ist fragwürdig, da diese Systeme schon umgangen wurden und bei Benutzung dieser Möglichkeit der persönliche Fingerabdruck “verbrannt” ist.

BlackBerry bietet Bildkennwort an. Es werden über den ganzen Bildschirm Zahlen in einem Raster angezeigt. Eine vorher festgelegte Zahl muss auf einen bestimmten vorher festgelegten Bildpunkt gelegt werden. Einzigartig und für Dritte nicht nachvollziehbar.

Verschlüsselung

Alle Hersteller bieten eine Verschlüsselung an. Nur bei WindowsPhone benötigt man einen Exchange-Server, bei Privatpersonen eher unüblich.

Android und WindowsPhone verschlüsseln nur bei ausgeschaltetem Gerät (bei Smartphones fast nie der Fall).
BlackBerry verschlüsselt sofort, auch bei eintreffenden Daten auf ein gesperrtes Gerät.
iOS arbeitet mit nicht transparenten Schutzklassen.

7.4 Datennutzung am Beipsiel der App Angry Birds

Android

Werbung (Banner und Videos) werden eingeblendet.
164 Verbindungen, davon 52 mit TLS verschlüsselt, mit 38 Endpunkten, 6,05 Megabyte wurden ausgetauscht.

Unverschlüsselt via http wird übertragen:
Ausgewählte Sprache, Geräte-ID und MAC (diese jedoch nicht im Klartext), IP, Mobilfunkanbieter, Gerätetyp, Betriebssystem und -version, Auflösung des Bildschirms.

Mehrere Verbindungen zu Drittanbietern von Werbung.

BlackBerry

Keine weitere Kommunikation zu den Daten aus Kapitel 5.1.2 erkannt!

iOS

43 Verbindungen, davon 38 mit TLS verschlüsselt, mit 13 Endpunkten, 1,11 Megabyte wurden ausgetauscht.

Durch Verschlüsselung nicht klar, welche Daten übertragen wurden.

WindowsPhone

52 Verbindungen, davon 39 mit TLS verschlüsselt, mit 26 Endpunkten, 1,44 Megabyte wurden ausgetauscht.

Nutzung der App wird an mehrere Dienst übermittelt.

Versuchsaufbau

Die vier Smartphones wurden an einem eigens für die Untersuchung eingerichteten WPA2-gesicherten (verschlüsselten) Drahtlosnetzwerk angemeldet. Der Access Point wird durch einen Linux-Server realisiert, der mit dem Internet verbunden ist und den Datenverkehr der einzelnen Smartphones ins Internet routet. An dieser Stelle besteht die Möglichkeit, den Netzwerkverkehr aufzuzeichnen und im Anschluss daran mit Blick auf die durchgeführten Datenübertragungen zu untersuchen.
Für die Tests in Kapitel 5.1.2 wurden die Telefone auf Werkseinstellungen zurückgesetzt. Die Telefone sind dann bereit für die erste Einrichtung durch den Nutzer. Ab diesem Zeitpunkt wurde der Netzwerkverkehr mitgeschnitten, sodass alle Netzwerkverbindungen ins Internet beim Einrichten des Telefons erkannt wurden. Nach der Einrichtung wurde der Netzwerkverkehr der Telefone ohne weitere Nutzerinteraktion noch mehrere Stunden weiter überwacht.
Für die Tests in Kapitel 7.4 wurde auf den Telefonen nach der ersten Einrichtung ein Kundenkonto eingerichtet und das Spiel Angry Birds im jeweiligen App-Market gekauft. Der Netzwerkverkehr wurde ab dem Starten der App mitgeschnitten und für die Dauer einer durchschnittlichen Nutzerinteraktion aufgezeichnet.

Quelle

Forumsdiskussion