Android back-up stuurt WiFi-wachtwoord naar Google
Android-gebruikers die online een back-up van hun gegevens maken sturen ook hun WiFi-wachtwoorden naar Google. De "Backup my data' optie op Android-tablets en smartphones bevat onder andere WiFi-wachtwoorden in platte tekst. Iets wat al geruime tijd bekend is, maar in het licht van recente onthullingen over de praktijken van de NSA sommige bedrijven niet lekker zal zitten.
De back-upfunctie staat op Nexus-toestellen standaard ingeschakeld, zonder dat er een wachtwoord of andere gegevens vereist zijn. Het Duitse Heise deed een test waarbij het de fabrieksinstellingen van een toestel terugzette en daarna met een Google-account synchroniseerde. Het apparaat wist meteen met het testnetwerk verbinding te maken.
Spionage
Iedereen met toegang tot een Google-account heeft vervolgens ook toegang tot de opgeslagen WiFi-wachtwoorden, zo concluderen de Duitse onderzoekers. "Gegeven dat Google een database van WiFi-netwerken over de hele wereld beheert voor positiebepalingen, is dit op zich reden tot zorgen, aangezien de back-up betekent dat het ook de wachtwoorden voor deze netwerken heeft."
"Gezien hoe genereus Google gegevens met de NSA deelt, is dit nog verontrustender", gaan de onderzoekers verder. "De NSA beperkt zichzelf niet tot het bestrijden van terrorisme, maar is ook betrokken bij industriële spionage." De onderzoekers waarschuwen dat het wachtwoord-lek vooral voor bedrijven gevolgen kan hebben.
Inmiddels hebben sommige Duitse universiteiten maatregelen genomen en stellen dat het verboden voor gebruikers is om wachtwoorden naar derde partijen door te sturen, zelfs als dit automatisch gebeurt.
Met dank aan Henk voor de tip
Het idee dat google de inhoud van alles wat in die backup zit indexeert en wat dat precies inhoudt dringt gewoon niet door bij merendeel van de mensen.
Het idee dat google de inhoud van alles wat in die backup zit indexeert en wat dat precies inhoudt dringt gewoon niet door bij merendeel van de mensen.
Vooral als de NSA extra interesse heeft in een bepaald bedrijf dan hoeven ze alleen maar een busje voor de deur te zetten.
Ik denk dat je het beveiligingsniveau en bewustzijn van de 'burgers' zwaar overschat. Ik zet niet op elke server in mijn eigen LAN een wachtwoord. Ik kijk wel uit. Kan ik om de haverklap opdraven omdat vrouw of kinderen niet kunnen printen of video kijken. Dus toegang tot Wifi is min of meer toegang tot LAN en alles wat daar aan vast hangt. En ik zal niet de enige zijn - ik kan me niet voorstellen dat Henk en Ingrid hun windows shares netjes met een wachtwoord beveiligen...
Hoe wil men zo'n verbod handhaven, wanneer de wachtwoorden automatisch worden doorgestuurd ? Moet de gebruiker de programmatuur gaan aanpassen ofzo ? Verder klinkt dit als het neerleggen van de verantwoording bij de gebruiker, i.p.v. het zorgen voor de juiste controls om dit soort zaken te voorkomen.
Dat het in platte tekst word opgeslagen, dat is dan wel nieuw. Het is een aandachtspuntje, maar niet echt een rampscenario ofzo.
Indien de backupgegevens, inclusief de vermaledijde wifi wachtwoorden, over een onversleutelde verbinding naar Google zouden worden verstuurd is er een risico dat onbevoegden anders dan Google daarvan kennis nemen, maar vziw is die verbinding versleuteld.
Pas indien ook de gegevens zelf onversleuteld (ongeacht of de verbinding versleuteld is) naar Google worden verstuurd kan die daar in potentie bij. Indien Google de gegevens dan ook nog eens onversleuteld op zou slaan, bestaat er een kans dat bij een (niet zeer waarschijnlijke) inbreuk op de beveiliging bij Google onbevoegde derden bij de gegevens kunnen.
Mogelijk zijn de gegevens op de telefoon, althans de gevoelige daarvan, al versleuteld met een van het wachtwoord voor het Google account afgeleide sleutel en dan kan Google wanneer die van de account wachtwoorden alleen (salted) hashes opslaat zelf ook niet bij die gegevens. Dit zou de koninklijke weg zijn.
Vaak is Google wel netjes, dus ... een goede vraag is hoe de backup dienst werkelijk werkt alvorens te oordelen en te veroordelen. Van Google dat in potentie veel kwaad kan doen zijn nauwelijks gedragingen bekend die zondermeer het bedrijf in een kwaad daglicht zetten. Het is dus wel oppassen geblazen, maar anders dan Microsoft vertoont Google weinig gedragingen die zondermeer als kwalijk of boeverig kunnen worden betiteld (zie groklaw.org).
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
