Smartphone komplett verschlüsseln (Betriebssystem)?

[Marvolo]

Weil hier immer wieder die Behauptung aufgestellt wurde, mit Android sei man einigermaßen sicher, da dies eine ausreichende Grundverschlüsselung mitbringe:

Falls es sich nicht gerade um ein iPhone oder Produkt der Marke Apple handelt, dann ist euer Gerät so gläsern wie ein Spiegelkabinett. Offenbar wird zur Auslesung von Android-Geräten eine Münchner Software namens Cellebrite verwendet.

Da stellt sich nun die Frage, ob nun jeder, der KEIN Apple-Gerät hat, sich überhaupt noch groß mit der Frage nach Sim-Pins, Displaysperren oder sonstigen Sicherheitsmechanismen befassen muss...

 

[PC295]

dann ist euer Gerät so gläsern wie ein Spiegelkabinett. Offenbar wird zur Auslesung von Android-Geräten eine Münchner Software namens Cellebrite verwendet.

Die Software kann nur einfache Passwörter knacken, wie jedes andere Programm per Brute-Force auch.
Cellebrite ist keine Wunderwaffe, auch wenn es gern so dargestellt wird.

Das es eine relative hohe Erfolgschance durch solche Software gibt, liegt eher daran, dass die meisten Nutzer aus Bequemlichkeit Sicherheitsfunktionen von Android runterschrauben oder gar deaktivieren.

Wenn die zur Verfügung stehenden Funktionen richtig genutzt werden, sind aktuelle Android-Smartphones im Labor genauso sicher, wie Apple-Geräte.

 

[bisy]

Naja, laut den Release Notes gehen da Geräte bis zum Jahr 2018. Und meist sind das da Einsteiger Geräte, zumindest wenn ich mir die Samsung Liste da angucke. Damal war Android 9 gerade aktuell.

Von daher ist das Programm recht nutzlos für die Polizei, wenn es davon nicht ne aktuelle Version gibt, die auch Geräte nach 2018 knacken kann.

 

[Marvolo]

Dass Android und Windows-Geräte tatsächlich manchmal nicht zu knacken sein können, zeigt dieses Fallbeispiel, wo sich zuerst das LKA Berlin, dann das BKA, dann eine auf Entschlüsselung spezialisierte Firma (welche wurde im Abschlussbericht geschwärzt) und dann das ZITiS (Zentrale Stelle für Informationstechnik im Sicherheitsbereich) erfolglos die Zähne ausgebissen haben und nicht in der Lage waren, „diese Art der Kryptierung entschlüsseln zu können“.

Das Smartphone war wohl von der Marke Haier (noch nie gehört), der Laptop ein Samsung-Gerät.

Ich frage mich, was hier wohl für Verschlüsselungstechnik zum Einsatz gekommen sein mochte.

Als nächstes will das Berliner LKA nun Kontakt zu einer "im Ausland liegenden Behörde" aufnehmen. Eventuell die NSA/das FBI?

 

[PC295]

Dass Android und Windows-Geräte tatsächlich manchmal nicht zu knacken sein können

Sowas passiert tagtäglich. Das wird aber nicht breitgetreten noch werden darüber Statistiken geführt.

Dass Ermittlungsbehörden immer mehr Probleme haben, an die Daten zu kommen, zeigen auch die Änderungen die es bezüglich Durchsuchungen und Beschlagnahmungen getroffen wurden. So darf die Polizei jetzt Fingerabdrücke abnehmen, in der Hoffnung das Smartphone damit entsperren zu können.
Es kommt häufiger das SEK zum Einsatz - nicht weil die Beschuldigten so gefährlich sind, sondern damit es schnell geht und keine möglichen Beweise vernichtet werden können. (Ein ausgeschaltetes Smartphone oder PC ist sicherer als im gesperrten Zustand).

 

[X-Worf]

@Marvolo
In #79 war das hier:
https://grapheneos.social/system/me...760/076/651/069/original/abb6bfdb2d3cbc6a.png

Im NATO-Hauptquartier sind iPhones z.B. verboten, weil sich da wohl gern die Russen drauf tummeln, wenn man ausreichend interessant ist. (Laut Zeit Podcast „Alles gesagt?“ mit Florence Gaub.)

Und dann noch:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Für Otto-Normal bei einer Wald-und-Wiesen Firma sollte jedes halbwegs gut gepatchte Smartphone ausreichend sicher sein. Alles darüber muss man selbst bewerten und einschätzen.

 

[Marvolo]

Ich habe gegenwärtig ein Galaxy S24 Ultra. Habe nichts dran geändert, außer den normalen Einrichtungsprozess und ein Muster/Geste als Bildschirmsperre.

Ein Menüpunkt bezüglich Gerätespeicherverschlüsselung konnte ich nicht finden. Ist das beim S24 Ultra schon von Werk aus verschlüsselt und hängt dann von der Bildschirmsperre (Muster in meinem Fall) ab? Gäbe ja auch die Möglichkeit, überhaupt keine Bildschirmsperre zu verwenden. Wäre der Gerätespeicher in diesem Fall dann gar nicht verschlüsselt?

