Hacker kraakt op privacy gerichte smartphone Blackphone binnen vijf minuten

Een hacker heeft op hackersbijeenkomst Defcon de op privacy en beveiliging gerichte Blackphone gekraakt binnen vijf minuten. Daarbij had hij root-toegang en kon adb activeren zonder ook maar de bootloader van het toestel te hoeven unlocken.

De hacker in kwestie, Justin Case, kreeg root-toegang en activeerde de Android Debug Bridge voor een verbinding met een pc binnen vijf minuten door gebruik te maken van diverse kwetsbaarheden in Blackphones uitvoering van Android 4.4.2. Het Zwitserse SGP Technologies, het bedrijf achter Android-fork PrivatOS en de Blackphone heeft de hack bevestigd.

Case geeft toe dat de hack van PrivatOS alleen mogelijk is met medeweten en medewerking van de gebruiker zelf, waardoor gebruikers geen gevaar lopen dat hackers het toestel overnemen. Het is desondanks een streep door de rekening van Blackphone, die software aan boord heeft die mede is gemaakt door pgp-oprichter Phil Zimmermann. De Zwitserse smartphonemaker, een joint-venture van het Spaanse Geeksphone en Zimmermanns bedrijf Silent Circle, heeft de hacker een t-shirt gegeven als beloning en heeft een van de kwetsbaarheden al gedicht in een update die voor de hack uitkwam. Case gaat zich nu richten op het kraken van BlackBerry 10.

KPN gaat vermoedelijk de Blackphone later dit jaar uitbrengen. De release stond gepland voor deze zomer, maar de provider zegt dat het beter wil testen hoe de Blackphone de privacy van gebruikers waarborgt en stelde daarom de release uit.

Reacties (152)

[brick5492]

Als ze echt (bijna) onkraakbare telefoons willen maken moeten ze niet een bestaand OS pakken en hier beveiliging opzetten maar een compleet costum os met costum kernel maken, en dan deze firmware in het ram inbakken en zorgen dat deze niet user-replaceable is (het os dan).
En dan dat de kernel/os dan alleen unlockt kan worden door een pincode, en dat wanneer je deze 3x fout hebt alle data wordt gewist.
Dit is vast ook niet onkraakbaar maar het is in ieder geval een stuk moeilijker/onmogelijk als er een kraak-deadline is.

[blorf]

Een beetje transparantie scheelt ook. Een app die weigert te installeren omdat je hem geen internetverbinding wil geven slaat nergens op. Daar gaat het al mis. De gebruiker hoort zelf te kunnen bepalen wanneer die verbinding open of dicht gaat. Daar heeft die app helemaal niets mee te maken en het OS hoort het daarmee eens te zijn. Als een bepaalde permissie niet gegeven wordt op het moment dat dat gevraagd wordt is het pech gehad. De gebruiker is de baas. Althans, zo zou het dus moeten zijn ipv dat die gebruiker wordt ingesloten in een omgeving die hem aan alle kanten monitort, zoveel mogelijk probeert te verdienen met reclame en handel in reeds lang bestaande "exclusieve" software, en verder met een korrel zout neemt.

[Reactie gewijzigd door blorf op 23 juli 2024 06:34]

[ruben]

Zolang PrivatOS nog niet open source is, zullen we nooit weten hoe veilig het is.

[A4553]

Opensource zegt ook niet alles, zie heartbleed.

[gwie]

Juist doordat openssl open source is, kon de heartbleed bug gevonden worden door onderzoekers en opgelost worden. Als openssl closed source was, had misschien maar 1 kwaadwillende deze bug gevonden en had hij deze lange tijd kunnen misbruiken.

Who found the Heartbleed Bug?
This bug was independently discovered by a team of security engineers (Riku, Antti and Matti) at Codenomicon and Neel Mehta of Google Security, who first reported it to the OpenSSL team. Codenomicon team found heartbleed bug while improving the SafeGuard feature in Codenomicon's Defensics security testing tools and reported this bug to the NCSC-FI for vulnerability coordination and reporting to OpenSSL team.

[raro007]

dus jij vind een os waar niemand de gaten van kan oplossen (closed source) veiliger dan een os waar je wel de gat kan oplossen (opensource)?!?

[Croga]

Dus jij vindt een OS waar iedereen zonder beperking de gaten van kan vinden (open source) veiliger dan een OS waar niemand dat kan (closed source)

Waarbij opgemerkt dat mijn opmerking net zo zinloos en slecht onderbouwd is als die van raro007.

