Beveiligingsonderzoekers waarschuwen voor achilleshiel in Android

Binder, een belangrijk systeemproces in Android, is een achilleshiel voor de beveiliging. Daarvoor waarschuwen beveiligingsonderzoekers van Check Point. Alle communicatie tussen processen, veelal onversleuteld, verloopt via de Binder.

"Het is overweldigend hoeveel applicaties zeer gevoelige data onversleuteld uitwisselen met de Binder", aldus beveiligingsonderzoekers Nitay Artenstein en Idan Revivo op de Europese editie van de Black Hat-beveiligingsconferentie in Amsterdam. Daaronder zijn onder meer bankapplicaties. Een aanvaller zou hierdoor onder meer geld kunnen buitmaken door overboekingen te manipuleren. Ook sms'jes met verificatiecodes, die ING bijvoorbeeld gebruikt voor overboekingen, zouden kunnen worden gekaapt.

Daarvoor zou een aanvaller wel root-toegang tot het systeem moeten hebben, maar Artenstein en Revivo waarschuwen dat vooral voor oudere Android-versies veel kwetsbaarheden bekend zijn waarmee een aanvaller root-toegang zou kunnen krijgen. "Root krijgen is tegenwoordig geen probleem meer op een Android-toestel", aldus de onderzoekers.

De Binder is een systeemproces dat door de ontwikkelaars van Android in het leven is geroepen als tussenlaag voor communicatie tussen apps. Ook met systeemprocessen wordt via Binder gecommuniceerd. Als een app bijvoorbeeld de camera wil aanspreken, dient hij daarvoor via de Binder bij de CameraManager een verzoek in, die op zijn beurt de kernel aanspreekt.

In de praktijk wordt ook data die ogenschijnlijk binnen de app blijft, uitgewisseld via de Binder. "Als een app een nieuw scherm opent, wordt de data via Binder uitgewisseld met de ActivityManager", leggen de beveiligingsonderzoekers uit.

De onderzoekers raden ontwikkelaars aan om data die met Binder wordt uitgewisseld te versleutelen. Ook kan een app die gevoelige data verwerkt beter een eigen toetsenbord implementeren, om te voorkomen dat via Binder een toetsenbord moet worden aangeroepen.

Overigens zal dat een aanvaller die al root-toegang heeft niet beletten om andere aanvallen uit te voeren. Artenstein en Revivo benadrukken echter dat de grote rol van Binder in Android onderbelicht is. "We hopen dat ons onderzoek ontwikkelaars ertoe aanzet om data die via Binder wordt uitgewisseld te versleutelen."

Reacties (155)

Wat heerst hier toch een anti-root sentiment ineens, hebben de providers daar soms iets mee te maken? Als alle leveranciers zich nu eens netjes aan de wet en aan de afspraken zouden houden dan was onze privacy gewaarborgd en kon een Facebook, Twitter, Whatsapp, Google etc. etc. niet grootschalig in onze prive gegevens graaien. Iedereen maakt zich nu ineens druk over dat criminelen toegang tot de smartphone kunnen krijgen maar hebben jullie wel eens nagedacht over hoe dat nu kan? Als bedrijven als Google en consorten jouw data van de smartphone kunnen inzien, zonder dat je het weet, kunnen anderen dat natuurlijk ook. Zo'n beveiligingsgat is uiteraard niet zo selectief dat Google er wel doorheen mag maar Iwan uit de Oekraïne niet. Kortom, als je privacy je lief is zul je wel moeten rooten om het datagraaien d.m.v. allerle appjes te beteugelen en om te bepalen welke app wel of niet het internet op mag of überhaupt mag werken. Rooten brengt zeker risico's met zich mee en niet iedereen heeft blijkbaar door dat je er met rooten alleen niet bent. Je zult je gedrag aan moeten passen en veiligheidstools als anti-virusscanners, firewall en privacy tools moeten gaan gebruiken. Maar dan nog moet je weten wat je doet en dat is helaas niet voor iedereen weggelegd.

Nb. Ik zou graag testen van telefoons willen zien waar privacy ook onderdeel is van de test. Hoeveel gegevens verlaten een telefoon zonder dat de gebruiker dat kan zien. Ik vrees dat dit weleens een schok voor velen kan betekenen want er wordt heel veel data verzonden op het moment dat jouw telefoon verbinding maakt met het Internet. Waarom denk je dat er steeds meer telefoons komen met apps die je niet uit kan zetten en die altijd draaien? Samsung Knox is daar zo een van.

[Reactie gewijzigd door regmaster op 16 oktober 2014 18:36]

Samsung Knox is daar zo een van.

Zeg je nu dat Knox spyware is? Ik hoop dat je weet dat het juist een beveiligingslaag is waarmee Samsung het bedrijfsleven probeert te verleiden?

http://androidworld.nl/ni...et-er-en-kun-je-ervan-af/

Wat heerst hier toch een anti-root sentiment ineens, hebben de providers daar soms iets mee te maken? Als alle leveranciers zich nu eens netjes aan de wet en aan de afspraken zouden houden dan was onze privacy gewaarborgd en kon een Facebook, Twitter, Whatsapp, Google etc. etc. niet grootschalig in onze prive gegevens graaien. Iedereen maakt zich nu ineens druk over dat criminelen toegang tot de smartphone kunnen krijgen maar hebben jullie wel eens nagedacht over hoe dat nu kan? Als bedrijven als Google en consorten jouw data van de smartphone kunnen inzien, zonder dat je het weet, kunnen anderen dat natuurlijk ook. Zo'n beveiligingsgat is uiteraard niet zo selectief dat Google er wel doorheen mag maar Iwan uit de Oekraïne niet. Kortom, als je privacy je lief is zul je wel moeten rooten om het datagraaien d.m.v. allerle appjes te beteugelen en om te bepalen welke app wel of niet het internet op mag of überhaupt mag werken. Rooten brengt zeker risico's met zich mee en niet iedereen heeft blijkbaar door dat je er met rooten alleen niet bent. Je zult je gedrag aan moeten passen en veiligheidstools als anti-virusscanners, firewall en privacy tools moeten gaan gebruiken. Maar dan nog moet je weten wat je doet en dat is helaas niet voor iedereen weggelegd.

Nb. Ik zou graag testen van telefoons willen zien waar privacy ook onderdeel is van de test. Hoeveel gegevens verlaten een telefoon zonder dat de gebruiker dat kan zien. Ik vrees dat dit weleens een schok voor velen kan betekenen want er wordt heel veel data verzonden op het moment dat jouw telefoon verbinding maakt met het Internet. Waarom denk je dat er steeds meer telefoons komen met apps die je niet uit kan zetten en die altijd draaien? Samsung Knox is daar zo een van.

Je stelt eigenlijk dat je op je smartphone door de kat of de hond gebeten wordt.

Grote bedrijven vragen in ruil voor hun diensten zoveel toegang tot je privé infornatie, dat je niets meer te verbergen hebt. Of je neemt het heft in eigen hand, root, en wordt misschien slachtoffer van criminelen.

