Expert: smartphone-encryptie is wassen neus
Deze week ontstond enige ophef omdat Google ondanks eerdere uitspraken het niet verplicht stelt dat Android-toestellen met het Lollipop-besturingssysteem standaard versleuteld zijn, maar volgens één expert maakt dit niet zoveel uit. "Volledige schijfversleuteling is zinloos en een gevaarlijk placebo, tenzij je de encryptiesleutel beheert, in de vorm van een sterk wachtwoord, een sleutelhanger of iets soortgelijks", zegt Patrick Nielsen, onderzoeker bij Kaspersky Lab.
"Als de encryptie in het product is ingebouwd dat je gebruikt: telefoon, laptop, Amazon S3 bucket of wat dan ook, dan is encryptie in principe zinloos, en geeft alleen een vals gevoel van veiligheid. Encryptie op legerniveau heeft weinig zin als een aanvaller toegang tot de sleutel heeft." Op smartphones is het helemaal een probleem, omdat een hardware-token niet te gebruiken is en wachtwoorden die complex genoeg zijn om als encryptiewachtwoord te dienen te lang zijn om op een smartphone in te typen.
"Daarnaast zou het één ding zijn als Android vereist dat je een sterk wachtwoord of passphrase gebruikt bij het opstarten van het toestel, maar voor één of andere absurde reden vereisen ze ook dat je hetzelfde wachtwoord gebruikt voor het vergrendelen van je scherm, ook al biedt dit geen veiligheid", laat Nielsen tegenover ThreatPost weten. Als Google dit zou veranderen zou het volgens hem een "nobel streven" zijn om volledige schijfencryptie in te schakelen.
De onderzoeker vreest echter weerstand van fabrikanten die dit helemaal niet willen, omdat mensen continu hun wachtwoorden zouden vergeten. Hoewel Google in een document dat eerder dit jaar verscheen aangaf dat encryptie nu niet verplicht is, werden fabrikanten wel geadviseerd dit in te schakelen. Daarnaast liet de internetgigant weten dat het standaard versleutelen van toestellen in toekomstige Androidversies wel verplicht zal worden.
Biometrische gegevens voor authenticatie is niet slim. Deze kun je niet wijzigen als ze gestolen worden. Dus je kunt dan 10 keer je ww veranderen, want je hebt 10 vingers. En dan houd het op. Dus dit is in mijn ogen nog slechter.
Irisscan, twee keer en dan houd het op. Meer ogen heb je niet.
Het is al aangetoond, dat je met een foto camera zeer goede namaak vinger afdrukken kunt maken, die ook nog werken...
http://www.theregister.co.uk/2008/03/30/german_interior_minister_fingerprint_appropriated/
TheYOSH
Als je een lange onhandige passphrase moet invoeren voor de encryptie en je moet deze ook iedere keer invoeren om op te kunnen nemen als je gebeld wordt, dan vrees ik dat er heel wat CRA gaat optreden.
Even met je vingerafdruk aanmelden op de smartphone is gebruikersvriendelijker en veiliger dan geen bescherming.
Ja, vingerafdrukken zijn makkelijk te achterhalen en na te maken. Maar dan moet je wel bijhouden welke vingerafdruk bij welk toestel hoort anders ben je nog wel een tijd bezig.
Bij een gerichte aanval op een specifieke gebruiker is dat te doen, als het gewoon om simpele diefstal van een mobieltje gaat dan denk ik dat men niet de moeite neemt. Resetten en verkopen is dan het motto.
Het is dus altijd de vraag welk niveau van beveiliging je zoekt en waartegen, tegen diefstal van je mobieltje (waarbij je wel zeker wilt stellen dat je data niet op straat komt) of tegen diefstal van je data zelf.
Het blijft een heel gedoe, als je geen enkele leverancier echt vertrouwt en toch zelf geen chipfabriekje hebt staan noch cryptoalgoritmes kan ontwerpen en testen.
Biometrische gegevens voor authenticatie is niet slim. Deze kun je niet wijzigen als ze gestolen worden. Dus je kunt dan 10 keer je ww veranderen, want je hebt 10 vingers. En dan houd het op. Dus dit is in mijn ogen nog slechter.
Irisscan, twee keer en dan houd het op. Meer ogen heb je niet.
Het is al aangetoond, dat je met een foto camera zeer goede namaak vinger afdrukken kunt maken, die ook nog werken...
http://www.theregister.co.uk/2008/03/30/german_interior_minister_fingerprint_appropriated/
TheYOSH
Biometrische gegevens voor authenticatie is niet slim. Deze kun je niet wijzigen als ze gestolen worden. Dus je kunt dan 10 keer je ww veranderen, want je hebt 10 vingers. En dan houd het op. Dus dit is in mijn ogen nog slechter.
Irisscan, twee keer en dan houd het op. Meer ogen heb je niet.
Het is al aangetoond, dat je met een foto camera zeer goede namaak vinger afdrukken kunt maken, die ook nog werken...
http://www.theregister.co.uk/2008/03/30/german_interior_minister_fingerprint_appropriated/
TheYOSH
met een wachtwoord kan je je beroepen op je vergeetachtigheid, echter bij het niet afgeven gelden tegenwoordig ook standaard straffen van 2 jaar gevangenis..
Ik denk dat dit echt te kort door de bocht is. Hopelijk geef je dit soort adviezen niet in professionele context.
Los daarvan, als je geboot bent, en een Samsung backdoor hebt (die storage via FOTA aanspreekbaar maakte), dan wat is het werkelijke nut van encryptie?
En; als je vervolgens een MicroSD kaartje gebruikt; blijft die nog altijd unencrypted.
Ik ben nog steeds geen encryptie expert, maar eh (....).
Biometrische gegevens voor authenticatie is niet slim. Deze kun je niet wijzigen als ze gestolen worden. Dus je kunt dan 10 keer je ww veranderen, want je hebt 10 vingers. En dan houd het op. Dus dit is in mijn ogen nog slechter.
Irisscan, twee keer en dan houd het op. Meer ogen heb je niet.
Het is al aangetoond, dat je met een foto camera zeer goede namaak vinger afdrukken kunt maken, die ook nog werken...
http://www.theregister.co.uk/2008/03/30/german_interior_minister_fingerprint_appropriated/
TheYOSH
Sterker nog, als je verdachte bent kan je biometrische informatie gewoon geclaimd worden voor onderzoek; die valt volgens het Nederlands recht namelijk niet onder het zwijgrecht omdat het informatie betreft die ook zonder de wil van de verdachte bestaat.
Om dezelfde reden kun je geen bloedproef weigeren zonder een misdaad te begaan: je bloed is, net als je vingerafdruk en je iris, ook te verkrijgen zonder dat jij als verdachte dat wilt of eraan meewerkt. Een goede ezelsbrug is je af te vragen of de gevorderde informatie nog bestaat als de verdachte overleden is; als het antwoord daarop ja is dan valt die informatie niet onder het zwijgrecht (wachtwoorden die alleen in het geheugen van de verdachte bestaan vallen er dus wel onder).
Met daarbij inderdaad alle nadelen van biometrische authenticatie die al genoemd werden.
standaard gebruik je phone unlocken met een patroon of pin code!
Dit hoeft NIET hetzelfde te zijn. Dit artikel blaat gewoon weer eens wat andere artikelen na, die
zelf geen enkel onderzoek verrichten!
Stel je unlock in zoals je zelf wilt… patroon, pincode, pw whatever… encrypt daarna je telefoon via de
command line met een sterk password en voila DONE!
Encryptie op je telefoon is niet zinloos, maar niet 100% garantie tegen iedereen. Groot verschil.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