[Dorank]

Waarbij opgemerkt dat mijn opmerking net zo zinloos en slecht onderbouwd is als die van raro007.

Vertel? Het feit is dat de gevonden fouten in opensource door iedereen (met voldoende kennis of mogelijkheden om iemand in te huren) op te lossen zijn.

De gevonden fouten in closed source kunnen alleen door de personen/instellingen met toegang tot de code, ontwikkel omgeving en rechten tot gebruik van de aangepaste binary worden hersteld, mogelijk mogen ze deze aanpassing echter niet verspreiden.

Jou opmerking is inderdaad zinloos en niet onderbouwt, sterker nog de opmerking is bewezen onjuist aangezien er fouten in closed source ontdekt worden. En om de zoveel tijd komen er berichten naar buiten van 0 day exploits aangezien de "ontdekker" van het gat maar geen feedback krijgt van de leverancier na maanden van proberen het gat gefixed te krijgen.

[Croga]

Vertel? Het feit is dat de gevonden fouten in opensource door iedereen (met voldoende kennis of mogelijkheden om iemand in te huren) op te lossen zijn.

Feit is ook dat ieder onderzoek keer op keer weer uitwijst dat er nauwelijks verschil is in oplostijd, laat staan in gevonden fouten.

De stelling is dan ook zinloos. Over het algemeen wordt de discussie vooral door "fanbois" van het een of het ander gevoerd, er is nooit bewijs voor de ene kant of de andere kant van de stelling, niet empirisch en niet holistisch. De opmerking van raro007 is dan ook, zoals ik stel, zinloos en niet onderbouwd.

[Verwijderd]

Open Source is niet veiliger omdat iedereen in de source code kan kijken. De reden is het woordje 'kan'. Ontwikkelaars gaan niet voor de lol miljoenen regels broncode doorspitten op zoek naar beveiligingsfouten. Hackers daarentegen doen dit wel en krijgen met Open Source alle mogelijkheden daartoe. Daarnaast is er bij Open Source en Close Source geen enkele garantie dat ontwikkelaars het probleem tijdig oplossen. De organizatie die dit proces goed gedefinieerd en geïmplementeerd heeft is mijns inziens het meest veilig. Zelf ben ik van mening dat Closed Source in combinatie met een goed proces om beveiligingslekken tijdig te repareren per definitie veiliger is dan Open Source.

[Carharttguy]

Wat je zegt klopt niet, bij open-source kan iedereen inderdaad lekken oplossen. Ook lezen, maar dat kan even makkelijk bij closed-source. Terwijl lekken oplossen helemaal niet gaat. Dus open-source heeft echt wel voordelen

[Croga]

hur? Hoe kan iemand in closed source dan de source doorzoeken op lekken? Die mag je me uitleggen......

Daarnaast; zoals al gezegd; er is nog nooit bewezen dat dit voordeel van closed source inderdaad bestaat. Er is nog nooit bewezen dat dat voordeel opweegt tegen het nadeel dat lekken veel makkelijker te vinden zijn. Al met al blijft het een holle frase zonder inhoud of onderbouwing.

[Carharttguy]

Closed-source is slechts een licentie. Code is per definitie leesbaar, ongeacht of het closed of open source is. Erzijn genoeg technieken om de source van gecompilede programma's te lezen.

En het is inderdaad nooit bewezen, maar de logica spreekt in het voordeel van open-source.

[jeffhuys]

Lekker met method24321(var2341, var30432); zeker.

Of bedoel je assembly?

[Reactie gewijzigd door jeffhuys op 23 juli 2024 06:34]

[Verwijderd]

Hoe kan iemand in closed source dan de source doorzoeken op lekken?

Op zich is dat nog niet eens zo heel moeilijk. Er zijn genoeg volledig geautomatiseerde tools die een executable kunnen doorharken op zoek naar bekende fouten.

Bepaalde foute constructies in de sourcecode leveren 9 van de 10 keer even foute (en daardoor herkenbare) stukken binary op.

[Verwijderd]

Toch liever open source dan closed source. Bij open source kunnen we tenminste controleren - ook al missen we een bug. Bij closed source kan dat niet en moeten we maar vertrouwen op de maker.

[i-chat]

Toch liever open source dan closed source. Bij open source kunnen we tenminste controleren - ook al missen we een bug. Bij closed source kan dat niet en moeten we maar vertrouwen op de maker.

die dan ook nog eens de keuze moet maken of het fixen van die bug wel rendabel is... wat je je misschien niet direct beseft maar bedrijven zijn uit op geld, en dat betekend dat dus alles daartegen wordt afgezet. ook je privacy, en in veel gevallen zelfs mensenlevens.

