Blackphone bevatte ernstig privacylek

Een beveiligingsonderzoeker heeft een kwetsbaarheid aangetroffen in de instant messaging-client die door Silent Circle voor de BlackPhone is ontwikkeld. Door de aanwezigheid van een zogeheten type confusion-kwetsbaarheid kan een aanvaller onder andere versleutelde berichten lezen.

Onderzoeker Mark Dowd van de firma Azimuth Security ontdekte de bug in SilentText, een instant messaging-client die standaard op de BlackPhone draait en ook vrij beschikbaar is in de Play Store. Het gaat specifiek om een type confusion-kwetsbaarheid in libscimp, een component waarin het Silent Circle Instant Messaging Protocol is verwerkt voor het versleutelen van berichten.

Door naar de bezitter van een BlackPhone een gemanipuleerd pakketje te sturen, waarvoor informatie over een telefoonnummer of een Silent Circle ID voldoende is, ontstaat er een geheugenfout. Hierdoor kan een aanvaller onder andere berichten op het 'veilige' mobieltje decoderen, locatiedata opvragen, contacten stelen of instellingen van een BlackPhone manipuleren.

Silent Circle zou het lek in het libscimp-bestand inmiddels hebben gedicht. Het bedrijf was door Dowd getipt over het probleem. De onderzoeker heeft op zijn blog een uitgebreide analyse geplaatst van het probleem.

Reacties (47)

[jostefa]

Blackphone is gemaakt voor privacy. Nu komt er naar buiten dat er een ernstig lek in de software zit, veel mensen zullen blackphone nu gaan flamen. Wat ik mij nu afvraag is of de blackphone meer/grondiger wordt onderzocht in vergelijking tot andere telefoonsoftware omdat ze privacy hoog in het vaandel hebben staan? Want dit zou betekenen dat de software alsnog veiliger is dan andere software.

[Reactie gewijzigd door jostefa op 26 juli 2024 07:53]

[Verwijderd]

Weer de C programmeertaal die de schuldige is. En uiteraard een fout van de programmeur. Maar programmeurs zijn mensen en dus faalbaar.

Een programmeer taal moet zo ontworpen zijn dat het moeilijk is voor ontwikkelaars om fouten te maken, zoals Java en C#.

[blorf]

Volgens mij is type confusion een Java-ding. Geen idee wat het precies is, maar ik vermoed dat het juist veroorzaakt wordt door datatyping niet zo serieus te nemen waar het wel zou moeten.
Maar misschien kun jij een C-voorbeeldje geven van hoe te rommelen met types zodat de boel ontbetrouwbaar wordt. En dan bedoel ik niet dat je een gedefinieerd type/object gaat vernielen met onafhankelijke code op byte-level maar iets wat structureel niet klopt in de taal C of een compiler en zich ongemerkt in programma's manifesteert.

[Verwijderd]

Nee, het is geen Java 'ding'. De code is geschreven in C en de objecten waar men naar refereert zijn JSON objecten.

[Verwijderd]

Je noemt hier een heel valide punt, erg grote kans dat er meer naar de beveiliging van deze telefoon word gekeken dan naar die van een gemiddelde Galaxy of iPhone.

Echter is het natuurlijk wel een beetje beschamend als je je telefoon in de markt zet als 'secure' en vervolgens uit allerlij onderzoeken blijkt dat je claim niet op waarheid berust is. Dit is namelijk ondertussen al weer de 3e keer ofzo dat blijkt dat er een enorm gapend gat in de beveiliging schuilt. Volgens mij is Blackberry vandaag de dag nog steeds een veiliger alternatief dan dit.

[Verwijderd]

Is toch logisch dat je bij deze toestellen veel meer op de security gaat letten? Bij een test van een Mercedes zal een rammeltje ook veel zwaarder worden neergesabeld dan bij een Dacia test....

[timonb]

Als je unique selling point is security en privacy, dan kun je verwachten dat je meer getest wordt dan anderen.

Als ik zeg dat ik een onbreekbare telefoon heb, dan is dat de eerst volgende telefoon die in een blender wordt gestopt.

Dat de software misschien over de hele linie veiliger is dan andere software, doet er natuurlijk niet toe. Er zit namelijk een lek in en dat betekent dat je aan het zinken bent.

