Nokia onderschepte het https-verkeer van gebruikers met een telefoon met het os S40, dat op budgettelefoons aanwezig is. Dat ontdekte een beveiligingsonderzoeker. De telecomfabrikant zegt dat te hebben gedaan om websites te comprimeren, zodat ze sneller worden geladen.
Beveiligingsonderzoeker Gaurang Pandya, die momenteel werkzaam is bij Unisys, heeft ontdekt dat Nokia op S40-telefoons https-verkeer tunnelde door zijn eigen servers. Ook http-verkeer werd onderschept. Het bedrijf serveerde gebruikers daarbij een eigen ssl-certificaat in plaats van dat van de website, zodat de browser geen alarm slaat. Dat is niet heel ongebruikelijk: ook Opera Mini doet dit, maar het was nog niet bekend dat ook de S40-browser zo opereerde.
Op de servers van Nokia werden https-websites ontsleuteld, gecomprimeerd en vervolgens weer versleuteld voor verzending naar de browser van de gebruiker. Inmiddels heeft Nokia een update voor de browser vrijgegeven, waarin een verandering wordt doorgevoerd: Nokia gebruikt niet langer een eigen certificaat. In plaats daarvan wordt ontsleuteld https-verkeer nu over http getunneld. Of verkeer nu niet meer wordt onderschept, is echter onduidelijk.
Een medewerker van Nokia schrijft in een reactie op het blog van Pandya dat het bedrijf voor de methode heeft gekozen om websites te kunnen comprimeren, zodat ze sneller laden. Tegenover TechWeekEurope zegt een woordvoerder dat gebruikers sneller kunnen surfen en data besparen. Inhoud van versleutelde communicatie wordt niet opgeslagen, bezweert de woordvoerder.
Beveiligingsonderzoeker Pandya tekent echter aan dat gebruikers buitengewoon veel vertrouwen in de handen van Nokia leggen door alle versleutelde communicatie door Nokia te laten ontsleutelen, zonder dat ze dat weten. Bovendien, tekent hij aan, houdt Nokia een lijst bij van url's die gebruikers bezoeken, hoewel de inhoud niet wordt opgeslagen. Dat is te lezen in de gebruikersvoorwaarden.
[Reactie gewijzigd door SinergyX op vrijdag 11 januari 2013 17:28]
[Reactie gewijzigd door Extera op vrijdag 11 januari 2013 17:20]
Zo erg is het gelukkig ook weer niet:het feit dat ALLE verkeer tussen Nokia en de desbetreffende telefoon onversleuteld is
Ofwel: de data terug naar de gebruiker wordt wel degelijk geëncrypt. Weliswaar met hun eigen certificaat ipv het certificaat van de website waar je naar aan het kijken was, maar alsnog geëncrypt.Het bedrijf serveerde gebruikers daarbij een eigen ssl-certificaat in plaats van dat van de website, zodat de browser geen alarm slaat.
[Reactie gewijzigd door Cristan op vrijdag 11 januari 2013 19:02]
Inmiddels heeft Nokia een update voor de browser vrijgegeven, waarin een verandering wordt doorgevoerd: Nokia gebruikt niet langer een eigen certificaat. In plaats daarvan wordt ontsleuteld https-verkeer nu als http-verkeer doorgestuurd, wat tot gevolg heeft dat beveiligd verkeer tussen de servers van Nokia en de gebruiker onbeveiligd wordt verzonden.
[Reactie gewijzigd door terror538 op vrijdag 11 januari 2013 18:55]
Neemt niet weg dat ik persoonlijk vind dat Nokia van https verkeer af moet blijven, of er op zijn minst een configuratie setting voor moet maken.All of this simply confirms what Pandya observed, and what Nokia admitted. But what would cause this behavior? You would expect your web browser to receive certificates for the secure web site that it claims you are connected to. Apparently, Nokia browser on Pandya’s phone, and Nokia Xpress on Windows Phone 8, translate your requests to secure sites into requests to the Nokia proxy server before it ever leaves your phone. Commenters on Pandya’s post have been arguing about whether this constitutes a “man-in-the-middle” or not. I suppose that it’s more of a “man-in-the-client” that supports the second “man-in-the-middle” on the proxy.
[Reactie gewijzigd door 4np op zaterdag 12 januari 2013 11:12]
Is there any end-to-end security between my handset and — for example — paypal.com or my bank?
Opera Mini uses a transcoder server to translate HTML/CSS/JavaScript into a more compact format. It will also shrink any images to fit the screen of your handset. This translation step makes Opera Mini fast, small, and also very cheap to use. To be able to do this translation, the Opera Mini server needs to have access to the unencrypted version of the webpage. Therefore no end-to-end encryption between the client and the remote web server is possible.
If you need full end-to-end encryption, you should use a full web browser such as Opera Mobile.
bron: http://www.opera.com/mobile/help/faq/#connection
[Reactie gewijzigd door ChicaneBT op vrijdag 11 januari 2013 17:31]
Dit dus. Opera en Nokia hebben zo dus toegang tot al je data.If you do not trust Opera Software, make sure you do not use Opera Mini to enter any kind of sensitive information.
[Reactie gewijzigd door Soldaatje op vrijdag 11 januari 2013 17:43]
Nokia verstuurt verkeer wat versleuteld behoord te zijn onversleuteld terug naar de eindgebruiker. Dat is een ongeloofijk privacy probleem. Dat is zoiets als dat nu naar buiten zou komen dat TNT post structureel het briefgeheim breekt.Reacties hier op Tweakers doen vermoeden dat hier een of ander enorm groot privacy probleem is ontdekt. Vind dat meevallen.
[Reactie gewijzigd door Jaco69 op zaterdag 12 januari 2013 12:49]
Op dit item kan niet meer gereageerd worden.
Populair: Asus Samsung Websites en communities Mobiele telefoons Laptops Sony Games Microsoft Consoles Microsoft Xbox One
© 1998 - 2013 Tweakers.net B.V. Contact Over Tweakers Jouw privacy Algemene voorwaarden Cookies
Tweakers wordt uitgegeven door De Persgroep en wordt gehost door True