[mashell]

Dat is wel een heel negatieve houding. In een professioneel ontwikkel proces worden fouten gecategoriseerd naar consequenties. En omdat de financiële consequenties van een probleem dat mensenlevens of privacy raakt voor de onderneming nogal groot zijn, worden dit soort fouten snel en met hoge prioriteit aangepakt. Bij open source heb je die zekerheid niet. Daar ben je vaak nog afhankelijk van goed bedoelende vrijwilligers en als deze liever counterstrike speelt dan de fout op te lossen, gebeurt er dus niets. Hij hoeft namelijk niet want hij draagt geen enkele verantwoordelijkheid. Zonder gedegen ontwikkel proces biedt open source niets meer dan schijnveiligheid. Er moeten dringend grote review projecten komen om de veiligheid naar het veronderstelde niveau te brengen.

[ruben]

Klopt, maar je sluit wel uit dat er opzet in het spel is.

[mashell]

maar je sluit wel uit dat er opzet in het spel is

Nee, je zou dat in theorie kunnen uitsluiten. Als je zelf de sources gaat doorspitten, ze begrijpt en weet wat veilig is en wat niet. Probleem alleen is dat code reviewen nogal saai is, nogal moeilijk en daarom niemand in de praktijk dat doet. In zekere zin weet je dat er bij betaalde closed source software wel gereviewed wordt (de mensen worden daarvoor betaald) en het daarom in beginsel wel eens veiliger zou kunnen zijn.

[_wolf_]

Om een telefoon echt heel veilig te hebben is er maar 1 ding om te doen, gebruik geen telefoon want dat is het veiligst. Zodra je ook maar een enkele vorm van techniek voor communicatie gebruikt is er altijd wel een manier om dit te kraken.

edit:
zie voor AES-256 : http://research.microsoft...s/cryptanalysis/aesbc.pdf

Natuurlijk is het interessant om te zien als je de kennis vergaard heb hoe lang het duurt om een blackphone te hacken. Je kan natuurlijk zeggen dat iemand met de juiste kennis binnen 5 min. de telefoon kan hacken. Maar het is interessanter om te weten hoe lang het duurt voor een ICT'er met een gemiddelde kennis, de kennis opgedaan heeft om het te hacken. Dat is namelijk het doel van het apparaat, zorgen dat je concurrentie als bedrijf, of kwaadwillenden in je omgeving jou telefoon niet in kunnen zien. In elk ander geval ga je op in de menigte en ben je minder interessant.

Het grootste risico aan zn telefoon is natuurlijk dat je jezelf veilig waant, wat niet het geval is. Als je kijkt naar wat jezelf veilig voelen nou inhoud, https://www.schneier.com/...the_psychology_of_se.html en de risico factoren. Dan wordt duidelijk dat er altijd een spanningsveld tussen veiligheid en gebruikers gemak is. Daarom is het nieuws van dit artikel juist dat je gewaarschuwd wordt, als iemand je telefoon probeert te hacken eigenlijk het nieuws dat de telefoon "veilig" is.

Echter zodra de kennis over hoe de telefoon te kraken algemeen bekend wordt, en de tijd benodigd om de kennis op te doen om je telefoon te kraken heel kort is (denk aan uren), en je wordt niet gewaarschuwd, dan is dit zeker een probleem. Daarom is de 5 minuten in dit artikel welk leuk, maar mist het de relevantie voor een gebruiker.

[Reactie gewijzigd door _wolf_ op 23 juli 2024 06:34]

[Verwijderd]

Om een telefoon echt heel veilig te hebben is er maar 1 ding om te doen, gebruik geen telefoon want dat is het veiligst. Zodra je ook maar een enkele vorm van techniek voor communicatie gebruikt is er altijd wel een manier om dit te kraken.

Nogal kromme redenering. Een telefoon wordt niet veiliger als je hem niet gebruikt. Daarmee sla je totaal de plank mis. Waarom zouden we technologie maar moeten opgeven omdat het eventueel onveilig is? Tuurlijk is geen enkel apparaat 100% bestendig tegen aanvallen, maar de 100% kunnen we pas bereiken als men technologie aanvalt en verbetert. Op bepaalde niveaus hebben we de 100% al bereikt zelfs: Probeer maar eens een met AES-256 versleutelde container te ontsleutelen zonder de sleutel. Het probleem zit hem vaker in de implementatie, de software die de containers maakt - en wellicht de sleutel niet veilig houdt.