Als je zo ver wilt gaan, dat bereid bent je de beveiliging van je telefoon te ontmantelen om een beetje meer privacy te regelen, lijkt het aantrekkelijker om over te stappen op een platform dat uit de doos jou als gebruiker controle geeft over je privégegevens ipv te kiezen voor een platform ontworpen door een bedrijf dat geld verdient met reclame personalisatie.

Dit hang vooral op de aanname dat er een te vertrouwen bedrijf bestaat. Volgens de meeste reaguurders in privacy topics is een betrouwbaar bedrijf een contradictio in terminis. Kortom dat platform kan niet bestaan, hoe graag je jezelf ook wijs wil maken dat jij het wel gevonden hebt.

NIEUWS: Als iemand root toegang krijgt tot je apparaten ben je in gevaar

Nee, het is: NIEUWS: Als iemand root toegang krijgt tot je apparaten ben je veel meer in gevaar dan je dacht, want ALLES loopt via binder.
Dat is weldegelijk belangrijk.

Als iemand root op je telefoon heeft dan kan die persoon per definitie alles al doen. Hij kan dan de gehele bankapplicatie veranderen in een phishing app. Het is een interessant feitje dat iemand met root ook de binder uit kan lezen, maar het is echt hele dikke onzin om te stellen dat dit een achilleshiel is. Alles in je systeem is de achilleshiel als iemand je telefoon heeft geroot.

Overigens is Binder gewoon de naam van de inter-process communication constructie die Android gebruikt. Een dergelijke constructie zit in bijna alle OS'en. Ik vraag me af of andere IPC-constructies op andere OS'en wél een dusdanige beveiliging hebben, hoewel op Android de IPC inderdaad meer wordt gebruikt.

Ik vraag me af de onderzoekers ook maar één aanval kunnen noemen die mogelijk is geworden doordat ze deze "achilleshiel" hebben blootgelegd. Of dat ze één aanval weten die voorkomen kan worden door de Binder data-uitwisseling te encrypten. De voorwaarde "je hebt root nodig" diskwalificeert de hele beschrijving van "achilleshiel".

Vraag maar raak, ik kan zo twintig achilleshielen in Android voor je identificeren, gewoon vanuit mijn luie stoel. Oh ja, de voorwaarde is dat ik wél roottoegang heb!

[Reactie gewijzigd door DCK op 16 oktober 2014 13:50]

Het gaat niet (alleen) om toestellen waar je al per se root toegang tot hebt. Er zijn genoeg mogelijkheden om root toegang te verkrijgen op een Android zonder dat de telefoon al geroot is.

Dit probleem wordt vergroot door het aantal oude en niet geüpdatet Android toestellen die circuleren, met dank aan de meeste Android OEMs.

[Reactie gewijzigd door Daenney op 16 oktober 2014 14:52]

Je kan er ook voor kiezen te zorgen dat niets in gevaar komt.
Als je niet belangrijke zaken als:

• zakelijke mail,
• privacy gevoelige foto's,
• prive-mail,
• internetbankieren app (sowieso niet)
• simkaart met mogelijkheid van betaalsms/0900-bellen

op je geroote android of jailgebroken iphone hebt. Dan valt er voor hackers weinig te halen natuurlijk.

Belangrijke zaken kun je dan het best laten lopen op een apparaat waarvan je de beveiliging niet ontmanteld hebt, en dat modern en up2date is.

_{edit: vorm}

[Reactie gewijzigd door Anoniem: 601896 op 16 oktober 2014 14:03]

Je kan er ook voor kiezen te zorgen dat niets in gevaar komt.
Als je niet belangrijke zakelijke, geen privacy gevoelige foto's, prive-mail, geen internetbankieren app (sowieso niet) of simkaart met mogelijkheid van betaalsms/0900-bellen op je geroote android of jailgebroken iphone hebt. Dan valt er voor hackers weinig te halen natuurlijk.

Belangrijke zaken kun je dan het best laten lopen op een apparaat waarvan je de beveiliging niet ontmanteld hebt.

Het lijkt er op alsof je denkt dat alleen geroote telefoons kwetsbaar zijn, maar dat is niet zo.

Geroote telefoons zijn extra kwetsbaar, niet alleen omdat de beveiliging bij voorbaat ontmanteld is, maar het type gebruikers ook meer software uit semi-bekende bron installeren. Helaas is het zo dat het rooten van een android telefoon, ook voor kwaadaardigen vrij makkelijk is, maar een niet geroote andorid telefoon, heeft 1 stap extra nodig om misbruikt te worden.

Onzin. Als je een goede root manager hebt zoals SuperSU dan prompt *elke* nieuwe app die roottoegang vraagt om toestemming. Je kunt het zelfs zo maken dat dat *elke keer* gebeurt (al word je dan gek van de prompts).
En als dat waar zou zijn zou elke PC (Windows, Mac of Linux) onveilig, die zijn immers ook standaard 'geroot', je kunt immers systeemtaken daarop doen. En daar wordt inderdaad soms misbruik van gemaakt als je je systeem slecht beveiligd hebt, niks anders dan bij Android met root.
Een hoop ellende is te voorkomen door niet als een blind paard alles zomaar met internet te (laten) verbinden.

Je reactie toont 100% vertrouwen in dat er geen zero-days in superSU zitten. Ik zou daar niet vanuit gaan.

Zo niet dan zou SuperSU al gemanipuleerd moeten zijn en daarvoor heeft de malware root toegang hebben die die dus nog niet heeft.
Kip/ei probleem dus.

Ja en wie hebben nu het meeste baat om dit soort tools te maken? De hackers zelf.

geen zero-days in superSU zitten. Ik zou daar niet vanuit gaan.

Ik denk dat hier het probleem zit.

Enerzijds vind ik de ophef overdreven. Als iemand root-toegang heeft is je systeem onveilig. Dat is geen achillishiel. In elk OS zijn er wel 1 of 2 processen die centrale functies hebben.

Enige verschil is dat als er een bug gevonden wordt die iets te misbruiken maakt, op Anroid de kans dat het gefixt wordt op jouw telefoon ongeveer 0 is.

Maar tot nu toe is er bij mijn weten geen enkele bug gevonden die binder toegang mogelijk maakt. En zelfs dan is het nog de vraag of men werkelijk iets kan. Immers de data die via binder loopt is bij een bankierapp bijvoorbeeld niet de rekeningtransacties. Dus het is wel heel erg theoretisch.

Het heeft ook wel iets weg van de '15 minutes of fame' van deze onderzoekers.

Geroote telefoons zijn extra kwetsbaar, niet alleen omdat de beveiliging bij voorbaat ontmanteld is, maar het type gebruikers ook meer software uit semi-bekende bron installeren.

Dat is IMO een onzin opmerking.
De meeste Android gebruikers die ik ken hebben hun device niet geroot voor grijze software maar om bijvoorbeeld CyanogenMod of XPrivacy te kunnen installeren.

