Das deutsche QBasic- und FreeBASIC-Forum

[Flo]

Hi

Ich wollte mich mal erkundigen, wie sicher android gegen malware ist. Da ich mich gerne via ssh auf meinem Computer einloggen möchte, will ich unbedingt verhindern, dass angreifer zugriff auf meinen key, dessen passphrase oder irgendwelche daten aus der sshsitzung haben (sudo-passwort z.B.)
der benutzten anwendung vertraue ich, d.h. ich vertraue darauf, dass der autor nicht absichtlich daten ausspaeht.

ich habe bisher von zwei attacken gehoert:
confused deputy: hier kann ein boeses, unprivilegiertes Programm ein gutes, aber verwundbares, hoeher privilegiertes Programm dazu missbrauchen, date pn abzugreifen und/oder zu verschicken

ein angriff, bei dem zwei boesartige apps, deren permissions einzeln nicht ausreichen, um informationen abzugreifen und zu versenden, in summe aber wohl, zusammenarbeiten.

letztere attacke ist fuer mich voellig unproblematisch, da apps (ohne weitere exploits, und dann hab ich allemal verloren) nicht auf die oben genannten daten zugreifen koennen (oder irre ich mich da?) und da ich dem ssh-client vertraue

zur ersten attacke: die duerfte ja auch unproblematisch sein, solange boese apps mit der vertrauten app nicht kommunizieren kann bzw die vertraute app sicher ist, richtig?

kann ich dennoch jeglichen potentiell moeglichen zugang zu dieser app verbieten? (ich habe ein gerootetes geraet) durch manipulationen der manifestdatei und/oder der permissions muesste das gehen oder?


und: gefaehrdet es die sicherheit, dass mein geraet gerootet ist? (gerootet via geflashtem kernel, also kein software exploit)
imo ja nicht, solange ich nur vertrauten aoos rootrechte einraeume, oder?



gibt es womoeglich sogar eine loesung, aehnlich zu einem virtuellen pc, ohne Performance einbußen? quasi eine VM mit persönlichen daten und vertrauten anwendungen, und eine fuer potentiell boesartigen kruschkram, vollkommen abgeriegelt voneinander?


(nein das ist keine Paranoia. erstens interessiere ich mich einfach dafuer und zweitens sind sie *wirklich* hinter mir her)
_________________
MFG
Flo

Satoru Iwata: Wer Spaß am Spielen hat, fragt nicht nach Grafik.

zum korrekten Verstaendnis meiner Beitraege ist die regelmaessige Wartung des Ironiedetektors unerlaesslich.

[dreael]

Im Zusammenhang mit BYOD wird bei einigen Herstellern bereits an geeigneten Trennlösungen gearbeitet bzw. es gibt bereits Ansätze auf dem Markt (teilweise auch über Drittsoftware), damit der Mitarbeiter die privaten und geschäftlichen Daten sauber trennen kann. Im dortigen Fall kommt noch zusätzlich das Thema Verwaltung der Geräte ins Spiel, denn auf der einen Seite sollte der Helpdesk die geschäftliche Seite voll betreuen können, umgekehrt aber keinerlei Zugriffsrechte auf den privaten Teil besitzen.
_________________
Teste die PC-Sicherheit mit www.sec-check.net