Maar het is interessanter om te weten hoe lang het duurt voor een ICT'er met een gemiddelde kennis, de kennis opgedaan heeft om het te hacken. Dat is namelijk het doel van het apparaat, zorgen dat je concurrentie als bedrijf, of kwaadwillenden in je omgeving jou telefoon niet in kunnen zien.

Ben het hier niet helemaal mee eens, tuurlijk is het interessanter om ook te weten hoeveel voorkennis iemand nodig had. Maar niet voor een ICTer met gemiddelde kennis, maar juist met expert-kennis. Dat zijn de gevaren. Dat zijn de mensen die voor organisaties werken wiens werk het is om consumentenbeveiliging te kraken. Het interessants is om jezelf zo goed mogelijk te beschermen tegen de beste aanvallers, dus natuurlijkerwijs is het het interessants om je op die personen te richten.

Echter zodra de kennis over hoe de telefoon te kraken algemeen bekend wordt, en de tijd benodigd om de kennis op te doen om je telefoon te kraken heel kort is (denk aan uren), en je wordt niet gewaarschuwd, dan is dit zeker een probleem. Daarom is de 5 minuten in dit artikel welk leuk, maar mist het de relevantie voor een gebruiker.

Hamer --> Spijkerkop.

EDIT:

Wil je dus absoluut veilig zijn dan zul je toch echt heel veel technologie niet moeten gebruiken.

Je redenering lijkt vast te hangen aan deze drogreden. Technologie wordt niet veiliger als je het niet gebruikt, en deze redenering staat enkel achteruitgang toe. Je kan net zo goed stellen dat je het veiligst van Assen naar Groningen gaat door te lopen in plaats van met de auto over de snelweg.

Het is gewoon een feit dat veiligheid en informatietechnologieen niet handig samengaan.

Dat is geen feit, dat is volledig onjuist. Informatietechnologie heeft ons juist in staat gesteld zeer veilige technieken te ontwikkelen. Probeer jij maar eens een AES-256 container te kraken. Het probleem zit hem meestal in implementaties, en hoewel er momenteel altijd nog wel een hacker is die een technologie weet te kraken, wordt het steeds veiliger. Welke alternatieven voor informatietechnologie heb jij dan waar veiligheid wel mee samengaat? Niet meer veilig willen voelen, geen gevoelige informatie meer delen? Goede oplossing hoor.

Eeh nee. Stel er is 1 iemand die ontzettend goed is maar er zijn 100 iemanden die maar 70% zo goed zijn als die ene.
Wie is dan het grootste gevaar?

Allemaal? Of denk je dat als er gefocust wordt op die zeer goede hacker, dat de rest dan genegeerd wordt? Of denk je dat je gewogen gemiddelde enige relevantie heeft als het gaat om een beveiliging waar die ene niet doorheen kan, laat staan de hackers die niet zo goed zijn als die ene? Lees mijn comment nog even, want je hebt niet begrepen wat ik bedoelde.

Het is het interessanst om jezelf tegen alle redelijk voorkomende dreigingen te beschermen.

Én tegen alle minder vaak voorkomende dreigingen. Én tegen de meest simpele bedreigingen. Dat, en jouw oplossing is om technologie maar niet meer te gebruiken, onder de illussie dat je dan het veiligst bent.

Zoals ik al zei, technologie lekt informatie alsof het niets. Wil je echt veilig zijn dan moet je het gewoon niet gebruiken.

Zucht.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 06:34]

[_wolf_]

Dit is offtopic, en bedoeld als uitleg van mijn post.

1) Als je een telefoon niet gebrukt, staat er geen gevoelige informatie op, en dus is de telefoon veilig.

2) Ik zeg niet dat je technologie op moet geven, ik zeg dat technologie altijd wel gehacked wordt op een moment in tijd. De Duitsers tijdens WW2 dachten ook dat de Enigma niet te kraken viel, echter na verloop van tijd komt er altijd wel een manier om dit wel te doen. Betreft AES 256 zie http://research.microsoft...s/cryptanalysis/aesbc.pdf niet echt 100% dus. Wat ik probeer uit te leggen is, dat veiligheid psychologisch is en niet fysisch vandaar ook mijn link.

3) Experts worden alleen ingehuurd op het moment dat mensen doelgericht informatie willen hebben die jij hebt. Echter de opdracht gever weet niet of jij die informatie wel of niet hebt. Daarvoor komt een vooronderzoek, hierbij worden goedkopere specialisten gebruikt om in het algemeen na te gaan wat jij aan informatie hebt. Deze specialisten zijn vaak ICT'ers. Zodra bevestigd is dat jij de informatie hebt, worden de experts ingehuurd.