IMO is het voor Android ook niet zo zinvol om je device om die reden te rooten. De meeste apps krijg je gratis met reclame en de betaalde apps zijn niet zo duur.
En of zaken als TomTom uit grijze bron werkt, en als het al werkt of het rendabel is om de ellende op hals te halen terwijl de betaalde TomTom Europese versie met Gratis lifetime Maps € 69,99 kost.

maar Artenstein en Revivo waarschuwen dat vooral voor oudere Android-versies veel kwetsbaarheden bekend zijn waarmee een aanvaller root-toegang zou kunnen krijgen.

Je zou dus je telefoon helemaal niet moeten gebruiken voor privacy gevoelige zaken, bankieren etc.

Ook niet verstandig, mijn echtgenote heeft ook zo'n ding, maar er staat helemaal niets op wat te maken heeft met financiën of privé, zelfs foto's worden direct eraf gehaald wanneer ze thuis is, ook belangrijke telefoonnummers staan er gewoon niet op hoogstens 112 en een huisdokter, geen familie etc etc, nog Apps (noem maar op). De telefoonnummers die ze nodig heeft doet ze uit haar hoofd.

??? Kan je net zo goed een dumbphone nemen ???

zelfs foto's worden direct eraf gehaald wanneer ze thuis is

Denk je dat een malware-progje eerst een paar uur gaat zitten wachten, en dan pas de foto's doorstuurt?
Op een computer (dus incl. smartphone) gaan veel zaken zowat instant, als je 't vergelijkt met hoe snel een mens kan (redeneren).

Lol. Ik dacht dat ik paranoïde was Maar jij wint het in werkelijk *elk* opzicht. Maar zoals GoT ook zei: waarom heb je in hemelsnaam een smartphone?

Geen adresboek, geen telefoonnummers, geen foto's, geen apps, …

Dus geen mail, geen WhatsApp, geen werk of privé agenda, geen bankieren app, helemaal niks van dat alles. Alles wat met een smartphone te maken heeft, heeft ze niet.

Past de telefoon misschien goed bij haar jurk? Anders is ze beter af met een domme telefoon van 2 tientjes!

Ze heeft ook een pure dumb phone gekocht toen ik het er over had, maar ja die heeft helemaal geen sjoege van dat soort spullen, dus heeft er 1 gekocht die de buurvrouw ook had, inmiddels ligt hij in de kamer kast zag ik eergisteren en opeens zag ik een telefoon op de tafel liggen van een onbekend merk die volgens haar een euro of 40 had gekost

Dat zou ik niet willen zeggen. Mobiel bankieren op iOS is op dit moment een van de veiligste combinaties, puur afgaande op het aantal bekende exploits en het actieve patchbeleid van Apple. Op Android speelt het probleem van de Binder, het matige (of vaak afwezige) sandbox model (tov iOS) en het gebrek aan beschikbare systeem -patches en -updates. Op iOS heb ik geen problemen met foto's, mail en bankieren (mits cloud synchronisatie uit staat); op Android (zeker op de oudere releases) doe ik dat liever niet.
Ps: voor extra veiligheid kun je in je mobiel bankieren app het 'vrije bedrag' voor overboekingen op € 0,- zetten (of een laag bedrag). Op die manier loop je maar beperkt risico bij verlies van je device (in het geval de dief ook je bankieren pincode weet).

Ik heb zelf een Sailfish, geen (native) app voor mn bank, dus zit helemaal safe. Maar voor Android users is dat geen oplossing. In die reactie bedoelde ik eigenlijk ook meer de android telefoons, maar heb ik idd niet erg duidelijk vermeld ;-)

Geen app voor je bank betekent dat je via de browser moet werken. Dat betekent weer extra risico's (bv MitM), wat je met een app uit een gesloten app store niet hebt.

Ook de app zal requests moeten doen via het netwerk en is daardoor 'vatbaar' voor een MitM. Wel is het zo dat je niet weet wat plugins in een browser doen. Internet bankieren op m'n telefoon heb ik nog nooit echt gedaan ;-) toen ik nog Android had wel eens de app geinstalleerd, maar nooit gebruikt.

De app is niet vatbaar voor phishing links in een mail, de app is niet beperkt tot HTTP met SSL als het om beveiliging gaat. MitM met een goede app is vele malen moeilijker dan met een browser.

Precies, met een "goede app". Het www is veel verder ontwikkeld en bij gebruik van browsers is veel meer kennis. Apps zijn in dat opzicht nog redelijk "nieuw" en de besturingssystemen zijn bijna net zo nieuw.

Het is veel moeilijker voor een bank om een goede app te laten maken dan dat ze een goede website laten maken. De websites waren er al eerder en zijn al veel meer "getest" door mensen met minder goede bedoelingen.

Je bent nergens echt zeker van als het om mobiele technologie gaat. Het is dan ook meer aan jezelf om zo goed mogelijk op te letten en in het algemeen sceptisch te zijn.

Hoe kom je erbij dat Android geen sandboxes heeft?

Ja tuurlijk, maar er zijn zo'n 1 miljard Android gebruikers. Je kunt die moeilijk allemaal vertellen om maar een blackberry te kopen (en de functionaliteit om android apps te draaien niet te gebruiken)

Dit is wel iets waar ontwikkelaars van apps rekening mee moeten houden.

Ik denk dat veiligheid op alle platforms belangrijk is. En dat het voor alle ontwikkelaars zo moet zijn dat ze hun operating systeem permanent verbeteren op dat vlak. En dat zie je zo ook doen. Helaas is het wel zo, dat bij de marktleider en het meest 'open' systeem, er de meeste kwetsbaarheden aan het licht komen.

Dat is voor de meeste gebruikers niet erg, want zeg zelf wanneer is er voor het laatst misbruik gemaakt van jouw telefoon of de telefoon van een bekende? Dat komt niet voor.
Relevanter wordt de beveiliging van je telefoon wel, als de je door toegang tot jouw informatie of middelen wat te verliezen hebt aan derden.

Dat jij niemand kent waar dit gebeurt is betekent niet dat er ook geen misbruik wordt gebruikt van exploits en dergelijke, het zou niet eens mogenlijk moeten zijn dat er misbruik van kan worden gemaakt.

Daarnaast is dit een vrij nieuw concept(?) en is het goed mogenlijk dat er een exploit in Binder zit die misbruikt kan worden om zonder root toegang deze data te onderscheppen. Laten we natuurlijk hopen dat dat niet het geval is, en dat banken etc hun apps in orde maken om problemen hiermee te voorkomen

"want zeg zelf wanneer is er voor het laatst misbruik gemaakt van jouw telefoon of de telefoon van een bekende? Dat komt niet voor."


Dat is een zelfde opmerking als:
"Ik hoef geen virus scanner te installeren omdat ik nog nooit een virus heb gehad..."

