image

Samsung Galaxy S3 bewaart wachtwoorden in platte tekst

dinsdag 13 november 2012, 15:31 door Redactie, 10 reacties

De Samsung Galaxy S3 bewaart wachtwoorden in platte tekst wat een potentieel beveiligingsrisico is, zo ontdekte een ontwikkelaar en forumbeheerder van XDA. Op een geroote Samsung Galaxy S3 ontdekte 'graffixnyc' dat opgeslagen wachtwoorden niet versleuteld zijn. Het probleem bevindt zich in de Samsung S-Memo SQLite bestanden.

Root
Normaliter zijn deze bestanden niet voor gebruikers toegankelijk, maar dat is niet het geval als iemand rootrechten heeft. En dat is volgens graffixnyc een risico, omdat iedereen met fysieke toegang tot de telefoon de wachtwoorden kan inzien. Hoewel het probleem alleen geroote telefoons raakt, stelt de ontdekker dat Samsung de wachtwoorden versleuteld had moeten opslaan.

"Zodra een app rootrechten heeft is het voorbij. Je moet vertrouwen dat de app dit verstandig gebruikt. En vertrouw me, veel root-apps zijn onveilig. Dat is precies de reden dat ik geen root-apps draai zonder ze eerst zelf te controleren", zegt ontwikkelaar Jcase. Hij zou inmiddels de ontwikkelaars hebben geïnformeerd die het probleem kunnen oplossen.

Reacties (10)
13-11-2012, 15:51 door Anoniem
Ben blij met m'n HTC One X! :)
13-11-2012, 16:01 door Anoniem
Jaja en erna komen klagen dat de sleutel in geheugen opgeslagen zit of voor root toegankelijk is.
Je kan je eigen disk alvast encrypteren, al baat dat natuurlijk niet als iemand anders jouw lopende telefoon root.
13-11-2012, 16:55 door Anoniem
Vraag me af of dit 'probleem' zich dan ook bij voorgaande toestellen(zoals de S2, S+ etc.) voordoet.
13-11-2012, 17:02 door Anoniem
Is hier een offensief begonnen tegen Android ofzo? Jemig.

Daarnaast: In Android 4.2 zit SE Linux, als Samsung daarop overgaat, kan ook root het niet.
13-11-2012, 20:36 door Anoniem
Alle systemen die wachtwoorden kunnen opslaan voor later gebruik op een website of een POP account oid hebben dit probleem. Dus of dat nou nieuws is?
Sommigen camoufleren het wel, maar dit is altijd een omkeerbare encryptie waarvan de key locaal bekend is.
Dat voegt dus niks toe verder.
14-11-2012, 00:45 door Anoniem
Persoonlijk gezegd hebt ik het niet zo op HTC telefoons.

Link: https://tweakers.net/nieuws/76517/htc-voegt-spionage-tool-toe-aan.html

Trixinet
14-11-2012, 08:48 door Fabian76
Als je je telefoon root moet je niet de illusie hebben dat je nog helemaal veilig bent maar om nu de wachtwoorden in platte tekst op te slaan is gewoon vragen om problemen.
14-11-2012, 11:40 door Anoniem
Okidokie, zijn de apps SuperSU en Root Checker Basic hierdoor onveilig en zouden deze verwijderd moeten worden?

Is het zo, dat door de update naar JB, je telefoon niet meer automatisch geroot is?

Gr.

Huub Nroot
14-11-2012, 12:18 door sloepie
@Fabian76 Daar heb je nu zulke prachtige tools al SuperSu voor. Met SuperSu kan je voor iedere app bepalen of je daar al dan niet root rechten aan verleent. Met de Pro versie kan je je root rechten, net als in Linux, ook nog eens met een password beveiligen. De pro versie kost €2,39 Waarom zou je voor dit luttele bedrag nog enig risico willen lopen?

Het voordeel van rooten is immers dat je o.a. dat je met programma's als LBE ook de spionage activiteiten van de o.a. door Samsung op je GS3 system apps uit kan schakelen.
Waar is het in vredesnaam voor nodig dat bijvoorbeeld de acu weather widget, die default op alle SG3 startschermen staat geïnstalleerd, toegang nodig heeft tot je bel geschiedenis en je adresbestanden?
Het wordt niet zo genoemd, maar wat mij betreft is ook dat, pure malware. En het barst op de SG3 van dat soort system apps. En dan hebben we het helemaal nog niet gehad over dit soort malware dat de gebruiker zelf ook nog op zijn toestel installeert.

De keuze is voor mij dan ook heel simpel. Rooten en een app als SuperSu installeren.

P.S. LBE werkt niet meer op Jelly Bean. Voor Jelly Bean is er momenteel alleen de nieuw ontwikkelde
LBE security Master in het Chinees beschikbaar. Iemand heeft daar echter Google translate op losgelaten en dat is wonderwel uitstekend vertaald. zie http://forum.xda-developers.com/showthread.php?t=1325786 en

En ja ik weet dat LBE closed source is en ook nog eens Chinees. Je weet dus ook niet wat LBE zelf allemaal uitspookt. Pdroid zou een betere oplossing zijn, maar het lukt me maar niet dat (werkend) te installeren.
Ik ben echter al dat gegraai van al die apps in mijn data meer dan zat. Dan maar LBE gebruiken en hopen dat die zich een beetje inhoudt. En verder maar wachten tot Pdroid ook voor de SG3 beschikbaar wordt gemaakt.
14-11-2012, 12:25 door sloepie
@Anoniem 11:40 Met Supersu kan je juist voorkomen dat apps rootrechten gebruiken waarvan je niet wil dat ze rootrechten hebben.
Je moet dan natuurlijk wel zeker weten dat Supersu te vertrouwen is, maar daar twijfel ik niet zozeer aan gezien de reputatie van Chainfire.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.