[edit]
Ik snap niet waarom mensen Senzune's reactie een paar keer als ongewenst hebben gemod. Wat ze zegt is relevant (waarschijnlijk deze post niet)

[Reactie gewijzigd door _wolf_ op 23 juli 2024 06:34]

[FvdM]

1) Als je een telefoon niet gebrukt, staat er geen gevoelige informatie op, en dus is de telefoon veilig.

Als je een telefoon hebt en deze staat aan ook al gebruik je het nooit dan is de telefoon wel kraakbaar en kan iemand er gevoelige of suggestieve informatie of malware op zetten. Bijvoorbeeld voor een camerastream wat je veiligheid weldegelijk kan benadelen.

[_wolf_]

Goed argument, nog helemaal niet aan gedacht , jammer dat ik je geen punten kan geven

[koelpasta]

Nogal kromme redenering. Een telefoon wordt niet veiliger als je hem niet gebruikt. Daarmee sla je totaal de plank mis. Waarom zouden we technologie maar moeten opgeven omdat het eventueel onveilig is?

Ik vind dat jj anders de plank flink mist.
Het is gewoon een feit dat veiligheid en informatietechnologieen niet handig samengaan.
Het is heel moeilijk om een apparaat te maken waarbij er geen informatie gelekt wordt. En dat geldt voor bijna alle bekende fysieke mechanismes. Er wordt altijd entropie gelekt en daarmee heb je een ingang tot de informatiewereld van het mechanisme.
Wil je dus absoluut veilig zijn dan zul je toch echt heel veel technologie niet moeten gebruiken.

Het interessants is om jezelf zo goed mogelijk te beschermen tegen de beste aanvallers, dus natuurlijkerwijs is het het interessants om je op die personen te richten.

Eeh nee. Stel er is 1 iemand die ontzettend goed is maar er zijn 100 iemanden die maar 70% zo goed zijn als die ene.
Wie is dan het grootste gevaar?
Het is het interessanst om jezelf tegen alle redelijk voorkomende dreigingen te beschermen. Dat kan een enkele geniale hacker zijn, maar ook drommen van scriptkiddies. Zoals ik al zei, technologie lekt informatie alsof het niets is. Wil je echt veilig zijn dan moet je het gewoon niet gebruiken.

[Reactie gewijzigd door koelpasta op 23 juli 2024 06:34]

[stresstak]

Om een telefoon echt heel veilig te hebben is er maar 1 ding om te doen, gebruik geen telefoon want dat is het veiligst.

Het electronisch vervoeren is echter wel een handig manier en kortstondig veilig om de info van A naar B te krijgen. Geen electronica gebruiken, ja, dan is er niets te kraken. Maar wil je de info dan gewoon op papier meenemen ?

[_wolf_]

offtopic:
Zucht ik had die stelling niet zo zwart wit neer moeten zetten, ook al probeerde ik juist de bewust wording van de grijstint naar voren te brengen.

Ik probeer uit te leggen dat veiligheid niet zwart wit is. Het is niet of veilig of onveilig. Alles is tot op zekere hoogte veilig zelfs onbeveiligde systemen. (denk aan security through obscurity of security through minority). In mijn eerste post probeerde ik duidelijk te maken.

Dus ik zeg niet dat techniek per definitie onveilig is, maar ik zeg wel dat als je claimt heel veilig (100% of nagenoeg 100% veiligheid) dat je niet alleen theoretisch de plank mis slaat, maar ook praktisch. Dus uitgaande van 100% of nagenoeg 100% veiligheid maakt het niet uit wat je gebruikt, helaas bestaat het niet. (ongeacht of je een blackphone, hardcopy, postduif of tam tam gebruikt)

Dus mijn punt van mijn oorspronkelijke bericht, het is niet relevant hoelang een specialist in het kraken over het kraken doet. Het is ook niet relevant dat het gekraakt is. Wat relevant is, is hoe lang duurt het voordat het dermate eenvoudig is om te kraken dat een gemiddelde ICT'er het kan binnen een redelijke tijd. Want dat is de grijstint die belangrijk is voor beveiliging van de blackphone, en ik denk dat, dat de grijstint is waar we het over moeten hebben.

Laat ik het in percentages gieten, misschien dat het zo makkelijker is om te begrijpen wat ik bedoel.

