Er alle mobiltelefoner usikre?

[Toddvarg]

Jeg læste nogle artikler om baseband og det virker ikke som om det er nogen sikkerhed på min mobil i det hele taget. I følge han her http://www.osnews.com/story/27416/The_second_operating_system_hiding_in_every_mobile_phone så er det en kæmpebagdør i alle mobiler, hvis jeg har forstået det korrekt.

What makes it even worse, is that every baseband processor inherently trusts whatever data it receives from a base station (e.g. in a cell tower). Nothing is checked, everything is automatically trusted. Lastly, the baseband processor is usually the master processor, whereas the application processor (which runs the mobile operating system) is the slave.

Udfra min forståelse af dette her, så betyder det intet hvor sikkert ens OS er, hvis den i mobilen fungere som slave og at master styresystemet er usikkert. Og det virker ikke som om ubuntu touch bliver helt open source heller, specielt ikke i forhold til baseband, hvor med den bliver lige så usikker som alle andre mobiler http://bytegeist.firedoglake.com/2014/03/21/new-ubuntu-phone-operating-system-will-be-open-but-baseband-will-be-closed/. Jeg håber at nogen kan sige at jeg har misforstået det hele og at alt er ok

[NickyThomassen]

Nope, du ser ud til at have forstået det.

Jeg svarede i en lignende tråd i går:
https://ubuntudanmark.dk/forum/viewtopic.php?f=12&t=18572

Problemet er ikke begrænset til mobiler, som snakken går på nu, men alt som har lukket kilde software / hardware, der kan påvirke systemet som helhed. Så alt med WiFi og andre trådløse enheder, systemer med "hjælpeprocessorer", systemer med BIOS / UEFI software, systemer som bruger lukkede drivere..... De fleste chips som giver kablet netværk, indeholder også kode der ikke kan revideres.

Selv ikke en RaspBerryPi er fri for at have en skjult CPU: Den core man kører på, skal startes af den "virkelige" CPU og koden dertil er hemmelig.

http://www.version2.dk/blog/emp-embedded-malware-processor-56194

De gode gamle dage er forbi; så vidt jeg ved, er det ikke muligt at omgå det her problem, hvis man vil snakke i mobiltelefon eller bruge internettet. Snakken om nysgerrige stater og deres efterretningstjenester fjerner jo desværre fokus fra de egentlige problemer, og rykker den et sted hen hvor de ikke kan løses. Jeg er sikker på at staterne har det fint med det.

[lath]

Nope, du ser ud til at have forstået det.

Jeg svarede i en lignende tråd i går:
https://ubuntudanmark.dk/forum/viewtopic.php?f=12&t=18572

Problemet er ikke begrænset til mobiler, som snakken går på nu, men alt som har lukket kilde software / hardware, der kan påvirke systemet som helhed. Så alt med WiFi og andre trådløse enheder, systemer med "hjælpeprocessorer", systemer med BIOS / UEFI software, systemer som bruger lukkede drivere..... De fleste chips som giver kablet netværk, indeholder også kode der ikke kan revideres.

Selv ikke en RaspBerryPi er fri for at have en skjult CPU: Den core man kører på, skal startes af den "virkelige" CPU og koden dertil er hemmelig.

http://www.version2.dk/blog/emp-embedded-malware-processor-56194

De gode gamle dage er forbi; så vidt jeg ved, er det ikke muligt at omgå det her problem, hvis man vil snakke i mobiltelefon eller bruge internettet. Snakken om nysgerrige stater og deres efterretningstjenester fjerner jo desværre fokus fra de egentlige problemer, og rykker den et sted hen hvor de ikke kan løses. Jeg er sikker på at staterne har det fint med det.

Jeg kan fortælle at baseband CPUen og det program den kører giver alle muligheder for at lave en bagdør.

Jeg har en beskadiget Samsung Galaxy S2 (kom til at tabe den i regnvejr), som kun virker hvis man med en anden mobil deaktiverer SIM koden for det SIM kort der skal sidde i S2'eren.
Fjerner man ikke SIM koden, så sker der det at Android styresystemet, som kører på hovedprocessoren, i en endeløs løkke genstarter indtil den løber tør for strøm, så snart man har indtastet PIN koden.
Den slags kan - med den viden jeg nu engang har om indlejrede systemer (jeg er ingeniør med specialisering i indlejrede systemer) - kun ske hvis der er knas i kommunikationen med baseband processoren eller processoren i SIM-kortet.

Jeg er ret sikker på at baseband processoren sender et hardware* reset-signal til hovedprocessoren sådan at hovedprocessoren rebooter/genstarter, fordi PIN kode-delen ikke virker (SIM kortet indeholder en simpel CPU, der snakker med baseband CPUen, som så snakker med hoved-CPUen).

*: et signal via en elektrisk leder/ledning.

/Lars

[AJenbo]

så vidt jeg ved, er det ikke muligt at omgå det her problem, hvis man vil snakke i mobiltelefon eller bruge internettet.

Det er ikke umuligt men man skal være meget omhyggelig med valg af hardware og nogle gange lave lidt ændringer før det er på plads.

[Kurt Christensen]

Er det et reelt problem eller et kommende problem eller bare noget man skal være klar over?
Jeg er jo lidt ligeglad med om andre aflytter mine samtaler med moster Oda, men mere bekymret hvis de hæver mine penge fra min konto.

[AJenbo]

Tror det er noget man skal være klar over, og måske lidt utilfreds med. Problemet er at dem der styre telefonnettet ønsker at styre det 100%, og vi vil gerne styre vores telefoner 100%. Løsningen ville være at have en meget klar definition af hvordan kommunikationen mellem telefonen og netværket skal fungere, men det har telefon selvskaberne ikke lyst til at bruge ressourcer på at definere.

[thj01]

You have no privacy - get over it (1999)

http://en.wikipedia.org/wiki/Scott_McNealy

[Toddvarg]

Er det et reelt problem eller et kommende problem eller bare noget man skal være klar over?
Jeg er jo lidt ligeglad med om andre aflytter mine samtaler med moster Oda, men mere bekymret hvis de hæver mine penge fra min konto.

Jeg ved godt at privat liv er en by i Rusland, men som Kurt siger, jeg er mere bekymret for om det er sikkert at bruge bank app, hvis bagdøren er så stor som de siger i artikkelen som jeg henviser til i begyndelsen. Men måske er det det samme problem på pc'er, så som Poul Kemp siger. Men det betyder jo at det er en illusion at open source er mere sikkert, så længe ikke alt hardware er open source.

[AJenbo]

Det kan stadig være mere sikkert, men ikke helt sikkert. Jo færre dele der er under din kontrol jo flere beskidte fingre kan der værre inde i dit system og jo flere af dem kan måske brydes ind i af ude fra kommende.
Din bank app kan måske tilgås af dem der styre dit mobil netværk, men dit besøg til dr.dk kan følges af hvem som helst der er på samme Wifi eller mellem dig og serveren.

[gtr]

http://neo900.org/
http://indiephone.eu/

Neo900 forsøger at lave en open hardware og open software telefon.
De siger, at mht telefonens microcode kan de ikke opnå det helt.
De vil forsøge at lave en sandbox løsning, der skal modarbejde, at microcoden kan
gå ind i os'en.

Som jeg husker det, siger Jacob Appelbaum om telefoners microcode og bundkorts trusted platform module,
at vi ikke ved, om de kan bruges som bagdøre. Men alene det at vi ikke ved det, er uacceptabelt.