Duitse Media Markt aangeklaagd wegens onveilig Androidtoestel
De consumentenautoriteit van de Duitse deelstaat Noordrijn-Westfalen heeft een vestiging van de Media Markt in Keulen aangeklaagd wegens het aanbieden van een goedkoop Androidtoestel met beveiligingslekken. De 99 euro kostende Mobistel Cynus T6 bevatte op het moment dat het in de winkel lag 15 kwetsbaarheden waarvoor geen patch beschikbaar is. Iets dat aan potentiële kopers duidelijk had moet worden gemaakt, aldus de Verbraucherzentrale NRW.
De Cynus T6 draait op Android KitKat 4.4, een versie van het besturingssysteem die uit 2013 stamt. De Media Markt verkoopt het toestel inmiddels niet meer, maar deed dat wel vorig jaar augustus toen de consumentenautoriteit iemand het toestel liet kopen. De koper werd vergezeld door een medewerker van het Bundesamtes für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken.
Het BSI voerde tests op de telefoon uit en ontdekte 15 beveiligingslekken, waaronder de mogelijkheid voor een aanvaller om willekeurige code uit te voeren. Mobistel werd vorig jaar september door het BSI over de kwetsbaarheden ingelicht, maar gaf geen reactie. Ook zijn er naar aanleiding van de waarschuwing over de beveiligingslekken geen updates voor gebruikers verschenen. De Süddeutsche Zeitung meldt dat de Verbraucherzentrale NRW ook Google had kunnen aanklagen, maar er besloten werd om de dealer aan te pakken, aangezien die verplicht is om informatie over kwetsbaarheden te verstrekken.
Volgens Christine Steffen van de consumentenautoriteit kan het niet zo zijn dat iemand een nieuwe telefoon in de winkel koopt die allerlei beveiligingslekken bevat die niet zullen worden gedicht, zonder dat dit aan de koper duidelijk wordt gemaakt. De Verbraucherzentrale NRW wil de verkoop van dit soort toestellen niet verbieden, maar wil wel dat potentiële kopers een goed geïnformeerde keuze kunnen maken. Een districtsrechter in Keulen buigt zich nu over de zaak.
Vreemd overigens dat de BSI op zoek gaat naar kwetsbaarheden in een Android versie die dan 3 jaar oud is. Waarschijnlijk volstond het doorzoeken van het Android vulnerability archief.
Daarvoor staat een informatie plicht van de verkoper.
Winkels zijn de verkopers die zijn in principe verantwoordelijk niet de fabrikanten.
Vreemd overigens dat de BSI op zoek gaat naar kwetsbaarheden in een Android versie die dan 3 jaar oud is. Waarschijnlijk volstond het doorzoeken van het Android vulnerability archief.
Nu krijg je op sommige goedkopere toestellen na 3 maanden al niets meer.
200 euro voor het vlagschip, maar updates, vergeet het maar..
Nu krijg je op sommige goedkopere toestellen na 3 maanden al niets meer.
Ook op sites als groupon met regelmaat 'refurbished' mobieltjes te vinden die niet de laatste updates meer ondersteunen. Dat zouden ze echt moeten vermelden.
Mijn auto moet regelmatig voor een onderhoudsbeurt, daar betaal ik voor en dat is dus een mooi verdienmodel naast de verkoop van auto's. De dealer vindt het dan ook prima als ik in een oude auto door blijf rijden, want des te vaker kom ik langs voor reparaties.
Zouden ze dus bij telefoontoestellen ook moeten doen, je laten betalen voor updates en die dan ook leveren. Gewoon een onderhoudsabonnementje kunnen afsluiten of kiezen voor elke twee jaar een nieuw toestel.
Waarom eigenlijk niet. De gebruiker van zo'n telefoon wordt bijvoorbeeld wel geacht het toestel veilig te houden, indien deze wordt gebruikt voor mobiel bankieren. Wettelijke regels zijn op zijn plaats voor providers, om te zorgen dat de toestellen die consumenten kopen veilig zijn/blijven. Zelf-regulering werkt duidelijk niet voldoende.
Ohnee... Android of Samsung bashen was nu het devies van al die consumenten toko's...
Vraag me af of dat soort dingen op de golfbaan met electrische autootjes besproken wordt.
Het wordt een ander verhaal als het BIOS van je (zelfrijdende) auto door de fabrikant (verkeers-)veiligheids updates wordt onthouden en hierdoor nodeloos slachtoffers vallen, niet? Is het dan nog steeds redelijk de klant te laten betalen?
En nu eens serieus met secùrity Aub.
De consumentenbond heeft dit zelfde vo I r niet bijwerken Android en andere apparatuur aangekaart maar heeft daarin (nog) niet het gelijk aan de zijde gekregen.
Goed gedaan van die consumenten autoriteit.
Een goede stap om leveranciers aansprakelijk te stellen voor een geleverd product.
Een goede stap ook end-user devices naar voldoende veilig te krijgen.
Helaas gaat het hier er alleen om de betreffende kopers te beschermen.
Nmm ligt het belang dieper en breder.
Een onveilig device kan heel gemakkelijk gebruikt worden als step-up aanvalsvector naar alle andere IT infrastructuur.
Natuurlijk is dit niet de oplossing van het hele security probleem.
Maar een beetje dichtdraaien van een lekkende kraan maakt het dweilen gemakkelijker.
Mvg
Een goede stap om leveranciers aansprakelijk te stellen voor een geleverd product.
Een goede stap ook end-user devices naar voldoende veilig te krijgen.
Ohnee... Android of Samsung bashen was nu het devies van al die consumenten toko's...
Vraag me af of dat soort dingen op de golfbaan met electrische autootjes besproken wordt.
Je zou een case hebben wanneer die 10 PC dit jaar waren gekocht met Windows XP waarbij de verkoper je verteld had dat je het nieuwste van het nieuwste had.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
