Sam­sung Knox — Der nächs­te Spio­na­ge-Mei­len­stein mit Tech­nik von NSA und Cen­tri­fy?

Als Sam­sung vor eini­gen Mona­ten ins Gere­de kam, weil fast alle aktu­el­len Sam­sung-Gerä­te Daten zum ame­ri­ka­ni­schen Geheim­dienst über­tra­gen und eine Secu­ri­ty-Lücke im Andro­id-Betriebs­sys­tem besteht, glaub­ten Gut­men­schen und Gut­gläu­bi­ge viel­leicht noch an eine Pan­ne, ich glaub­te schon damals nicht an einen Zufall. Wir berich­te­ten sei­ner­zeit hier­über in den Bei­trä­gen Sam­sung bestä­tigt Sicher­heits­lü­cke bei Sam­sung Gala­xy S2, S3, S3 LTE, Gala­xy Note und Note 2, Note 10.1 und Gala­xy Tab Plus und Daten­schutz­skan­dal: Sam­sung Gala­xy S3 über­trägt Daten heim­lich zu ame­ri­ka­ni­schen Geheim­diens­ten.

Die sei­ner­zei­ti­gen Lücken mach­ten mich schon sehr skep­tisch gegen­über Sam­sung, Sam­sung Knox bestä­tigt mich zusätz­lich in mei­ner dama­li­gen Bewer­tung. Ich bewer­te­te die­se Vor­gän­ge vor drei Mona­ten in den oben ver­link­ten Bei­trä­gen wie folgt:

… hier­bei han­delt es sich nicht um einen Lausch­an­griff auf Sam­sung. Sam­sung gestat­tet oder unter­stützt den Lausch­an­griff mit höchs­ter Wahr­schein­lich­keit aktiv, denn dort arbei­ten nicht Dilet­tan­ten, die nicht wis­sen, was sie auf ihre Gerä­te instal­lie­ren. Im Gegen­teil!

Ich glau­be vor dem Hin­ter­grund von Voss’ Ent­de­ckun­gen nicht mehr an eine Sicher­heits­lü­cke. Ich glau­be statt des­sen mitt­ler­weile, dass dies kei­ne Sicher­heits­lü­cke son­dern eine Back­door für die ame­ri­ka­ni­schen Geheim­dienste und ande­re dubio­se Schnüff­ler ist.

Seit eini­gen Tagen ist das Inter­net voll von Berich­ten über Sam­sung Knox ohne dass sich 99 % der Autoren auch nur ansatz­wei­se Gedan­ken über das Kon­zept von Sam­sung Knox gemacht haben. Ein neu­es Bei­spiel für den Super-Jour­na­lis­mus, der die IT-Bran­che bedient.

Was ist Sam­sung Knox? Sam­sung Knox ist ein Kon­zept, das vor­gibt, den pri­va­ten und den geschäft­li­chen Bereich auf Sam­sung Andro­id-Gerä­ten sicher zu tren­nen. Sam­sung erklärt Knox auf der eige­nen Web­site ohne wirk­lich die Tech­no­lo­gie zu erklä­ren. Täten sie dies, wür­den sie vie­le Fra­gen auf­wer­fen!

Wäh­rend eini­ge Berich­te im Inter­net wenigs­tens recher­chiert haben, was sich hin­ter Secu­ri­ty Enhan­ced Andro­id (SE Andro­id) ver­birgt, habe ich nicht einen Bei­trag gefun­den, der das in Sam­sung Knox inte­grier­te Authen­ti­fi­zie­rungs­kon­zept auch nur recher­chiert hat.

Der Rei­he nach.

SE Andro­id ist ein von der Natio­nal Secu­ri­ty Agen­cy (NSA) ini­tier­tes und kon­trol­lier­tes Pro­jekt, das sub­til unter dem Label ‘Open Source’ im Inter­net Ver­trau­en erwe­cken soll. Die NSA ver­linkt auf ihrer eige­nen Web­site sub­til auf das ver­meint­li­che Open Source Pro­jekt und die SE Andro­id-Sei­te. Ganz unten auf der Sei­te fin­det man dann aber sehr ein­fach her­aus, wer im Pro­jekt wirk­lich das Sagen hat:

Ques­ti­ons about SE Andro­id may be direc­ted to the public sean­dro­id-list AT tycho​.nsa​.gov mai­ling list.