• 100% Veilig = Niet kraak baar
• 90% Veilig = Kraakbaar door specialisten.
• 70% Veilig = Aanpasbaar door ICT'ers.
• 50% Veilig = Kraakbaar door technisch onderlegde mensen
• 30% Veilig = Kraakbaar door iedereen die de moeite neemt
• 10% Veilig = Wordt onbewust gekraakt
• 0% Veilig = Radio en televisie uitzendingen

Ik probeer dus te zeggen:

• 100% Veilig = Niet haalbaar
• 90% Veilig = Niet intressant, voor een gebruiker
• 70% Veilig = Discutabel neigt naar onveilig, discutabel voor gebruikers
• 50% Veilig = Onveilig
• 30% Veilig = Onveilig
• 10% Veilig = Onveilig
• 0% Veilig = Onveilig

Dus als iets 90% veilig is, dan is het niet intressant voor de gemiddelde gebruiker om te weten of iemand het kan kraken of niet, over het algemeen blijft de communicatie zoals hun dat willen geheim. Natuurlijk zuig ik deze percentages uit mijn duim, simpel weg omdat ik de percentages niet weet. De percentages zijn bedoeld als weergave van wat ik probeer te zeggen.

[Reactie gewijzigd door _wolf_ op 23 juli 2024 06:34]

[stresstak]

Dus ik zeg niet dat techniek per definitie onveilig is, maar ik zeg wel dat als je claimt heel veilig (100% of nagenoeg 100% veiligheid) dat je niet alleen theoretisch de plank mis slaat, maar ook praktisch.

Als alles kraakbaar is (en dat schijnt het), is de techniek dus wel onveilig. Kopers van voornoemde Blackphone willen wellicht wel de 90% en de mensen die de zeer goed beveiligde data willen bemachtigen zullen ook wel die 90% kraakmogelijkheden hebben.
Bij douane zou men ook nog kunnen eisen dat je het apparaat even aan zet en unlockt.

Voor gewoon gebruik hoef je die Blackphon niet. En een lichte beveiliging is vaak goed genoeg. Ik zet ook mijn fiets op slot, maar dat voorkomt hoogstens grissen. De Stasi met de betonschaar wint het van mijn sloten.

Verder begrijp ik je wel maar er kijken mensen mee.

[_wolf_]

De vraag is, koop je een slot van 5 euro die een junk ook van je fiets af kan schoppen, of koop je een slot van 50 euro waarbij iemand met een beton schaar het slot eerst los moet knippen voor hij de fiets mee kan nemen.

We hebben allemaal een slot op de fiets van 5 euro, en de blackphone is het slot van 50 euro. Waarbij je waarschijnlijk nog eens 40 euro teveel betaald. Maakt het slot van 50 euro je fiets gelijk meer waardevol? Dat denk ik niet.

Ik ben van mening dat als het de bedoeling is dat je fiets niet meegenomen kan worden door een junk als je deze in de stad neerzet, dat je dan er goed aan doet om de het slot van 50 euro te kopen. Als je wil dat je fiets niet meegenomen wordt door de Gemeente, dan moet je hem niet in het centrum neer zetten of met een ander vervoersmiddel gaan.

Waar je ongetwijfeld gelijk in hebt, is niet zozeer dat mensen een slot van 50 euro kopen voor hun fiets. Het probleem hiermee is dat mensen al simpelweg voor de uitdaging het slot van de fiets proberen te kraken. Met alle schade van dien.

Dus praktisch is de vraag tegen wie wil je jezelf beschermen. En afhankelijk van het antwoord op die vraag, is de beveiliging afdoende of niet afdoende. Voor een gemiddelde consument, zal dit product afdoende zijn. Voor een persoon hoog in de hierarchie van een multinational misschien wat minder, maar is het altijd nog een grote verbetering. Voor een leider van een land nee helemaal niet.

[Reactie gewijzigd door _wolf_ op 23 juli 2024 06:34]

[Jesserr]

"Case geeft toe dat de hack van PrivatOS alleen mogelijk is met medeweten en medewerking van de gebruiker zelf, waardoor gebruikers geen gevaar lopen dat hackers het toestel overnemen."

Beetje vaag artikel dit, want door deze zin lijkt het er meer op alsof hij gewoon het password heeft gekregen van de gebruiker, en de gebruiker er ook nog is naast zat om te helpen. Lekker hacken dan

[Finraziel]

Blijkens de tekst op het toestel was de uitdaging om root-access te verkrijgen tot het toestel. Dat is hem gelukt, dus, ja...
Dat je daarbij het wachtwoord zou hebben is niet zo heel erg ondenkbaar en ook is het niet ondenkbaar dat zelfs als de gebruiker het blijkbaar wil dat het toch ongewenst is. Denk aan bedrijfstoestellen waarbij vanuit het bedrijf opgelegd is dat het toestel super secure moet blijven omdat er gevoelige informatie op staat, maar de gebruiker wil zo nodig het ding rooten en allerlei vage software er op installeren zodat er weet ik wat met die data kan gebeuren.