[Only5left]

Kijk, de BlackPhone zelf is nou niet eens zo'n grote mislukking, want zo wordt toch wel duidelijk wat de zwakste schakels zijn in het hele Android gebeuren. En sowieso, het is de eerste generatie van dit concept, dus je moet niet verwachten dat het in één keer goed gaat.
/edit: dit slaat eigenlijk niet helemaal op dit artikel, aangezien de encrypted sms niet een native feature is van Android.

[Reactie gewijzigd door Only5left op 26 juli 2024 07:53]

[lasharor]

Tuurlijk wel, je koopt een eindproduct, niet iets wat in ontwikkeling is. Als dan blijkt dat het eind product niet voldoet aan de verwachtingen dan heb je gewoon een slecht product gekocht.

[Aikon]

Bugs zitten nu eenmaal in software, uiteraard probeer je die tot een minimum te beperken. Je hebt pas een slecht product als je bugs niet zsm plet.

[Beuzelarij]

Bugs zitten nu eenmaal in software, uiteraard probeer je die tot een minimum te beperken. Je hebt pas een slecht product als je bugs niet zsm plet.

In dit geval onzin.

Hét onderscheidende aspect van de Blackphone zou de veiligheid moeten zijn. Voor de rest is het een 13-in-een-dozijn toestelletje. Als je dan uitgerekend op dit toestel een privacylek hebt kun je dat niet afdoen als een simpele 'bug' die eventjes opgelost moet worden. Je zou zoiets met wat goede wil als bug kunnen bestempelen als verbindingen überhaupt niet zouden werken, maar in de tekst staat...

Hierdoor kan een aanvaller onder andere berichten op het 'veilige' mobieltje decoderen, locatiedata opvragen, contacten stelen of instellingen van een BlackPhone manipuleren.

... en dat is voor een veiligheidstelefoon een doodzonde. Misschien wel letterlijk in sommige landen.

Als een verbinding a.g.v. een bug geblokkeerd, verstoord of anderszins verhinderd zou kunnen worden, mag je spreken van een bug. Berichten kunnen decoderen, locatiedata opvragen en instellingen manipuleren is veel te ernstig om als 'bug' af te doen. Dit soort telefoons worden vaak met reden gekocht.

[Aikon]

Nee, ook in dit geval zitten er bugs in de software. Echter mag je wel aannamen dat de controle hierop strenger zal zijn. Bugvrije software bestaat nu eenmaal niet, naast een 'hello world' scriptje.

Verwachten dat er geen bugs inzitten is gewoon niet realistisch, en sommige van die bugs bedreigen je privacy ja.

[tympie]

Een bug is gewoon een software-fout, net zoals dat er in hardware fouten kunnen zitten. En het product is in dit geval een combinatie van hard-, en software. Als ik Blackphone gebruiker zou zijn, dan interesseert het me niet of de fout in de hardware of de software zit, de fout zit in het product, en juist in een belangrijke functie van dat product. Dus ja, dan is het op dat moment gewoon een slecht product.
Als opeens de remmen van je auto weigeren, en de garage legt uit dat het komt door een software-foutje in het ABS systeem, wat is dan jouw mening? "Ja, hele goede auto, alleen een beetje jammer van die remmen, maar da's gewoon een bug"?

Enige voordeel is dat een software-fout i.h.a. makkelijker en sneller te fixen is dan een hardware-fout, omdat er niet altijd fysieke reparatie-acties nodig zijn.

Dat bugvrije software niet mogelijk zou zijn, geloof ik niet in. Volgens mij gebeurt er behoorlijk wat onderzoek op het gebied van "provably correct software", software development methoden waarbij bewezen kan worden dat de opgeleverde code foutloos werkt. Bij software die op de "standaard" manier ontwikkeld wordt, zijn er ook een heleboel mogelijkheden, van testing frameworks tot code review tools, om meer zekerheid te krijgen over de kwaliteit. Dat levert natuurlijk geen 100% garantie, maar om simpelweg bugs te accepteren omdat ze niet voorkomen zouden kunnen worden...