Auch in Euro­pa wer­den der­zeit vie­le Pro­jek­te im öffent­li­chen Bereich um Andro­id her­um gestal­tet. Aber kei­ne euro­päi­sche Regie­rung setzt ernst­haft auf die­sem wun­der­ba­ren Kon­zept der Ame­ri­ka­ner auf. War­um wohl?

Weil jede euro­päi­sche Regie­rung weiss, dass eine wesent­li­che Auf­ga­be der NSA Wirt­schafts­spio­na­ge ist, was Chris Ing­lis, Chef der NSA seit 2006, auf der Web­sei­te der NSA auch ganz unver­hoh­len zugibt:

NSA, of cour­se, is a signals intel­li­gence orga­ni­za­ti­on; we con­duct intel­li­gence by loo­king for the com­mu­ni­ca­ti­ons of our adver­s­a­ries. The second, and very important, dis­tinc­tion is that NSA is a for­eign intel­li­gence orga­ni­za­ti­on. The intel­li­gence that we are aut­ho­ri­zed to collect, and that we report on, is intel­li­gence that bears on for­eign adver­s­a­ries, for­eign thre­ats, more often than not, loca­ted the­re­fo­re in for­eign domains.

Im Klar­text: Wirt­schafts­spio­na­ge ist vor­nehms­te Auf­ga­be der NSA, um der in vie­len Berei­chen hoff­nungs­los rück­stän­di­gen ame­ri­ka­ni­schen Wirt­schaft den Anschluss zu wah­ren. Und aus ame­ri­ka­ni­scher Sicht sind alles Geg­ner (adver­s­a­ries) und Bedro­hun­gen (thre­ats), was Ame­ri­ka den tech­no­lo­gi­schen Anschluss ver­lie­ren läßt.

Die char­mant als Sin­gle-Sign-On-Lösung adres­sier­te Sei­te von Sam­sung Knox ist natür­lich auch nicht von Sam­sung ent­wi­ckelt wor­den — eige­ne Ide­en sind ja nicht unbe­dingt die Kern­kom­pe­tenz der Korea­ner. Die­ser Teil von Sam­sung Knox ist ein OEM-Bei­trag von Cen­tri­fy, einem ame­ri­ka­ni­schen Unter­neh­men, die hier­auf auch ganz stolz auf ihrem Stand in Bar­ce­lo­na und auf ihrer Web­site hin­wei­sen.

Ich habe mir eine Stun­de auf dem Stand von Cen­tri­fy in Bar­ce­lo­na Zeit genom­men, mir die Lösung erklä­ren zu las­sen, wobei dies auf der Web­sei­te auch ver­ständ­lich erfolgt. Ver­kürzt aus­ge­drückt betreibt Cen­tri­fy einen Sin­gle-Sign-On-Ser­vice in der Cloud, den Sam­sung für Sam­sung Knox nutzt. Dies bedeu­tet, dass ein Unter­neh­men mal eben sein kom­plet­tes Active Direc­to­ry in die Cloud eines ame­ri­ka­ni­schen oder korea­ni­schen Anbie­ters über­tra­gen muss, um Sam­sung Knox nut­zen zu kön­nen! Geht’s noch?

Die Inge­nieu­re von Cen­tri­fy fan­den dies aber total nor­mal. Mei­ne Fra­ge, ob man Cen­tri­fy auch inner­halb von Unter­neh­mens­struk­tu­ren betrei­ben kön­ne, stieß auf tota­les Unver­ständ­nis. Natür­lich geht das nicht, denn: „Nobo­dy needs this if you have it in the cloud!” Mir wur­de als groß­ar­ti­ge Alter­na­ti­ve mit­ge­teilt, dass Sam­sung viel­leicht den Netz­be­trei­bern ermög­li­chen wer­de, die Cen­tri­fy-Kom­po­nen­te von Sam­sung Knox in der Cloud des Netz­be­trei­bers zu betrei­ben. Na super! Das will doch jeder sicher­heits­ori­en­tier­te Anwen­der gern so haben — alle AD-Daten sei­nes Unter­neh­mens beim Netz­be­trei­ber! Von mög­li­chen /​wahr­schein­li­chen Back­doors in Cen­tri­fy ein­mal ganz abge­se­hen!