[Kiwi]

Het gaat er niet om dat hij ingelogd is op de telefoon, die toegang had hij waarschijnlijk sowieso al. Het gaat erom dat hij root-toegang had verkregen, wat er voor zorgt dat de user toegang heeft tot alle delen van de software in de telefoon, en wat dus een groot lek kan veroorzaken.

[Rob]

Het betekent dat je het toestel kan rooten, wat natuurlijk niet zou moeten kunnen op zo'n telefoon

[YoNiE]

Ik neem aan dat dit een soort competitie waar verschillende hackers een gooi konden doen naar wie het snelst een exploit vond? Dan ben ik best benieuwd hoeveel exploits er in totaal zijn gevonden. Het zal de veiligheid van de Blackphone in ieder geval ten goede komen.

[Finraziel]

Ik denk niet dat hij die exploit in 5 minuten gevonden heeft hoor, het lijkt me eerder dat hij hem in 5 minuten kon uitvoeren. Het uitzoekwerk zal hij vantevoren gedaan hebben.

[Maurits van Baerle]

Klopt, veel van dit soort securitywedstrijden zitten vol met dit soort sensatieonzin. Ik heb het idee dat Pwn2Own er mee begonnen is.

"Xx in twee seconden gekraakt" zonder er bij te zeggen dat iemand maanden de tijd heeft gehad om allerlei fuzzers en analytische tools er op los te laten. Dan even het resultaat laten zien in twee seconden op de sensatieconferentie en de media nemen het klakkeloos over.

[Deveon]

Toch logisch? Als iemand mij vraagt hoe lang het om een server te installeren tel ik ook niet de tijd mee die het kost om het te leren.

Daarnaast is het risico van een gebruiker is de tijd die het kost om het uit te voeren en niet om te onderzoeken.

[Maurits van Baerle]

Omdat het suggereert dat de tijd dat het kost om iets te hacken een maatstaf is om te meten hoe veilig iets is.

In werkelijkheid zegt de tijd om een hack uit te voeren helemaal niets over de veiligheid. Een apparaat waar je in twee seconden een hack op uitvoert kan veel veiliger zijn dan een apparaat waar het dagen duurt.

Dingen die wél een maatstaf zijn om aan geven hoe risicovol een exploit is:

• Is het een remote exploit of moet je fysieke toegang hebben?
• Als er fysieke toegang nodig is, moet het apparaat open geschroefd of is alleen bedienen genoeg?
• Is het gebruikers- of rootwachtwoord nodig of kan dat omzeilt worden?
• Is het voor de gebruiker duidelijk wanneer hij of zij gehackt is of kan het lang stiekem op de achtergrond aanwezig zijn?
• Zijn alle modellen in alle gevallen kwetsbaar of moet er een speciale combinatie van omstandigheden zich voor doen?
• Is het oplosbaar met een software update of zit het onontkoombaar in sommige hardwarerevisies?
• Als het een softwareupdate is, wordt die automatisch geupdate of moeten mensen er eerst zelf achter komen dat hij bestaat en hem dan zelf uitvoeren?

En dat is nog maar een beginnetje. Allemaal zaken die belangrijker zijn dan hoe lang een hack uitvoeren duurt.

[Reactie gewijzigd door Maurits van Baerle op 23 juli 2024 06:34]

[Deveon]

Tijd die het kost is net zo belangrijk als de variabelen die jij noemt. Een hack van 15 minuten zal een minder groot risico zijn als één van 15 seconde.

Tijd is daarintegen wel heel begrijpbaar voor de leek.

[enermax]

15min remote is een groter lek. Dan 15sec physiek.

[emnich]

Natuurlijk zegt de tijd die benodigd is voor een hack wel iets over de veiligheid. Een hack die je in 5 minuten kan uitvoeren is ernstiger dan een waar je 30 dagen voor nodig hebt. Al is het alleen maar omdat hackers zo veel meer toestellen kunnen hacken in dezelfde tijd (en dus is het rendabeler).

Ook geeft het een maatstaf hoe makkelijk een hack uitgevoerd kan worden indien er fysiek toegang tot een toestel nodig is. Bij 5 minuten is dat makkelijk voor elkaar te krijgen maar als het enkele uren of zelfs dagen duurt dan is dat veel moeilijker om te doen. Zeggen dat het `werkelijk helemaal niets zegt` is gewoon onzin.