Als zoals hier iemand van buitenaf met een frisse blik naar de source code kijkt, en een probleem ontdekt in een belangrijke functionaliteit, dan kun je ook stellen dat er in het ontwikkeltraject blijkbaar niet goed genoeg naar gekeken of getest is, anders was het zo niet op de markt gekomen. Met een houding van "ach, bugs horen er gewoon bij, die lossen we wel op als we ze een keertje tegenkomen" wordt dat er niet beter op.
Het is natuurlijk ook een probleempunt: Een hogere kwaliteit gaat ten koste van time / cost to market.

[Reactie gewijzigd door tympie op 26 juli 2024 07:53]

[Dorank]

Als opeens de remmen van je auto weigeren, en de garage legt uit dat het komt door een software-foutje in het ABS systeem, wat is dan jouw mening? "Ja, hele goede auto, alleen een beetje jammer van die remmen, maar da's gewoon een bug"?

En laat dit voorbeeld gewoon realiteit zijn. Ja mijn voertuig is gewoon goed, het was alleen heel jammer dat ik op een gegeven moment de oproep kreeg om toch even de rem te laten fixen vanwege een mechanisch probleem (zo'n 5 jaar naar aankoop). En daar mee wordt de stelling van Aikon onderschreven:

Je hebt pas een slecht product als je bugs niet zsm plet.

Je spreekt jezelf tegen:

Dat bugvrije software niet mogelijk zou zijn, geloof ik niet in.
...
Dat levert natuurlijk geen 100% garantie, maar om simpelweg bugs te accepteren omdat ze niet voorkomen zouden kunnen worden

Als er geen 100% garantie is op het voorkomen van bugs, is het gewoon niet mogelijk om gegarandeerd bugvrije software te ontwikkelen. Dat lijkt me zeker het geval indien er een VM tussen zit die de code nog eens door een JIT compiler gooit.

[tympie]

En laat dit voorbeeld gewoon realiteit zijn. Ja mijn voertuig is gewoon goed, het was alleen heel jammer dat ik op een gegeven moment de oproep kreeg om toch even de rem te laten fixen vanwege een mechanisch probleem (zo'n 5 jaar naar aankoop).

Dat een issue na constatering wordt opgelost en jij langs mag komen om het te laten fixen, geeft aan dat het een goede fabrikant is, maar als/zolang de remmen niet goed werken, is het gewoon geen goed voertuig.

Je spreekt jezelf tegen:

Nee, dat doe ik niet. Die "geen 100% garantie" ging over software die volgens de huidige methodes ontwikkeld (en getest) is, niet over "provably correct" software. Of er nog een VM of JIT tussenzit, maakt theoretisch gezien trouwens weinig uit; ook die zouden "provably correct" kunnen zijn.

Mijn reactie was overigens niet zozeer of het mogelijk is of zou moeten zijn voor iedere fabrikant/developer om echt 100% overall bugvrije software af te leveren. Het was een reactie op Aikon, die wel heel gemakkelijk stelt dat je bugs nou eenmaal kunt verwachten (mijn interpretatie) , terwijl het hier juist gaat om de hoofdfunctionaliteit van het betreffende product, en daarvan zou je op z'n minst mogen verwachten dat goed ontworpen en getest is, en naar behoren werkt (los van of dat nou software of hardware is) .

[Aikon]

Je vergelijking is ook niet de beste. Een ABS systeem is relatief simpel en heeft maar één functie en bij wijze van maar 1 sensor (per wiel), én heel belangrijk heeft geen input naast deze sensoren (geen internet, bluetooth, wifi, gebruiker, etc.). Met wat slimme foutcorrectie etc. is dan wel een bijna feilloos systeem te bouwen ja.

Een smartphone daarentegen is gigantisch complex met z'n vele sensoren en ongelimiteerde software (je kan ten slotte zelf apps maken ervoor).

Inderdaad gebeurd er veel onderzoek naar bugvrije-software, en de conclusie ervan is: onmogelijk.

Nadeel is ook dat de meest vreemde bug op de meest onverwachte plaats kan leiden tot verhoogde permissies, en die lijden eigenlijk per definitie tot privacy-issues. Zodoende is ongeveer elke bug een privacy-issue, slecht nieuws voor een product als een blackphone.