Ich hal­te Sam­sung Knox nicht für ein dum­mes Kon­zept. Ich hal­te es für ein gefähr­li­ches Kon­zept und sehe hier­in einen zen­tra­len Angriff ame­ri­ka­ni­scher und korea­ni­scher Behör­den (und viel­leicht noch von man­chem ande­rem Land) auf die Daten der Anwen­der von Sam­sung-Gerä­ten.

War­um?

Das Kon­zept aus sich her­aus mag sicher erschei­nen. Aber man muss wis­sen, dass Ver­schlüs­se­lun­gen > 56 Bit in den USA von den Her­stel­lern gegen­über den Behör­den offen­ge­legt wer­den müs­sen — die Gesetz­ge­bung, die auf den Patri­ot-Act-Ver­ord­nun­gen basiert, ver­langt genau dies. Und Cloud-Infra­struk­tu­ren ame­ri­ka­ni­scher Anbie­ter sind für ame­ri­ka­ni­sche Behör­den zu 100 % trans­pa­rent. Dies bedeu­tet im vor­lie­gen­den Fall, dass die Ver­schlüs­se­lung von Cen­tri­fy offen­ge­legt sein muss — ande­ren­falls dürf­te die Lösung nicht expor­tiert wer­den. Jedes AD-Pass­wort, dass in der Cen­tri­fy-Cloud oder auf einer Cen­tri­fy-Lösung lan­det, ist somit für unse­re ‘Freun­de’ von der NSA zu 100 % trans­pa­rent. So sehen schlüs­si­ge Kon­zep­te aus …

Ein letz­ter Hin­weis. Die Nut­zung von Sam­sung Knox dürf­te in Deutsch­land und Euro­pa vor dem Hin­ter­grund der gül­ti­gen Daten­schutz­ge­set­ze ille­gal sein. Die der­zei­ti­gen Ange­bo­te von Cen­tri­fy erfül­len nicht die erfor­der­li­chen Min­dest­stan­dards. Mei­ne Fra­ge nach einer Ver­ein­ba­rung zur Auf­trags­da­ten­ver­ar­bei­tung nach deut­schem Recht rief auf dem Cen­tri­fy-Stand nur Stau­nen her­vor — „Never heard.”

Mit mei­nem jet­zi­gen Kennt­nis­stand betrach­te ich Sam­sung Knox als poten­ti­ell gefähr­li­chen Angriffs­vek­tor auf die Daten von Unter­neh­men und als wei­te­ren Grund von der Nut­zung von Sam­sung-Gerä­ten abzu­ra­ten. Wer sie trotz­dem unbe­dingt nut­zen will kann dies ja tun — aber bit­te ohne Sam­sung Knox!

Wenn Sie ande­re Fra­gen zu mobi­len The­men haben, fra­gen Sie uns bit­te. Wir bera­ten vie­le Anwen­der aus Unter­neh­men und öffent­li­chem Dienst ganz­heit­lich zu mobi­len The­men — zukünf­tig gern auch Sie. Wenn Sie mei­nen, dass die­ser Bei­trag auch für Ihre Freun­de und Bekann­ten inter­es­sant ist, emp­feh­len Sie ihn bit­te auf Twit­ter, Face­book und Goog­le wei­ter. Wir bedan­ken uns im vor­aus dafür!