Tot slot staan er in je lijstje zaken die totaal niet aangeven hoe risicovol een exploit is. Of het met software op te lossen is en hoe die software vervolgens gedistribueert wordt heeft helemaal niets te maken met de ernst van het lek. Het zegt alleen iets over hoe het lek gemaakt kan worden.

[Finraziel]

Het komt meer overeen met het hollywood idee van hacken
Hackers zijn hedendaagse tovenaars die hun handen boven een machine houden en magisch alle beveiligingen omzeilen, als je de media gelooft.

[Verwijderd]

Volgens mij heet het daarom ook een wedstrijd. De Tour de France wordt toch ook niet gewonnen zonder voorbereiding?

In een wedstrijd gaat het er om dat iedereen begint vanuit een basis opstelling. Van daaruit ga je tools op een pc zetten, apps op een telefoon downloaden, veiligheidsprotocollen omzeilen, om uiteindelijk aan te komen bij de finish... Root op de Blackphone. Hoe minder stappen het kost hoe sneller de hack is uitgevoerd

De tijd is daarin vooral interessant voor de overige deelnemers.

En omdat het een wedstrijd is zie je dat tijdsaspect wat groter terugkomen in het nieuws, want dat is toch de kern van een wedstrijd.

Ik vind het dan ook geen sensatieonzin, tenzij je de 100sten van seconden in andere sporten ook sensatieonzin wil noemen.

[mphilipp]

Hmmm...even terug had ik een soort discussie met iemand die bezwoer dat je met bepaalde wiskundige algoritmes kunt aantonen dat iets bugvrij is. Op de vraag waarom er dan nog steeds van alles gekraakt wordt heb ik nog geen bevredigend antwoord gekregen.

Ik snap best dat die algoritmes fout kunnen aantonen - of het gebrek daaraan - maar als er een denkfout is gemaakt, heb je en een heel ander soort 'bug'. Dus heb je uiteindelijk niet zo heel veel aan dat soort dingen, anders dan dat je weet dat ie niet zomaar uit zichzelf ineens zal crashen. Maar met beveiliging heeft het niet heel veel te maken.

[Verwijderd]

Die heb ik gelezen ja, maar is dat echt waar? Het kan toch niet zo zijn dat je met een aantal formules kan berekenen of er iets fout is?

[mphilipp]

Op zich zal dat best mogelijk zijn, maar dan behoed je je alleen voor programmeerfouten. Dus een endless loop of een call buiten je toegewezen geheugen oid. Ik noem maar wat. Dat soort dingen kun je dan voorkomen. Maar als ik bewust of onbewust een achterdeur voor kraker creëer, ziet geen enkel algoritme dat. Dat is geen fout, maar (on)bedoelde functionaliteit.

[Jeroen73]

Het was te verwachten: dit soort op privacy en beveiliging gerichte telefoons hebben natuurlijk de aandacht van IEDERE hacker die er te vinden is.

[Verwijderd]

En maar goed ook! Liever hackers in een competitie, dan een organisatie die massaal informatie vergadert zonder toestemming en medeweten van de gebruikers over heel de wereld. Dat verhoogt tenminste onze kansen op echte privacy.

[Reactie gewijzigd door Verwijderd op 23 juli 2024 06:34]

[Verwijderd]

[off topic]
Mooie naam, just in case. En ook mooi hoe de auteur van het artikel netjes "Case" als achternaam gebruikt :-)
[/off topic]

[Dlocks]

Het is desondanks een streep door de rekening van Blackphone, die software aan boord heeft die mede is gemaakt door pgp-oprichter Phil Zimmermann.

Die snap ik niet helemaal.

Was/is het doel van Blackphone om naast het zoveel mogelijk waarborgen van privacy en beveiliging ook om ervoor te zorgen dat een eigenaar van deze telefoon zelf geen root-toegang kan krijgen?

[Reactie gewijzigd door Dlocks op 23 juli 2024 06:34]

[Kalief]

'Medeweten en medewerking' verkrijgen is een van de oudste vormen van hacking, namelijk social engineering. Omdat mensen hun gegevens al afstaan voor slechts een kans op een onbenullige prijs kan dit wel degelijk een serieuze hack zijn.

[stresstak]

'Medeweten en medewerking' verkrijgen is een van de oudste vormen van hacking, namelijk Social_engineering

Oudere vorm van medewerking verkrijgen is martelen. Tenzij we dat ook social engineering noemen