 

[s1ave77]

Wäre der Gerätespeicher in diesem Fall dann gar nicht verschlüsselt?

Iirc ist der immer verschlüsselt. Du kannst nicht den Speicher in einem anderen Gerät auslesen. Nützt nicht viel, wenn das Gerät ohne Sperre unbeaufsichtigt ist.

Win Home ist auf entsprechender Hardware auch per TPM (Geräteverschlüsselung Lite) verschlüsselt und wird bei Autologin automatisch entschlüsselt.

Ergibt gleichzeitig ohne Sperre auch keinen Sinn. Machst du bei keinem mobilen Gerät und erwartest, das nichts passiert.

Gibt Apps, die arbeiten nicht ohne oder nutzen eine interne Absicherung.

 

[bisy]

Ist das beim S24 Ultra schon von Werk aus verschlüsselt und hängt dann von der Bildschirmsperre (Muster in meinem Fall) ab?

Wie hier schon mehrfach geschrieben, Android Smartphones sind schon seit sehr vielen Jahren von Haus aus verschlüsselt. Einzig SD-Karte Karten als zusätzlichen Extra Speicher müsste man manuell in den Einstellungen verschlüsseln.

Ergänzung (13. Juli 2024)

Wäre der Gerätespeicher in diesem Fall dann gar nicht verschlüsselt?

Das hatten wir hier auch schon, das wurde schon in post 76 gefragt und in post 78 sogar mit nem link zum lesen beantwortet.

 

[s1ave77]

Einzig SD-Karte Karten als zusätzlichen Extra Speicher müsste man manuell in den Einstellungen verschlüsseln.

Hmm . Bei UFS klar, aber bei den Karten? Will man das? Kann nicht wirklich performant sein.

 

[bisy]

Will man das?

Muss jeder für sich entscheiden. Ist halt die Frage, wer noch SD Karten da nutzt, ich nicht, mein Smartphone hat mehr als genug Speicherplatz

 

[s1ave77]

Ist halt die Frage, wer noch SD Karten da nutzt

Ich . Alles, was performant sein muß, ist auf dem UFS, die Geräte haben, wenn man kein 32GB-Sparbrötchen kauft, genug Speicher für die Apps und Daten. Große und wachsende Daten wie Fotos, Videos, Musik sind bei mir auf der SD oder werden aus dem UFS dorthin verlagert.

Wie bei Windows. Das System darf sterben, Daten sind auf der Datenplatte.

War bei den letzten Umzügen Xiaomi>MotoG und Lenovo P11>P12 sehr praktisch. Einrichten, Übernahme der Apps und Daten des UFS und die anderen Daten sind schon auf SD und werden eingebunden. Nicht nur Apple macht clevere Sachen.

 

[PC295]

Kann nicht wirklich performant sein.

Die Geschwindigkeit reicht für Fotos, Videos, Musik, etc. vollkommen aus, auch wenn sie verschlüsselt ist.

 

[s1ave77]

Die Geschwindigkeit reicht für Fotos

Hab ich anders erlebt. GCAM-App und RAWs auf mittelperformanter SD schon ohne Verschlüsselung mit Kaffee-im-Stehen-Pause beim speichern. Wird verschlüsselt nicht besser.

Fällt nicht jedem auf, ist aber bemerkbar. Daher RAWs auf den UFS und die Standard-App darf die SD nutzen, die ist eh schlecht, da kann nichts mehr schaden. Da kann ich auch eine KI das Foto generieren lassen.

Ergänzung (13. Juli 2024)

Ist halt so; die Einbindung der SD in's System ist nicht umsonst gestorben. Als externer Datenträger brauchbar, das war's.

Ist halt auch aus Herstellersicht ein Problem. Der Käufer kauft ein teures Gerät, baut eine billige SD ein. Performance ist beim SD-Zugriff entsprechend, das System ist nicht 'performant' und man hat viel Geld ausgegeben. Wer ist Schuld (aus Sicht der meisten Kunden), der Hersteller, der sagte, das geht schon .

 

[PC295]

Mittlerweile verwende ich auch keine microSDs mehr.
Man musste damals auch schauen, welche man kauft, da gab es große Unterschiede bei den RW-Werten.

 

[s1ave77]

da gab es große Unterschiede bei den RW-Werten.

Bei den neuen UFS-Speichern ist, denke ich, der Unterschied in der Performance das Problem. Da liegen mittlerweile doch Welten zwischen UFS und SD. Zudem dürfe die direkte Anbindung des Ersteren, da den Ausschlag geben.

Jetzt müssen die Hersteller nur noch aufhören, über Upselling Geld zu schneiden. Enscheide dich richtig oder schau in die Röhre.