Ande­re inter­es­san­te Bei­trä­ge:
datomo Mobi­le Device Manage­ment (MDM) 3.11.8 — Unter­stüt­zung von Zer­ti­fi­ka­ten für Win­dows Pho­ne 8
Heu­te haben wir die aktu­el­le Ver­si­on 3.11.8 von datomo Mobi­le Device Manage­ment ver­öf­fent­licht. Von den neu­en Fea­tures her erscheint die­se Ver­si­on eher als klei­nes Minor-Update, doch dies ist nicht der Fall. Das Update lie­fert den neu­en Win­dows Pho­ne 8 Agent 2.0.0. Der neue Win­dows Pho­ne 8 Agent 2.…
Neue Reli­gi­on Bring Your Own Device (BYOD) — jetzt fehlt nur noch die Bild-Zei­tung mit Volks-BYOD!
Der Hype um Bring Your Own Device (BYOD) kennt kei­ne Gren­zen und deut­sche Web­sei­ten sind sich nicht zu scha­de, den BYOD-Blöd­sinn unre­flek­tiert wei­ter zu ver­brei­ten. Eines der vie­len Bei­spie­le für einen sol­chen Arti­kel fiel mir gera­de bei IT​-Busi​ness​.de auf: Mehr als nur „Bring Your Own Device“ Auc…
datomo MDM — Release 3.26 und 3.26.1 mit erwei­ter­ter iOS und Andro­id 7 Unter­stüt­zung
Die neu­es­ten Updates von datomo MDM sind bereits ver­öf­fent­licht, mitt­ler­wei­le befin­den wir uns bei den Ver­sio­nen 3.26. und 3.26.1. Ab sofort kön­nen die Gerä­te zusätz­lich über den QR-Code in datomo MDM ein­ge­bun­den wer­den. Dar­über hin­aus las­sen sich iOS-Gerä­te nun direkt über den Apple Kon­fi­gu­ra…
Bring Your Own Device – Geben Sie die Rich­tung vor! Die Regeln für BYOD soll­ten immer vom Unter­neh­men kom­men!
Laut einer Stu­die der West­fä­li­schen Wil­helm-Uni­ver­si­tät Müns­ter, For­schungs­grup­pe für Kom­mu­ni­ka­ti­ons- und Kol­la­bo­ra­ti­ons­ma­nage­ment aus dem Novem­ber 2012, bei der 216 Mit­ar­bei­ter aus Unter­neh­men zum The­ma der Nut­zung beruf­li­cher Emails auf pri­va­ten mobi­len End­ge­rä­ten befragt wur­den, wur­de ermit­telt, …
Mobi­le Device Manage­ment (MDM) und Win­dows Pho­ne 8
Ges­tern kam Win­dows Pho­ne 8 auf den Markt, was mei­nes Erach­tens für die mobi­le Sze­ne die glei­che Bedeu­tung hat wie Win­dows Pho­ne 7 und Win­dows Pho­ne 7.5 — schlicht kei­ne. Ich ent­sin­ne mich noch an den Mobi­le World Con­gress 2010, wo Micro­soft mit Rie­sen-Tam­tam auf Win­dows Pho­ne 7 hin­wies. Als die Ger…

4 Kommentare

Schreibe einen Kommentar»
  1. […] ange­sto­ßen, wir hat­ten hier­auf schon wäh­rend des MWC 2013 in unse­rem Bei­trag Sam­sung Knox — Der nächs­te Spio­na­ge-​Mei­len­stein mit Tech­nik von NSA und Cen­trify? hin­ge­wie­sen. Die NSA hat das Open Source Pro­jekt SEAn­droid an sich geris­sen und […]

  2. […] Leser ver­wei­sen wir aus­drück­lich auf unse­ren Bei­trag Sam­sung Knox — Der nächs­te Spio­na­ge-​Mei­len­stein mit Tech­nik von NSA und Cen­trify?, die dort getrof­fe­nen Aus­sa­gen gel­ten nach wie vor unein­ge­schränkt. Seit Anfang Mai […]

  3. […] Bei SE Andro­id (Secu­rity Enhan­ced Andro­id) haben sich die Schlapp­hüte von der NSA auch gar nicht mehr die Mühe gege­ben Ihre Kon­trolle zu ver­heim­li­chen und haben gleich das gan­ze als Open Source getarn­te Pro­jekt kom­plett an sich geris­sen, wir berich­te­ten im Bei­trag Sam­sung Knox — Der nächs­te Spio­na­ge-​Mei­len­stein mit Tech­nik von NSA und Cen­trify?. […]

  4. […] gegen­über Sam­sung in die­sem Bei­trag nicht wie­der­fin­den, sei gesagt: Die im Bei­trag Sam­sung Knox — Der nächs­te Spio­na­ge-​Mei­len­stein mit Tech­nik von NSA und Cen­trify? geschil­der­ten Pro­bleme beste­hen unver­min­dert wei­ter. Doch die gute Nach­richt ist, […]

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Ich akzeptiere

Geben Sie bitte das Ergebnis ein: * Time limit is exhausted. Please reload CAPTCHA.