De dingen die als "veiligheid" worden genoemd in het artikel dat je linkt hebben helemaal niks te maken met de systeembeveiliging dat in dit artikel wordt bediscussieerd. Er is een groot verschil tussen "enterprise 'security' features" en "een veilige telefoon". Behoorlijk misleidend om hier naar te linken!

[Reactie gewijzigd door DCK op 16 oktober 2014 14:05]

Ja, en als dat allemaal niet meer mag of kan op je mobiel kun je net zo goed weer een Nokia 3610 of Swing 200 nemen. Want dan is het nut van een smart phone toch kompleet weg. Voor veel mensen is ht nou eenmaal hun mobiele kantoor en als ze al die zaken ivm slechte beveiliging niet meer kunnen dan heeft zoiets voor hun dus geen nut...

Kortom. Beter niet een smartphone gebruiken waar hij voor bedoeld is.

Als je niet belangrijke zaken als:
zakelijke mail,
privacy gevoelige foto's,
prive-mail,
internetbankieren app (sowieso niet)
simkaart met mogelijkheid van betaalsms/0900-bellen
op je geroote android of jailgebroken iphone hebt.

Bellen is ook privacy-gevoelig.
Blijft over: alleen nog wat 'anoniem' browsen.
Verder heb je 't over een geroote phone, maar het artikel zegt dat 't voor een aanvaller geen probleem is om root-toegang op je phone te krijgen.

Ja en dat is eigenlijk een pc met een kaal en up-to-date os met alleen je bank-app. En dan nog....

gejailbreakt nvm

Eens. Het is misschien ongegrond of zelfs een tikkeltje paranoïde, maar de ontwikkelingen op mobiel gebied gaan met zulke reusachtige stappen dat een klein stemmetje in mijn hoofd zegt dat het té snel gaat om alles secuur (leuk dat dit woord is afgeleid van security) te laten verlopen.

Ik zie niet in waar ie 't over windows heeft?

Kan 'm overigens wel volgen - de ontwikkeling & toevoegingen van functies & nieuwe technologiën tot zelfs nieuwe types toestellen / HIDs gaat zo ontzettend snel dat de mogelijkheid tot een nog niet gevonde bug/security failure al zo diep kan zitten in zo onnoemelijk veel apparaten omdat er steeds op verder is gebouwd. Daarbij ook nog eens het feit dat vele apparaten niet of slecht geupdate worden...

Overigens is dit een vrij nieuw fenomeen want zelfs op de desktop markt ging 't nooit zo hard ...

Nee, het is: NIEUWS: Als iemand root toegang krijgt tot je apparaten ben je veel meer in gevaar dan je dacht, want ALLES loopt via binder.
Dat is weldegelijk belangrijk.

Nee, het is: NIEUWS: Als iemand root toegang krijgt tot je apparaten ben je veel meer in gevaar dan je dacht, bij slecht gebouwde applicaties, want ALLES loopt via binder.
Een goede applicatiebouwer zou interapplicatie verkeer al versleuteld hebben, als dat nodig is.

Ik vind het eerlijk gezegd niet raar dat binder niets versleuteld omdat dat ten koste van de performance gaat. Het is aan de applicatie ontwikkelaars om er voor te zorgen dat hun applicatie veilig is.

Als er bankier applicaties zijn die nu niet veilig zijn moet de Bank c.q. de ontwikkelaar van de applicatie zich schamen.

Tav dit voorbeeld.

Ook sms'jes met verificatiecodes, die ING bijvoorbeeld gebruikt voor overboekingen, zouden kunnen worden gekaapt.

Dit hele principe is IMO prehistorisch, de ING moet maar eens mee gaan met de tijd.

Als iemand root heeft op je telefoon, zou ik me om wel ergere dingen zorgen maken dan dat ze de communicatie in Binder uit kunnen lezen.

Zelfs als de communicatie in Binder versleutelt is, is het met root-toegang triviaal om simpelweg in het geheugen van de apps zelf te kijken wat voor info er wordt uitgewisseld. Er is gewoon simpelweg geen nieuwe aanval mogelijk met dit non-nieuws.

Ik verwacht dat de kernel zelf geheugenbeveiligingen beheert zodat "zomaar" het geheugen van andere apps lezen niet kan.
Op ubuntu lukt dit ook niet zonder een debugger (en debug gecompileerde processen), en als je het wel probeert wordt je proces onmiddelijk beïndigd met de melding "segfault".

Als iemand root heeft op je telefoon, zou ik me om wel ergere dingen zorgen maken dan dat ze de communicatie in Binder uit kunnen lezen.

Zelfs als de communicatie in Binder versleutelt is, is het met root-toegang triviaal om simpelweg in het geheugen van de apps zelf te kijken wat voor info er wordt uitgewisseld. Er is gewoon simpelweg geen nieuwe aanval mogelijk met dit non-nieuws.

Helemaal mee eens.
Puur hypothetisch maar zeker niet irreëel er zou ook een binder exploit kunnen bestaan die het mogelijk maakt dat iedere programma zonder root binder uit kan lezen.
Daarom vind ik dat de applicatie ontwikkelaar moet zorgen dat de interne vertrouwelijke informatie binnen Android versleuteld wordt.

Dit hele principe is IMO prehistorisch, de ING moet maar eens mee gaan met de tijd.

Leuke anekdote, in 2003 belde ik ING op:
Ik -->"Waarom werkt jullie internet bankieren niet op Firefox?"
ING-->"Uit veiligheidsoverwegingen ondersteunen we alleen IE5/6 en geen Firefox".

Toen wist ik alweer genoeg. Tel daarbij op de met de post (!) gestuurde TAN-codes die op volgorde moesten worden ingetypt, en toen ontstond al het beeld bij me van onveiligste bank ooit.

SMS is ook makkelijk te onderscheppen met "gespoofde GPS mast", die lui geven gewoon geen drol om "veilig bankieren".

"gespoofde GPS mast" cq makkelijk XD grappenmaker

En ze zijn met hun tijd meegegaan website werkt in de meest recente versie van elke gangbare browser

Leuke anekdote, in 2003 belde ik ING op:
Ik -->"Waarom werkt jullie internet bankieren niet op Firefox?"
ING-->"Uit veiligheidsoverwegingen ondersteunen we alleen IE5/6 en geen Firefox".

Ik zou de ING groot gelijk geven. Firefox 1 is pas in 2004 geïntroduceerd. Dus het betrof toen nog een beta-versie. Lijkt mij een juiste keus om die niet te ondersteunen.

[Reactie gewijzigd door jvdmeer op 16 oktober 2014 14:35]

TAN-codes die op volgorde moesten worden ingetypt

Nope. Ik heb nog nooit opeenvolgende TAN-codes in hoeven voeren bij ING.
't enige probleem onstaat als je bijna door de huidige lijst heen zit, waardoor de 'willekeur' niet meer (goed) werkt.

Maar het TAN-code systeem is natuurlijk niet ideaal.
Een simpele tijdgebonden code werkt mijns insziens veel beter.

gespoofde GPS mast

Als dit werkelijk zo makkelijk was, dan hadden we geen GPS masten meer gehad. Overigens is het een GSM mast, en niet GPS.