 

[bisy]

Weil hier immer wieder die Behauptung aufgestellt wurde, mit Android sei man einigermaßen sicher, da dies eine ausreichende Grundverschlüsselung mitbringe:

https://winfuture.de/news,144025.html

Okay, mitlerweile ist es in 40Min knackbar.
allerdings muss man auch dazu sagen, mit der aktuellen Software die das FBI hat, war das Samsung Smartphone nicht Knackbar, da hat sich das FBI die Zähne ausgebissen.

Erst mit Hilfe von Cellebrite und deren noch nicht offiziellen neuen Software, hat es geklappt.

Man sieht also, zumindest mit der aktuellen offiziellen Software war es also nicht möglich ein aktuelles Android Gerät zu Entsperren

 

[PC295]

Okay, mitlerweile ist es in 40Min knackbar.

So wie ich die Berichte verstehe, geht es dabei immernoch um Brute Force Angriffe.
Und die Möglichkeiten der Cellebrite-Technik, Key/Hash-Werte der Datenträger zu extrahieren um diese zu brute forcen.

Denn andere Wege wie Hintertüren oder Schwachstellen wären sicher in Sekunden ermittelt.

Jetzt weiß man ja nicht, wie gut das Smartphone geschützt war. Ich kann mir gut vorstellen, dass bei 40 Min. nur ein relativ einfaches Wisch-Muster oder PIN festgelegt war und die Technik nachwievor bei sicheren Passwörtern, die man festlegen kann, sich die Zähne ausbeißen wird.

 

[Marvolo]

allerdings muss man auch dazu sagen, mit der aktuellen Software die das FBI hat, war das Samsung Smartphone nicht Knackbar, da hat sich das FBI die Zähne ausgebissen.

Erst mit Hilfe von Cellebrite und deren noch nicht offiziellen neuen Software, hat es geklappt.

Die "aktuelle" Software war die neuste, verfügbare Version von Cellebrite. Die "noch nicht veröffentlichte" Version war einfach ein Update von Cellebrite, das wohl demnächst rauskommen wird, was sie dem FBI eben verfrüht zur Verfügung gestellt haben.

Alles in allem recht bedenklich - da sollte sich Samsung und andere Android-Hersteller mal gehörig Gedanken über ihr angebliches Sicherheitskonzept machen. Es geht hier nicht um Strafvereitelungen oder sowas - aber solange Straftäter dieselbe Hardware benutzen wie unbescholtene Bürger, haben deswegen unbescholtene Bürger nicht weniger das Recht auf maximale Sicherheit. Und wenn ein unbescholtener Bürger mal (verdient oder unverdient) ins Visier von IT-Forensiker kommt, dann sollen die es möglichst schwer haben. Datenschutz ist ein hohes Gut. Überwachungsstaat gab's in der DDR und auch heute noch in autoritären Staaten zuhauf.

Ergänzung (20. Juli 2024)

So wie ich die Berichte verstehe, geht es dabei immernoch um Brute Force Angriffe.
Und die Möglichkeiten der Cellebrite-Technik, Key/Hash-Werte der Datenträger zu extrahieren um diese zu brute forcen.

So wie ich den Bericht verstehe, waren der Schlüssel zum Erfolg letztlich "Zero-Days" bzw. allgemeine Schwachstellen im Code, weniger Brute Force.
Ich kann mir nicht vorstellen, dass man ein ausreichend starkes Passwort (10-20-stellig) einfach mal so in 40 Minuten knacken kann. Selbst ein Wischmuster hat fast unendlich viele Kombinationen. Da sollte man eigentlich mehrere Millionen Jahre brauchen, zumindest wird dieser Wert immer für AES-Verschlüsselungen angegeben.

Anscheinend ist es nach wie vor so, dass man nur mit Apple einigermaßen sicher ist, denn da versagt wohl tatsächlich die noch so fortgeschrittenste IT-Forensik.

 

[siggi%%44]

Selbst ein Wischmuster hat fast unendlich viele Kombinationen

Es sind 389.112 mögliche Kombinationen auf einem 3x3-Feld.
https://news.rub.de/presseinformati...id-Vorgaben sind,unten rechts enden zu lassen.

Da sollte man eigentlich mehrere Millionen Jahre brauchen, zumindest wird dieser Wert immer für AES-Verschlüsselungen angegeben.

Du brauchst diese Zeit um, eine 128-Bit-Verschlüsselung zu knacken, aber doch nicht für eine Brute Force-Attacke, um eine Displaysperre zu knacken. Das sind zwei völlig unterschiedliche Dinge.

So wie ich den Bericht verstehe, waren der Schlüssel zum Erfolg letztlich "Zero-Days" bzw. allgemeine Schwachstellen im Code, weniger Brute Force.

Das denke ich auch. Denn im Artikel steht, dass das FBI zuerst nicht weiterkam. Das lässt auf eine Brute Force-Attacke schließen, die erwartungsgemäß zu lange dauern würde. Erst nachdem Cellebrite kontaktiert und reagiert hatte, dauerte ein erneuter Versuch mit der inoffiziellen Software nur 40 Min., der so nur durch eine Sicherheitslücke realisiert werden kann.