[tympie]

Je verandert de vergelijking. Ik vergelijk een smartphone niet met een ABS systeem, maar met een auto. Daarbij is het ABS systeem ook maar één van de vele componenten waaruit die auto bestaat (die ook onderling verbonden zijn, elkaar beïnvloeden, en waarbij "input" verwerkt wordt tot "output" (dan heb ik het niet alleen over data, maar kun je bijvoorbeeld ook denken aan het gedrag van de carosserie bij versnelling/vertraging).

Ondanks al die componenten, waarvan iedereen weet dat er in het totaal best wel foutjes te vinden zijn, mag je er van uit gaan dat er dusdanig ontwikkeld, getest en gebouwd is dat de kritieke componenten het gewoon doen.

Bij dit issue met de Blackphone was er overigens gewoon een fout in één component, die data van maar één sensor verwerkte (nl. SCIMP messages). Geen 3rd party apps, geen combinatie van een heleboel samenlopende omstandigheden of interactie tussen veel subsystemen...

[MurtnR]

Volgens mij is het grootste probleem dat ze roepen dat het zo veilig is. Dan is het een kwestie van tijd tot er iets gevonden wordt.

[Verwijderd]

Grootste probleem van de BlackPhone is niet de veiligheid dat hebben ze 'aardig' in orde, of in ieder geval beter dan de amerikaanse grote 3.

Grootste probleem lijkt de gebruiksvriendelijkheid te zijn.
productreview: GeeksPhone Blackphone Zwart review door Romeo

Geeft aan dat:
• Het toestel soms extreem traag wordt.
• Je standaard niet bij je bestanden kan.
• Je onverstaanbaar bent
• GPS nauwelijks werkt

[Verwijderd]

• Je onverstaanbaar bent

Als je niet te verstaan bent ben je niet succesvol af te tappen. Dit is dus duidelijk een veiligheidsfeature .

[Verwijderd]

Edward Snowdon zal binnenkort wel weer een artikeltje loslaten waaruit blijkt dat de NSA alles kan decoderen, hoe slecht het geluid ook is.

[bbob]

Helaas zitten er is smartphones veel bugs.

Je kan beter een dump phone kopen bij cryptophone, die doen dit al meer dan 10 jaar, hebben ervaring, zijn niet goedkoop, gebruiken open source software die je kan controleren.

[Only5left]

Ik weet niet of ze 'totale veiligheid' hebben belooft, maar ook al is hierbij niet alles perfect hebben ze door native ondersteuning te hebben voor app requests en gebruikers iets bewuster te maken van de gevaren. Dat is tenminste al iets.

[Verwijderd]

Waarom mag ik niet verwachten dat het de eerste keer goed gaat? Ik betaal toch goud geld voor een telefoon die zogenaamd 'veilig' is? En dan is deze het niet!

Ik vind dit een big fail! Exit Silent Circle.

[Verwijderd]

SAMSUNG weet dat ook na meer dan 5 jaar KNOX ontwikkeling en heeft de handdoek in de ring gegooid en laat KNOX beveiligen door BLACKBERRY voor bepaalde samsung toestellen zoals De Samsung S5 en nog twee modelen.

[aval0ne]

Ssamsung is helemaal niet gestopt met Knox.
nieuws: Samsung ontkent met beveiligingsplatform Knox te stoppen

[Verwijderd]

Ik geef ook niet aan dat ze gestopt zijn want knox draait nu met integratie op BES 12 in test en zal later uitgerold worden. Het was volgens Samsung CEO veelbelovend. Dus het komt eraan. Het produkt zal vermoedelijk als KNOX door het leven blijven gaan powered by Blackberry. Het zal eerst voor eigen toestellen zijn maar wat ik had begrepen dat ook andere merken met android toegevoegd kunnen worden.

[Reactie gewijzigd door Verwijderd op 26 juli 2024 07:53]

[XavierRoemer]

De Blackberry deal ligt kennelijk in het verschiet gezien allen gecombineerde berichtgeving, maar is zeker nog niet besloten. En inhoudelijk is er niets bekend over de doelen. Misschien dat ze het willen integreren in KNOX....

[Reactie gewijzigd door XavierRoemer op 26 juli 2024 07:53]

[svenM]

Niet iedereen is zo ontevregen over touchwiz, zeker de nieuwere versies. Geef mij maar touchwiz boven kale android, en genoeg mensen op reddit te vinden die dit ook denken.