Ik heb het idee dat je geen idee hebt hoe er voor android geprogrameerd word...

Ik heb het idee dat je geen idee hebt hoe er voor android geprogrameerd word...

Ik wil me hierbij aansluiten.

En ik kan me voorstellen dat het onmogelijk om een totaal veilige (bankieren) app te maken, als een gebruiker zelf elke vorm van primaire beveiliging ontmanteld door te rooten.

Wat dat betreft logisch, dat banken niet andere gebruikers laten betalen voor die quasi-programmeurs die wel de beveiliging van hun telefoon gooien, maar eigenlijk geen idee hebben welke software ze draaien.

[Reactie gewijzigd door Anoniem: 601896 op 16 oktober 2014 13:47]

Let op: er is wel een verschil tussen:

1. Je telefoon rooten
2. Iemand anders krijgt root-toegang op je telefoon

In het eerste geval zijn er (open source) applicaties die je kunt gebruiken om root-toegang te managen; zo kun je er zélf applicaties authoriseren om root-dingen te doen, en dat voor een bepaalde tijd. Áls je weet wat je doet, en wat je wil vertrouwen op je eigen telefoon, dan is het eerste geval niet per se onveilig. Je kiest als gebruiker dan zelf, en er bestaan gebruikers die daar in de goede keuzes kunnen maken.

In het tweede geval geef je iemand onbeperkte toegang op je telefoon zonder enige vorm van authorisatie. In zo'n geval is het niet mogelijk om de veiligheid van dingen te garanderen inderdaad.

In het tweede geval geef je iemand onbeperkte toegang op je telefoon zonder enige vorm van authorisatie.

Geef? Ik denk dat je bedoelt dat die toegang dan gepakt is...

Inderdaad dat is net als in mijn eerdere posts maar dan beter verwoord.

Ik vroeg de Rabobank onlangs waarom ze hun reader gingen vervangen en niet gewoon een smartphone gebruikte.

Hun antwoord was simpel en logisch:
"We willen dat er altijd geverifieerd wordt met een apparaat dat niet met het internet verbonden is of kan worden, of waar draadloos verbinding mee kan worden gemaakt"

Bij betalingen tot max €250p/dag kan het wel (je kunt dit bedrag instellen btw) zonder reader en dat lijkt me een goed compromis.

Er is al vaak zat aangetoond dat het ING systeem te onveilig is.

| Ik heb het idee dat je geen idee hebt hoe er voor android geprogrameerd word...

Ik wil me hierbij aansluiten.

Als je je hier bij kan aansluiten, kun je dan a.u.b. aangeven waar mijn denkfout zit?
Want zo is je opmerking helemaal zinloos.

En ik kan me voorstellen dat het onmogelijk om een totaal veilige (bankieren) app te maken, als een gebruiker zelf elke vorm van primaire beveiliging ontmanteld door te rooten.

Je kunt ze wel zo veilig mogelijk maken zodat de groep die het zou kunnen uitbuiten zo klein mogelijk is.
Zaken als niet versleuteld uitwisselen van vertrouwelijke data, via binder, is natuurlijk uit den boze.
Via een binder sniff/dump programma zou de data van alle programma's die de data niet versleuten al gemakkelijk kunnen achterhalen. Wat veel gemakkelijker is dan in het heugen te spitten, waardoor het voor "skriptkiddies" ook gemakkelijk gedaan kan worden.

[Reactie gewijzigd door Anoniem: 112442 op 16 oktober 2014 16:32]

Ik heb het idee dat je geen idee hebt hoe er voor android geprogrameerd word...

Jij wel? Via deze "one liner" geeft je me niet het gevoel dat je het wel weet.

Uit het artikel.

Het is overweldigend hoeveel applicaties zeer gevoelige data onversleuteld uitwisselen met de Binder", aldus beveiligingsonderzoekers Nitay Artenstein en Idan Revivo op de Europese editie van de Black Hat-beveiligingsconferentie in Amsterdam. Daaronder zijn onder meer bankapplicaties.

Kortom je kunt ook versleuteld data uitwisselen, is mijn conclusie. Anders klopt de post van Tweakers niet.
En als Java dit niet toe zou staan kun je nog altijd binary code voor Android schrijven en gebruiken.

Je hoeft op Android niet perse alle applicaties via de Android SDK te schrijven.
Kijk maar naar programma's zoals Navit.

[Reactie gewijzigd door Anoniem: 112442 op 16 oktober 2014 16:22]

"Jij wel? Via deze "one liner" geeft je me niet het gevoel dat je het wel weet."

Zeg dat maar niet tegen mijn werkgevers; dat is namelijk precies waar ze me voor betalen.

"Je hoeft op Android niet perse alle applicaties via de Android SDK te schrijven."

No shit, Sherlock. Maar de manier waarop jij erover praat doet me nog steeds denken dat je geen kaas van danwel Java, danwel Android hebt gegeten.

"Jij wel? Via deze "one liner" geeft je me niet het gevoel dat je het wel weet."

Zeg dat maar niet tegen mijn werkgevers; dat is namelijk precies waar ze me voor betalen.

"Je hoeft op Android niet perse alle applicaties via de Android SDK te schrijven."

No shit, Sherlock. Maar de manier waarop jij erover praat doet me nog steeds denken dat je geen kaas van danwel Java, danwel Android hebt gegeten.

Dank je wel voor de geweldige toelichting den onderbouwing.

Tja, zo werkt dat. Ik heb geen zin en ook geen tijd om hier paragrafen aan te wijden. En, ja, dat zou het kosten. In de woorden van een fysicus: you're not even wrong.

Feit blijft dat ik, als professional, zeg dat wat jij meld duid op onwetendheid over datgene waar je het over hebt (en dat viel niet allen mijzelf, maar ook andere posters op). En ik heb geen zin in een drie keer zo lange tekst uit te tikken om dat toe te lichten. Wellicht als ik iets direct over het artikel zou schrijven, daar doe ik de moeite wel voor, maar dit niet. Welcome to the internet.

Ook zonder binder is er gevaar. Want een root-proces kan natuurlijk de inhoud van je complete geheugen lezen. Dan hoeft de app dus helemaal niet via binder te communiceren om toch zijn gegevens te laten lekken (!!!)

Want een root-proces kan natuurlijk de inhoud van je complete geheugen lezen.

Dit is natuurlijk een security-fail van de hoogste orde. Alleen een debugger zou geheugen-toegang mogen hebben, en dan alleen van de getargete app en aanverwante systemen. Alleen een kernel-debugger zou volle toegang mogen hebben. En op dat niveau is root niet eens van toepassing.

Tja, als je als root een nieuwe kernel kunt installeren kun je dus ook bij het geheugen (misschien niet direct, maar in elk geval na een reboot).

