Britse smartphonemaker Planet komt met fix voor updater-app met Chinese backdoor

De Britse smartphonemaker Planet Computers komt met een fix voor de firmware-updater op zijn Cosmo Communicator-smartphone. Die updater is van het Chinese bedrijf Digitime en dat had daar een backdoor ingezet, wellicht voor de verspreiding van adware.

Een firmware-update die in de komende dagen moet verschijnen, lost een kwetsbaarheid in de updatersoftware op, claimt Planet woensdag op Indiegogo. De updater-app heeft code aan boord waardoor elke app via de updater-app kwaadaardige bestanden kan binnenhalen. Die updater zit in het instellingenmenu en is de manier waarop gebruikers over-the-air updates binnenkrijgen voor hun smartphone.

Planet heeft het over een kwetsbaarheid, maar de Schotse ontwikkelaar Ninji, die het lek ontdekte, vermoedt dat de maker van de updater-app, Digitime, kwaadwaardige bedoelingen heeft. Hij claimt op het OESF-forum dat Digitime zijn updater heeft gebruikt voor de verspreiding van adware. Planet komt aan Digitime via de fabrikant die de smartphone produceert. Die werkt volgens Planet al jaren met het bedrijf samen.

Ninji ontdekte de vermoedelijke backdoor en publiceerde daar begin december over. Digitime heeft volgens hem moeite gedaan om zijn kwade bedoelingen te verbergen, met verwarrende code in de app. Digitime is vaker in verband gebracht met adware en malware, onder meer op de Gretal A7-smartphone.

Planet hield een crowdfundingactie voor de Cosmo Communicator en begon een paar maanden geleden met het uitleveren van de smartphone. Het gaat om een moderne smartphone in de vorm van een oude pda, met onder meer een fysiek qwertytoetsenbord in de stijl van de Psion Series 5. Tweakers publiceert binnenkort een review van de smartphone.

Planet Cosmo Communicator (links) en Psion Series 5 uit de jaren negentig

Reacties (23)

https://store.planetcom.co.uk/products/cosmo-communicator
Deze dus

Er kan toch ook Jolla geinstalleerd worden op deze dacht ik?

https://together.jolla.co...ices-running-sailfish-os/

Of dit was toch een planning lijkt het.

Momenteel nog niet. Wel op de voorganger hiervan, de Gemini PDA.

Dat heet SailfishOS (community edition; dus o.a. zonder Android emulatie).

[Reactie gewijzigd door Jerie op 15 januari 2020 14:58]

Ik vind het maar vreemd dat dit soort smartphone bedrijven niet constant gecontroleerd worden op kwade bedoelingen... Ik bedoel iedereen heeft tegenwoordig een smartphone

Ik vind het maar vreemd dat dit soort smartphone bedrijven niet constant gecontroleerd worden op kwade bedoelingen... Ik bedoel iedereen heeft tegenwoordig een smartphone

Precies, we doen tegenwoordig ALLES op onze smartphones, zo als bankzaken en belastingen en veel meer ERG gevoelige zaken, nee moet veel beter gecontroleerd woorden, of ze wel veilig zijn.

Is dit serieus? Je hoeft je smartphone er niet voor te gebruiken, het kan ook op een PC of Mac of Linux machine. Of moeten we die ook allemaal gaan controleren?

Ik ben blij dat je zo zelfbewust bent. Op het moment moet het vooral uit het bedrijfsleven zelf komen (o.a. google, apple), die betalen soms een miljoen voor een beveiligingsprobleem.

Chinese rechtsystemen aanhouden, komen we echt ver mee.

Misschien moet de gebruiker zélf even nakijken wat die in huis haalt?

Ik kan het geen excuus meer vinden dat consumenten niet snappen wat voor massale lekken ze in huis halen. Dit moet gewoon basisonderwijsmateriaal zijn en onderdeel worden van algemene kennis.

Ook vind ik het geen excuus om de fabrikant te "vertrouwen" dat die wel een veilig product maakt. Van de kleinste tot grootste merken trekken ze zich er geen zier van aan als de kassa maar vol blijft stromen.

Ook vind ik het geen excuus om de fabrikant te "vertrouwen" dat die wel een veilig product maakt. Van de kleinste tot grootste merken trekken ze zich er geen zier van aan als de kassa maar vol blijft stromen.

Dit bedoel ik dus, ik vind het dus vreemd dat hier geen wereldwijde controles op worden gedaan. Er worden wel allemaal functies zoals bankieren etc gepromoot.

Ergens is het ook wel vreemd dat er in het huidige tijdperk geen overkoepelende organisatie is (bijvoorbeeld vanuit de EU of WTO) die zich hiermee bezighoudt. Ik denk dat het hier in Nederland het NCSC is die met de meeste waarschuwingen komt omtrent veilig softwaregebruik.

