Wie niet half dementerend een donkerblauw looprekje voortduwt of net uit het ei is gekropen, bezit ongetwijfeld een smartphone. De rechthoekige aai-glazen worden zowel bij intieme aangelegenheden als grote evenementen massaal uit de broekzak getrokken. Als verstokte eigenaar van twee klassieke Nokia's (post-koelkastmodel) voelde ik mij in de vaart der volkeren meegezogen en besloot dat het tijd was voor een slimmere telefoon. Daarnaast is het vanuit een security standpunt natuurlijk verstandig om te zien waar de komende jaren de "actie" zal plaatsvinden en dat is volgens de verkondigers van het mobiele malware-evangelie ongetwijfeld de smartphone.

Als security-bewuste consument is het eerst de uitdaging om een geschikte telefoon te vinden. De zoektocht begon bij het platform. Apple heeft met de iPhone de trend gezet, maar de digitale gevangenis van wijlen Steve Jobs voelt te beklemmend. Het is Apple dat de ervaring bepaalt en als consument ben ik overgeleverd aan wat wel en niet in de app-store wordt toegelaten. Het is allesbehalve een open platform, zowel qua vrijheid als beleving. In dat opzicht is een smartphone allesbehalve een pc, zoals vaak gezegd wordt. Wat Apple wel aardig doet is het uitbrengen van updates en zorgen dat die voor de meeste telefoons beschikbaar zijn. Een belangrijk criterium om een smartphone op te selecteren.

Dit is echter een ander verhaal met Google Android. Talloze verschillende toestellen en fabrikanten, die als het hen uitkomt, wat meestal niet het geval is, beveiligingsupdates uitbrengen. Het komt echter voor dat sommige modellen die in de winkel liggen al geen updates meer ontvangen. Voor alle app-verslaafden zijn die telefoons een absolute no-go. Het installeren van een app op een kwetsbare Android telefoon is hetzelfde als het openen van een .exe die je via de e-mail hebt ontvangen. Vroeger of later gaat het een keer mis. Vorig jaar is het meerdere keren gebeurd dat er apps verschenen die de lekken in Android smartphones misbruikten. Gebruikers dachten een onschuldige app te installeren, maar via de kwetsbaarheden op hun ongepatchte mobiel kon de app het toestel volledig overnemen, en dan is het bonanza voor de mobiele cybercrimineel.

Toch is Android het platform waar ook security en privacy-apps op verschijnen en waar de meeste gebruikers zich inmiddels op begeven. Het moest dus een Android worden, maar wel eentje die op updates kon rekenen en waar het liefst ook security en privacy-apps voor beschikbaar zijn. De keuze viel op de Goolge Nexus S. Betaalbaar, ondersteund door Google, dus updates zouden geen probleem moeten zijn, maar het allerbelangrijkste, security.

De bekende beveiligingsonder Moxie Marlinspike, die wel iets weg heeft van een blanke Bob Marley, ontwikkelde namelijk WhisperCore. Een veilige versie van het Android besturingssysteem. WhisperCore biedt volledige versleuteling van de smartphone en bevat daarnaast een firewall. Het enige nadeel is dat het systeem alleen op Google Nexus One en Nexus S modellen werkt.

De encryptie was voor mij de grootste lokker, net als mijn laptops is het logisch om een telefoon met persoonlijke gegevens te versleutelen. De encryptie werkt echter alleen als de telefoon is uitgeschakeld. Bij het opstarten van de mobiel moet een passphrase worden opgegeven. Dit houdt bemoeizuchtige douanebeambten, smartphonedieven of jaloerse ex-en op afstand. Het idee van een telefoon is nog altijd dat die aan staat, zodat anderen je kunnen bellen. De verborgen waarde van WhisperCore werd de firewall. In tegenstelling tot bijvoorbeeld Windows, waar firewalls traditioneel tegen inkomend verkeer beschermden, houdt de WhisperCore firewall uitgaand verkeer tegen. Mijn Nexus had de vervelende neiging om continu contact op te nemen met Google, via allerlei diensten die ik niet gebruikte en zelfs had uitgeschakeld.

Ook tijdens het internetten werden continu allerlei URLs en locaties aangeroepen waar ik niet om had gevraagd. Door de firewall moest ik bij een doorsnee website wel 20 keer iets toestaan of verbieden voordat de pagina geladen werd. Vervelend, maar het maakt duidelijk dat de smartphone werkelijk een privacyvergiet is. Nu is privacy toch al een ondergeschoven kindje. De Firefox-versie voor het platform is veel minder uitgebreid dan de desktopversie, zowel qua instellingen als plugins. Daarnaast blijkt WhisperCore door een bug niet met Firefox te werken, waardoor ik gedwongen ben om de standaard Android-browser te gebruiken, wat toch geen fijn gevoel is. Zeker nu Google heeft aangekondigd dat het gegevens van inlogde gebruikers gaat consolideren tot één profiel, en daar vallen Android-gebruikers ook onder, aangezien die bijna altijd zijn ingelogd..

Pinguïn
Tot mijn grote vreugde las ik dat Linux naar de smartphone komt. Tux en ik zijn op de desktop nooit goede vrienden geworden. Na twee kleine decennia Windows, heb ik de overstap naar de vriendelijke pinguïn nooit kunnen maken.

Toch wil ik Tux op de smartphone zeker een kans geven. Tux staat volgens experts en gebruikers voor openheid, maar ook security en privacy. Precies wat ik in een smartphone zoek. De enig beer op de weg is dat deze Tux-versie door Samsung ontwikkeld wordt. En zodra het bedrijfsleven zich met de smartphone bemoeit, komt het belang van de gebruiker niet op de eerste plaats.

En daardoor zit ik nu in een spagaat. WhisperSystems is door Twitter overgenomen en op de website niet meer te downloaden. Nu bestaat de kans dat het systeem weer terugkomt, voorlopig zit ik echter zonder updates. Een andere optie is bijvoorbeeld Cyanogenmod. Maar wie garandeert dat deze versie goed getest is en geen beveiligingslekken bevat?

Ik wil een mobiel besturingssysteem van organisaties zoals Ubuntu of Mozilla, of desnoods van Linus Torvals himself, waar integriteit en gebruikersbelangen voorop staan. Zeker nu waar de Googles van deze wereld de consument als een privacyspons zien die ze zover mogelijk kunnen, en zich ook laat, uitknijpen. Wat dat betreft is het in deze tijd nog lang niet zo gek om zonder smartphone, half dementerend een blauw looprekje aan te duwen.

Joran Polak - Hoofdredacteur Security.nl