Zover ik weet betekent root toegang dat de aanvaller ook gewoon je bank app of welke andere app dan ook kan vervangen met hun eigen app en volledige controle heeft over de netwerkverbindingen die je OS voor elke app maakt. Het idee dat iets erger kan zijn dan dat slaat nergens op, ze kunnen immers alles al.

Dan moet de aanvallende app wel zelf root toegang hebben. Als je SuperSU (of de root manager van Cyanogen) goed ingesteld hebt krijg je een prompt als de malware voor het eerst start. Apps zonder root toegang hebben even weinig rechten op een geroot apparaat als een niet geroot aparaat.

Als hij root heeft kan hij alles wat met software kan, of binder iets kan of niet is volstrekt irrelevant.

Niet helemaal.
Door aan te grijpen op Binder kan je betrekkelijk eenvoudig _alle_ communicatie onderscheppen tussen bijvoorbeeld een banking app en het on-screen keyboard.
Het ergste is dat het een generieke aanval is die bij _alle_ internetbankier software werkt zolang die gebruik maakt van het OSK.

Het is weinig nieuws, waarom? Als een applicatie volle toegang tot het systeem heeft. Dan geeft dat risico's omdat je het applicatie gemachtigd hebt. Nee, het applicatie maakt geen misbruik. Als je je telefoon root, heb jij als gebruiker toestemming gegeven om dat soort actief uit te voeren.

Als dit voor standaard, stock telefoons mogelijk is. Dan ja, is het nieuws.

Wat jij niet las omdat je direct naar de reacties sprong:

"Root krijgen is tegenwoordig geen probleem meer op een Android-toestel", aldus de onderzoekers.

dat was exact wat door mij ging.

SOIT, Iedereen die dacht dat "het allemaal wel meevalt als een aanvaller roottoegang heeft" (Damn, mijn maag keerde net om), zal na dit artikel hopelijk wakker worden.

Ik mag toch hopen dat niet iedere app zijn eigen toetsenbord gaat implementeren.

Die hypothetische app komt er hier i.i.g. niet op

Het lijkt mij wel prettig als een bankieren app ofzo niet nog eens nodeloos allerlei data uit gaat wisselen met andere programma's. Dan maar een wat minder mooi toetsenbord in die app.

[Reactie gewijzigd door Vizzie op 16 oktober 2014 13:25]

Goed lezen, in veel gevallen gaat communicatie intern in de app ook via de Binder. Het beperky zich niet tot communicatie tussen apps.

Het gaat me niet om minder mooi; het gaat me om de lay-out !
Sommige van mijn wachtwoorden kan ik amper (of niet ) typen op sommige toetsenborden.

Het zal vooral gaan om bijvoorbeeld applicaties voor bankieren. De ING bankieren-app heeft al zoiets: zodra een cijfercode moet worden ingevuld (bijvoorbeeld om overboekingen te bekijken) gebruiken ze een eigen toetsenbord in plaats van het standaard toetsenbord.

In deze gelimiteerde gevallen lijkt mij dat geen probleem. Bij het invullen van overige gegevens, zoals een beschrijving bij een nieuwe overboeking, gebeurt het gewoon met het standaard toetsenbord. Daarnast zal een 'standaard' toetsenbord ook niet altijd een losse modus hebben voor cijferinvoer, waardoor de gebruiksvriendelijkheid met deze oplossing ook iets hoger kan zijn.

Ja, dat is waar - het zou dan inderdaad om wachtwoord of pin velden.

Wel jammer dat mijn wachtwoord vrij complex is, en ik die relatief snel in kan typen op m'n SwiftKey toetsenbord.
Andere toetsenborden dan weer niet; daar zitten alle speciale characters nét weer op een ander plek.

Ik weet het niet meer. Al sinds het begin der tijden wordt er geleuterd over de onveiligheid van Android, maar ik heb nog geen grootschalige hack gezien waardoor bankrekeningen zijn geplunderd. Ondanks dat Android volgens de deskundologen zo lek is als een mandje. Waarom is dat toch dat theorie en praktijk zover uit elkaar liggen?

In de praktijk is er anders redelijk wat malware in het wild die speciaal gericht is op bankieren. Mét slachtoffers.

Banking trojans are like rats, you kick a trashcan and six of them go scurrying off in every direction. Most of them you’ll read about once and never again. But there is a big four of sorts that just never seem to go away: Carberp, Citadel, SpyEye, and especially Zeus.
[..]
There are 22 pages, each containing ten stories, on Threatpost making reference to the Zeus trojan. You could write a Leo Tolstoy or Marcel Proust length novel about the shenanigans of the Zeus trojan, so it’s nearly impossible to briefly synopsize the threat, but we’ll throw out some highlights.
[..]
The Big Four Banking Trojans

[Reactie gewijzigd door Maurits van Baerle op 16 oktober 2014 13:50]

Ok, dan hebben ze Nederland nog niet bereikt. Ik heb wel een keer een demo gezien van een banking trojan voor een Engelse bank, maar dat was niet op een mobiel.

Ik denk ook wel dat ze druk bezig zijn met dingen bedenken. Geen idee of onze platforms voor mobiel bankieren beter beveiligd zijn tegen dit soort grappen. Je zult ergens in het proces moeten ingrijpen en een transactie moeten piggy-backen op de transactie die ik op dat moment maak. Maar ik krijg van ING een SMS met de code en daar staat ook het bedrag van de transactie in. Behalve als ik het met mijn mobiel doe. Daar lijkt ingrijpen dus makkelijker. Maar je ziet het meteen als er iets extra's gebeurt.
Helaas proberen ze (de banken) het systeem alleen maar makkelijker te maken voor de klant. En dat betekent meestal dat je de veiligheid offert. Ik hou mijn hart vast voor contactloos betalen. Een computer is nl gauw tevreden. Als zijn vinkje klopt, is het ok. Een mens kan nog zien dat ik Mevrouw Jansen niet ben.

We gaan het zien. Ik begin voorlopig niet aan contactloos betalen, ook al heeft mijn Note RFID. Ik wacht eerst eens af of het veilig genoeg is.

Ok, dan hebben ze Nederland nog niet bereikt.

Die trojans kijken vast niet in welk land je bent; die infecteren elk beschikbaar apparaat.

Ik begin voorlopig niet aan contactloos betalen, ook al heeft mijn Note RFID. Ik wacht eerst eens af of het veilig genoeg is.

Wat is 'veilig genoeg'? Zelf zeg je dat ze NL nog niet hebben bereikt.
Wil je wachten totdat er bijv. een jaar lang niemand meer slachtoffer wordt van digitale mobiele bankfraude? Dan kan je wachten tot je een ons weegt.

[Reactie gewijzigd door kimborntobewild op 16 oktober 2014 15:18]

Bank trojans zijn per bank, niet elke bank werkt hetzelfde. Of weet jij van een banking trojan die reeds in NL heeft toegeslagen.

Volgens mij is er best wel wat malware in omloop voor android waar mensen last van hebben. Om een bankrekening te kunnen plunderen moet er echter natuurlijk nog wel wat meer aan de hand zijn dan dat de beveiliging van Android niet deugt. Die van de app en de bank moet dan ook nog eens stuk zijn.