[Verwijderd]

KNOX is wel af maar ze krijgen het niet goed beveiligd.

[Verwijderd]

Je bent ook gewoon dom als je gelooft dat een toestel helemaal veilig is. Je bent uit eindelijk verbonden met het internet of welk signaal dan ook.

[Vayra]

^ Dit. Ze zeggen weleens: 'you can't have your cake and eat it'

Privacy is nu een hot item maar iedereen die in dit soort oplossingen investeert is compleet voorbij gegaan aan twee relevante zaken:

- Privacy is een collectieve aangelegenheid. Als ik geen privacy heb, heb jij het ook niet. De gaten in mijn privacy zijn ook potentiele gaten in jouw privacy. Kijk bijvoorbeeld naar de mensen die doelbewust niet op Facebook staan maar vervolgens door familie of kennis wél erop voorkomen.

- Dit soort initiatieven komen niet uit de lucht vallen. Sinds de Prism-onthullingen wordt privacy 'vercommercialiseerd'. Is het daarmee dan ineens wél mogelijk om het allesomvattende surveillancewereldje te omzeilen? Natuurlijk niet. Allerlei voorheen veilig gewaande services worden nu achter elkaar bedreigd of ontmaskerd. TOR gaat ook de hoek om binnen afzienbare tijd, het internet wordt gemilitariseerd en gecriminaliseerd waar dat opportuun is voor overheden, en dit is een wereld die nu volop in beweging is. Waar jij vandaag voor een bizarre meerprijs een 'Blackphone' of andere privacy oplossing koopt, is er morgen een 'fix' voor de NSA om daar toch in te kunnen. Maak je geen illusie. Privacy bestaat alleen waar die wordt toegestaan.

En die laatste zin is dan ook essentieel: privacy bestaat alleen maar daar, waar we het erover eens zijn dat privacy moet bestaan. Dit soort initiatieven waarin je als klant denkt 'de uitzondering op de regel te zijn' spelen puur in op onderbuikgevoel en een valse notie van veiligheid. Zolang de algehele visie op privacy niet verandert of wordt ondersteund door een duidelijke meerderheid, zal er niets veranderen. Ik durf zelfs te stellen dat je met een speciale oplossing als de Blackphone juist 'in de kijker' loopt van inlichtingendiensten. Onze enige hoop is op dit moment dus de EU die van zijn eigen continent niet langer een open boek maakt voor elke Amerikaanse brainfart die langs komt. Ik wacht ook op de dag dat wij vanuit de EU op de vingers worden getikt voor onze vergaande spionage op ons eigen volk. Zo erg als wij het in NL hebben, daar durven ze in de VS namelijk nog niet eens over te praten - jazeker, Nederland is een gidsland met betrekking tot privacyschendingen.

[Reactie gewijzigd door Vayra op 26 juli 2024 07:53]

[Verwijderd]

We moeten gewoon om leer gaan met een andere vorm van privacy. In principe is het enige verschil met "vroeger" dat nu de hele wereld kan zien wat je doet terwijl dat vroeger beperkt was tot mensen die in het dorp zagen. Maar uiteindelijk is het hetzelfde. Alleen de schaal is anders.

[TheBlackbird]

Hmmm. Neen, het is niet hetzelfde. Vandaag koop je een weegschaal die verbonden is met je smartphone, en het bedrijf van die weegschaal kan in realtime zien wanneer je je weegt. Vervolgens kan het die gewichtsdata van miljoenen mensen - als het dat wil - doorverkopen aan verzekeringsmakelaars, die op hun beurt hun premies aanpassen adhv een obesitasratio waar jouw geografische locatie dan toevallig onder valt. Om maar iets te zeggen.

Morgen leven we in de absurde wereld van the Internet of Things, waar álles zal verbonden zijn met dat verdomde internet, en alles gelogd, geanalyseerd, gemarketeerd en doorverkocht zal worden. Dit is geen andere vorm van privacy, dat is gewoon geen privacy.

[TheBlackbird]

Grotendeels akkoord, maar niet volledig.

