De onderzoeker die dit weekend de op privacy- en security-gerichte Blackphone wist te rooten zegt dat zijn aanval niet in het echt toepasbaar is, daarnaast had hij meer dan de 5 minuten nodig zoals door verschillende websites werd gemeld. Dat laat Justin Case tegenover ThreatPost weten.

De Blackphone is een nieuwe smartphone die veiligheid en privacy voorop stelt. Het toestel is door het Amerikaanse Silent Circle en het Spaanse Geeksphone ontwikkeld. Als besturingssysteem gebruikt de Blackphone het op Android-gebaseerde PrivatOS. Standaard wordt het toestel met allerlei privacy-applicaties geleverd die de gebruiker meer controle over zijn communicatie moeten geven. KPN zal de telefoon naar alle waarschijnlijkheid later dit jaar aanbieden.

Toepasbaarheid

De "hack" van de beveiligde smartphone leverde dan ook veel media-aandacht op, maar kan alleen in zeer bijzondere omstandigheden worden uitgevoerd en is volgens de onderzoeker dan ook niet toepasbaar in het echt. "Je moet een zeer bijzondere Blackphone-gebruiker vinden die zijn telefoon niet updatet, geen encryptie gebruikt, dan zijn telefoon stelen en de pincode uit hem slaan en dan de kennis en tools hebben om de aanval uit te voeren", aldus Case.

De onderzoeker maakte zijn aanval zaterdag via Twitter bekend. Hij meldde dat hij de Android Debug Bridge (ADB) had weten in te schakelen zonder eerst de bootloader te ontgrendelen. Daarbij had drie lekken gebruikt om het toestel te rooten. Fabrikant SGP Technologies liet vervolgens weten dat de ADB-bug geen lek was en dat het vanwege een andere bug was uitgeschakeld, wat voor vertraging in de productie had kunnen zorgen. Daarom was er besloten ADB uit te laten en met een toekomstige update weer in te schakelen.

Volgens de fabrikant is het uitschakelen van ADB geen beveiligingsmaatregel. Het tweede probleem dat Case ontdekte, een lek in PrivatOS, was al gepatcht. Het lek was ook al door een andere onderzoeker ontdekt en aan de ontwikkelaars gerapporteerd. Case werkte echter met een oudere versie, omdat hij zijn toestel tijdens de Defcon hackerconferentie niet via het aanwezige wifi-netwerk wilde updaten.

Alleen het derde lek, waardoor een kwaadaardige app die eerst geïnstalleerd moet worden de rechten kan verhogen, is nieuw. Dit lek vereist echter twee andere lekken om gebruikt te kunnen worden. Daarnaast moet de code al door een gebruiker met verhoogde rechten worden uitgevoerd om van systeemrechten naar rootrechten te gaan. Case hekelt dan ook de hype die rondom zijn onderzoek is ontstaan, hoewel hij ook erkent dat grote ecosystemen zoals Android veel aandacht krijgen, onder andere van beveiligingsonderzoekers zoals hemzelf.