Wat dit issue betreft: op zich is het geen probleem als een app gegevens via binder uitwisselt natuurlijk, mits dat maar goed versleuteld gebeurt. Waarschijnlijk zijn telebankieren apps gewoon goed in elkaar gezet. Dat deze onderzoekers erop wijzen dat het versleuteld gebeuren moet wil niet zeggen dat het daarvoor allemaal onversleuteld gebeurde natuurlijk.

Inderdaad zat malware, maar nog steeds geen ding om mijn bank te plunderen. En daar maken ze me steeds bang mee

Mind you, ik ben erg op de security en heb dan ook voldoende maatregelen genomen om de boel veilig te houden, maar ik wordt soms niet goed van die security geeks. Ze schreeuwen vaak moord en brand over een vermeend lek, terwijl de kans dat de hack in werkelijkheid plaatsvindt zeer gering is. En dat lees je alleen min of meer tussen de regels door. Ze moeten daar vind ik wat duidelijker in zijn. En met waarschuwingen die afkomstig zijn van bedrijven die producten en consultancy verkopen ben ik sowieso terughoudend. Het lijkt vaak meer op een reklameboodschap dan een werkelijke waarschuwing.
Lijkt een beetje op de pharmaceutische industrie; reklame maken voor een medicijn mag niet, dus maken ze 'reklame' voor de ziekte.

Ik stel sowieso vraagtekens via bankieren met je telefoon en geld overmaken. het is in principe een kwestie van tijd dat er grote kwetsbaarheden en groot misbruik in dergelijke systemen ontstaat.

Allemaal leuk en aardig, maar de bank is verantwoordelijk voor zijn/haar app, wordt je dus het slachtoffer vanwege een slecht gebouwde app, dan is de bank gewoon aansprakelijk voor de door jou geleden schade. (Dit is van toepassing op een telefoon die niet geroot is)

Is je telefoon geroot, dan ben je zelf verantwoordelijk voor de beveiliging van je apparaat en heb je een bewuste keuze gemaakt, wordt je dan gepakt pech gehad.

Is je telefoon geroot, dan ben je zelf verantwoordelijk voor de beveiliging van je apparaat en heb je een bewuste keuze gemaakt, wordt je dan gepakt pech gehad.

Dit snap ik nooit zo goed, hoe is root toegang op je telefoon anders dan root toegang tot linux of administrator rechten op windows? Of heb je als je bankiert met een admin account binnen windows of een user met root toegang op linux ook een probleem als er wat gebeurt?
Want dan heeft eigenlijk iedereen altijd een probleem (bij windows) aangezien de standaard user altijd admin rechten heeft, en wie past dat nu aan?

Omdat een Root/Administrator account by default in Unix/Windows zit en een telefoon is niet standaard geroot, het is dan ook een eigen keuze om dit wel te activeren.

Daarnaast ben je op Unix/Windows standaard niet ingelogd als Root/Admin, in Unix gebruik je het 'su' commando en sinds Windows Vista heb je UAC (User Account Control), dit zorgt ervoor dat je pas gebruik maakt van je administrator account wanneer nodig(De zwaar irritante pop up box)

En dat is bij android niet?
Ik krijg anders ook altijd een mooie dialog box als een app root toegang wil...
Daarnaast zijn er ook telefoons (van iets minder grote merken) die direct van root toegang worden voorzien.
Het idee wat ik altijd krijg bij niet standaard root-toegang verlenen bij "grote" merken als Samsung en co, is dat je dan die irritante bloatware niet kan verwijderen.
Het unlocken van de bootloader vind ik daarentegen wel weer een ander verhaal.

Het gaat er hier gewoon om dat het bij default dicht zit en jij het openzet, dan heb je een bewuste keuzen gemaakt, bij Windows en Unix zit die account er gewoon in of je het nou wilt of niet.

Bij android ook, alleen beslissen de fabrikanten van de telefoon of ze het toelaten of niet. Zo zou er bij een verse windows install ook in eerste instantie een account aangemaakt kunnen worden die GEEN admin rechten heeft. en dat je dat dus bewust aan moet zetten.

Het is hetzelfde als iedere nieuwe computer uitleveren met een locked bios en geen admin account. Want dat is hoe er nu met telefoons wordt omgegaan.

[Reactie gewijzigd door Spekkie88 op 16 oktober 2014 14:15]

Dat dialoog of een app root toegang wil, is geen standaard Android functie. Maar komt door SuperSU. Een app die root toegang beheert (na dat je root hebt geinstalleerd op je telefoon).

Toch krijgt voor zover ik weet de desbetreffende app geen root toegang als je telefoon wel geroot is maar de bijhorende SU app niet...

Daarom zie je bijvoorbeeld dat banken in eens vreemde eisen gingen stellen aan een Windows pc. Dat alle software uit legale bron moest komen en als er wel illegale software op stond, verviel je optie om geld terug te krijgen. Daarnaast werd een virusscanner verplicht en ook de laatste updates op je pc moesten geinstalleerd worden.
Overigens worden in het bedrijfsleven deze aanpassingen wel gedaan. Op een paar kleine uitzonderingen na, heeft niemand binnen het bedrijf waar ik werk, lokaal admin rechten.

[Reactie gewijzigd door RebelwaClue op 16 oktober 2014 14:07]

... en ook de laatste updates op je pc moesten geinstalleerd worden. Overigens worden in het bedrijfsleven deze aanpassingen wel gedaan.

Ook (of juist) in 't bedrijfsleven zie je vaak/regelmatig dat zaken als Flash en Java niet automatisch worden geupdate op de clients.
Veel admins vinden dat je dat niet automatisch moet updaten.

[Reactie gewijzigd door kimborntobewild op 16 oktober 2014 14:55]

Klopt, ik had specifieker moeten zijn dat ik de Windows updates bedoelde. Maar hier wordt ook alles geupdate via WSUS en wordt er eerst gekeken welke updates wel moeten en welke niet.

maar de bank is verantwoordelijk voor zijn/haar app
Kun je wel roepen, maar op het moment dat jouw rekening geplunderd wordt heb jij wel een probleem. En voor jij de bank er eventueel van overtuigd hebt dat jij WEL zorgvuldig omgegaan bent met je telefoon en het lek dus wel degelijk in hun app zit, ben je waarschijnlijk een flinke tijd verder...

Ik ben het met Auredium eens: voor mij geen internet op mobiele devices.

(Maar een beperking in de hoeveelheid die afgeschreven kan worden kende ik nog niet ... Misschien toch eens naar kijken of dat dat voor mij iets verandert. )

Op het moment dat jij slachtoffer bent van een dergelijke hack vergoed de bank alle kosten dezelfde dag nog, ze proberen dit zelfs nog direct te doen, achteraf gaan zij pas onderzoek doen wat er wel/niet vergoed dient te worden. De bank is hier zo coulant in, omdat dit klant vriendelijker is en op deze manier houden ze de berichten zoveel mogelijk uit het nieuws (een tevreden klant gaat immers niet klagen op forums en dergelijken)

Als achteraf blijkt dat je zelf onzorgvuldig bent geweest, dan zal de bank het geld terug innen bij je.