Wie controleert de controleurs?

Sorry hoor, maar denk je dat dit überhaupt mogelijk is voor een consument? Wanneer een product op de markt verschijnt, zou het ook moeten zijn dat dit een solide en veilig product is. Je kunt van een niet-techneut niet verwachten dat deze weet welke meuk er allemaal in de firmware zit van een bepaald product.
Net zo min dat je kunt verwachten dat een bepaald elektrisch apparaat veilig is ontworpen en je niet zomaar electrocuteert of in brand vliegt.

Nu hebben consumentenproducten keurmerken waarmee de consument kan controleren of een product veilig is, maar heeft software dit niet. Een consument kan nu simpelweg niet controleren of een product dat software heeft, ook aan de softwarekant veilig is. Als er nou een Europees/internationaal keurmerk zou komen, kan dit al flink helpen, maar hoe haalbaar dát is, is ook een grote vraag. Ten eerste is software 99% van de tijd een "black box" en moet je maar vertrouwen of de ontwikkelaars eerlijk zijn over welke APIs het ding heeft. Als ze nog eens hun best doen om malafide praktijken te verbergen, moet je flink gaan reverse-engineeren om dit te valideren.

Om de source open te gooien, is ook nogal aan de drastische kant, en zelfs daarmee is het niet zeker of je alles afvangt. En denk ook nog eens aan alle mankracht die nodig is om alles te reviewen en te (praktijk)testen.

Misschien dat er moet boetes kan worden rondgesmeten?

Ik heb het niet alleen over backdoors, ik bedoel vooral het besef dat in principe op alles mee te luisteren is en dat je daarom bewust of de boel leert dicht te spijkeren, of de gevoelige informatie er gewoon niet op kwakt.

We kunnen wel blijven doen alsof de 'gewone' consument dit niet kan leren, maar ik vind dat niet acceptabel. Je hoeft echt niet lappen codes te kunnen schrijven om te begrijpen dat de slotenmaker de eerste zal zijn die je slot loskrijgt zonder sleutel. En dat is al te vaak gebleken, van kleine smartproducenten tot de allergrootste multinationals.

Waarom wordt dit zo gedownmod? Ja, ik snap dat er mensen zijn die niet heel tech savy zijn, maar waarom is een stukje zelfredzaamheid zo slecht? Waarom moet mensen altijd voorgekauwd worden waar ze voor uit moeten kijken? Dan denk ik niet persé aan backdoors, maar aan alle Tikkie- of ander gerelateerde fraude. En maar schouderophalend aankloppen bij de politie.

Ik denk dan even aan een Amerikaanse vriend die door Amsterdam liep. Lopend langs de grachten vroeg hij zich af waarom er geen hekken en waarschuwingsborden langs de kant stonden, want het was een 'accident waiting to happen'. In 'The States' was het volgens hem ondenkbaar, een situatie als dat. Hoezo zelf nadenken?

Ik denk dat de scholen nog steeds het traditionele vakaanbod hebben, maar niet zo snel meebeweegt met de huidige ontwikkelingen en al helemaal niet met het feit dat kinderen vaak al sneller technisch onderlegd zijn dan de leraar.

Ik kan me hier behoorlijk aan ergeren en probeer zoveel mogelijk mensen er op attent te maken dat als je noch de fabrikant, noch mr Grapperhaus (de 'veilige' smartdeurbel) op hun woord moet geloven. Ook is het goed uit te leggen dat wat je aan het internet hangt niet meer privé is, zelfs aan ouderen.

Precies, zo denk ik er ook over, maar blijkbaar als je dat zecht op Tweakers woord IK omlaag gemod, ach ja.

Ik zou niet zeggen dat kinderen minder leren, maar met de steeds grotere globalisering vind ik eerder dat kinderen steeds meer moeten leren, niet alleen wiskunde, biologie of engels maar ook de gevaren van bijvoorbeeld het internet.

Net zoals sexuele voorlichting zou het goed zijn als kinderen vanaf een (wat jongere leeftijd) gewoon goed ingelicht worden wat de gevaren, maar ook wat de voordelen kunnen zijn van bijvoorbeeld het internet.

Precies, maar dat schijnt blijkbaar niet belangrijk voor de scholen en ouders en zo om hun kinderen dat te leren.

Chinese meuk die we hier niet moet willen.
Maar de consument kijkt maar naar 1 ding... Geld

Toegegeven het toestelletje ziet er mooi uit - en superfunctioneel met dat toetsenbord. Jammer toch van die verduivelde chinezen.