Het nut van een privacy service valt of staat niet met of de NSA die kan kraken of niet. Potentieel kunnen ze alles kraken als ze je in het vizier hebben en dan heeft niks nut. Maar in de praktijk zijn het vooral commerciële bedrijven en onze lokale overheden die in onze data geïnteresseerd zijn. Dat kun je vrij effectief afschermen met de huidige technologieën als TOR, VPN, full disk encryption, Blackphone en dergelijke meer.

[NiHouMa]

Waar ik mij ook over verbaas dat ze bij de cloud opslag gekozen hebben voor "SpiderOak" Blackphone Edition. Deze server staat in de Verenigde Staten dus de overheid aldaar kan makkelijk een beroep doen op de Patriot Act. Dat allemaal voor een te dure zogenaamde veilige smartphone!

[TheBlackbird]

Als je de private key zelf kan genereren staat op die server enkel gecodeerde data die niet eenvoudig te decrypten valt.

In diezelfde lijn: als je een Truecrypt (nu Veracrypt) container synct met Dropbox, kan Dropbox of een overheid ook niet veel met die data.

Kortom, serverlocatie is niet zo belangrijk. Wél als er niet gecodeerde data op staat, of het bedrijf in kwestie de private key(s) heeft.

[Reactie gewijzigd door TheBlackbird op 26 juli 2024 07:53]

[begintmeta]

Metadata is dan natuurlijk nog wel te bereiken bij SpiderOak, daarnaast (maar ik kan me vergissen) is de client niet opensource en alleen de web-api (waarbij bij SpiderOak zelf wordt gedecrypt en de gegevens dus toegankelijk worden buiten de client) open (het kan uiteraard best zo zijn dat men bij SGP Technologies inzage heeft in de werking van de SpiderOak-client)

[Reactie gewijzigd door begintmeta op 26 juli 2024 07:53]

[TheBlackbird]

Mocht ik een Blackphone kopen zou ik me uiteraard eerst goed informeren over welke maatregelen men neemt om me te beschermen. Dat kan dan idd wel eens tegenvallen. Het servermatig decoderen van data zou dan wel een grove fout zijn, toch voor een bedrijf dat privacy zo hoog in het vaandel voert.

[Reactie gewijzigd door TheBlackbird op 26 juli 2024 07:53]

[the-dark-force]

Ik dacht dat amerika een export verbod had op encryptie technologie dus dat dit bestaat is al erg vreemd.
Daarnaast zul je erop moeten vertrouwen dat de random number generator in de applicatie ook daadwerkelijk random is. (denk aan Dual_EC_DRBG)
Denk dan ook aan silentcircle & lavabit die door de nsa was benaderd om gedwongen backdoors in te bouwen en daardoor besloot z'n deuren te sluiten.
De oprichter van silentcircle spreekt ook in de documentaire van citizenfour met Snowden in de hoofdrol.
(gebruik torrents om de docu te bekijken want youtube is wonderbaarlijk snel met het verwijderen...)

Als je iets privé wilt hebben dan houd je het in eigen beheer en upload je het niet naar een smerig hypocriet land dat volgens hun eigen wet een oorlogsverklaring heeft afgegeven aan meerdere europese landen waaronder Nederland. (Hacken was een act of war, nietwaar ?)

[Yzord]

Oeps, en Silentcircle wordt zelfs door regeringen en de US Marine gebruikt. Slim van ze om het meteen te patchen, maar een klein deukje hebben ze nu wel opgedoken. Zal mijn klanten hierover moeten informeren.

Edit, hmm, first post

[Reactie gewijzigd door Yzord op 26 juli 2024 07:53]

[begintmeta]

Ik ben zelf altijd benieuwd hie bijvoirbeeld Bulls Hoox m2 of GSMKs Cryptophone 500 het doen, ze durven in iedergeval meer geld te vragen dan SGP technologies, heb je met die veilige 'Android'-telefoons/systemen toevallig ook ervaring/klanten?

[Mic2000]

Vroeger... Toen iedereen nog als eerste wilde reageren.

[DaJohn]

En dat op de dag van de privacy..

[B00st3r]

De ironie...

[blorf]

Naar mijn mening was het te verwachten. Bij niet-transparante software die gemaakt is om aan te verdienen liggen de prioriteiten nou eenmaal anders.
Maar een pricacy-waarborgende Android-fork... dat vond ik op zichzelf al best een goeie.