Dat is tot nu toe het beleid geweest, ja.
Maar ze morrelen daar af en toe al een beetje aan, bijvoorbeeld met hun richtlijnen met betrekking tot een veilige PC.

Het is dus een kwestie van tijd voor de banken vinden dat ze vaak genoeg voor de schade zijn opgedraaid vanwege onvoorzichtigheid van de klant en ze de bewijslast dus om gaan draaien...

Inderdaad, vandaar dat het vaak ook verstandig is om bij je internet bankieren app een snelle
"pincode" in te stellen die anders is als je echte pincode.
Daarnaast heb ik dan ook nog een limiet van €30,- per dag, en alleen naar bekende rekeningen.

Dat dekt toch al een hoop af, tuurlijk is het jammer als je €30,- kwijt raakt maar goed - beter als dat heel je rekening geplunderd is.
Uiteindelijk is het op sommige momenten ook erg handig om zo'n app te hebben op je telefoon, ik had laatst bijv dat ik was vergeten over te boeken van spaar naar normaal voordat ik boodschappen ging doen, had ik mijn tel niet bij had ik mooi voor joker gestaan....

"Root krijgen is tegenwoordig geen probleem meer op een Android-toestel", aldus de onderzoekers.

Ik mag toch hopen dat dit een grote overdrijving is of dat dit alleen voor de oudere versies geldt die mensen nog draaien omdat de telefoonboeren geen updates leveren? Hoe verhoudt zich dit tot andere telefoon OS-en?

Ik had altijd het idee dat een telefoon rooten in elk geval wel wat moeite kost en je het toestel ervoor bij de hand moet hebben.

[Reactie gewijzigd door Vizzie op 16 oktober 2014 13:17]

Valt reuze mee hoor. Google maar eens even op "root <merk model>", dan vliegen de handleidingen om je oren...

Ik ben wel benieuwd hoe het in Android L geregeld is.

Maar in de meeste gevallen moet de gebruiker zelf nog een paar handelingen verrichten, al dan niet via een kabeltje aan de pc. En soms kan het via een app (zoals towelroot) die je installeert, maar dan nog zijn er wat handelingen te verrichten. Al kan een kwaadwillige app deze handelingen natuurlijk achterwege laten. Maar zeker voor een doorsnee gebruiker die geen apps installeert buiten de Playstore om, is het een storm in een glas water.

[Reactie gewijzigd door RebelwaClue op 16 oktober 2014 14:18]

"Root krijgen is tegenwoordig geen probleem meer op een Android-toestel", aldus de onderzoekers.
Ik mag toch hopen dat dit een grote overdrijving is of dat dit alleen voor de oudere versies geldt die mensen nog draaien omdat de telefoonboeren geen updates leveren?

Dat is nu juist 't punt: ik heb net een nieuwe telefoon aangeschaft, waar Android 4.1 op blijkt te staan. Blijkbaar lag deze al een tijdje in de winkel. Maar ik kan dus niet updaten naar 4.2, laat staan naar 4.4...
En al koop je nu een 4.4 Phone, over een half jaar komt 4.5 en laten ze alle 4.4 toestellen vallen als een baksteen. Wat dat betreft doet Apple 't met iOS een miljoen keer beter.

Rooten doe ik niet. Android telefoons doen alles en meer wat ik wil zonder dat ik hoef te rooten.
Kan alles aanpassen naar mijn eigen smaak, qua uiterlijk dan in het specifiek en het werkt als een tierelier.

Bankieren of wat voor telefoon dan ook voel ik niets voor.
Ik heb een ABN Amro pasje, waarmee ik ook gewoon op een NFC-achtige manier kan betalen door het pasje (in een hoesje) tegen een PINapparaat te houden.

Werkt allemaal prima.

Veiligste oplossing inderdaad: bank niet via telefoon Maar voor de mensen die dat wel willen is het nogal een kwalijke zaak dat er blijkbaar heel makkelijk root toegang tot hun telefoons verkregen kan worden door kwaadwillende derden.

Zeker, al moet ik eerlijk zeggen dat de oudere telefoons (welke vooral kwetsbaar zijn) dan ook weer niet door mensen gebruikt worden die de behoefte hebben om ermee te betalen.

Gok ik. Heb hier geen data voor uiteraard.

Als ik het dus goed begrijp is er geen gevaar voor toestellen zonder root en met een vrij recente Android versie?

Nee, dat begrijp je verkeerd. Er zijn in elk OS, dus ook in een recente Android, kwetsbaarheden die misbruikt kunnen worden om meer bevoegdheden te krijgen. Als een aanvaller zo'n root exploit gebruikt wordt zij root, ook als je toestel niet geroot is.

Binder maakt het dan voor een aanvaller makkelijker om gegevens te onderscheppen of te injecteren.

De vraag is: waarom maken ze dit openbaar? Als ze google zouden inlichten: ok. Maar nu weet iedereen dit en dus ook de kwaadwillende.

Omdat het de communicatie met binder betreft en die wordt op app niveau geregeld.
Er staat letterlijk:
"De onderzoekers raden ontwikkelaars aan om data die met Binder wordt uitgewisseld te versleutelen. Ook kan een app die gevoelige data verwerkt beter een eigen toetsenbord implementeren, om te voorkomen dat via Binder een toetsenbord moet worden aangeroepen."

Men wil de app programmeurs aanspreken en niet Google. Een beveiligingsconferentie lijkt me daarvoor de uitgelezen locatie.

Zou het niet zo zijn dat Android onveilig lijkt doordat er veel gebruikers zijn en dat er daardoor ook meer onderzoek naar gedaan wordt? De andere OS'en hebben een veel lager aantal gebruikers waardoor het minder interessant is om daar lekken te zoeken. Een beetje hetzelfde als virussen voor Windows en Linux. Het kän wel maar het loont gewoon minder of niet.

Ik denk dat de concurrenten van Anroid interessant genoeg zijn voor onderzoekers en hackers ook al zijn ze kleiner. Je hebt het nog steeds over miljoenen (denk dat WP en iOS zelf al aan de tientallen miljoenen zullen zitten) devices.

Het zou natuurlijk gewoon kunnen dat Android meer aandacht krijgt omdat het opener is qua source (de open source delen althans, de progsels die Google en de telefoonmakers erop gooien zijn net zo dicht als iOS en WP), maar het kan ook gewoon slechter in elkaar zitten.

Het feit dat veel Android telefoons al blij mogen zijn ALS ze ooit een update krijgen, laat staan dat ze jarenlang ondersteund worden (wat bij iOS en WP anders geregeld is) maakt Android devices denk ik net een stukje kwetsbaarder dan andere OS-en.