Auf der News-Seite von Nitrokey, Hersteller unter anderem des sicheren Android-Smartphones NitroPhone berichtet ein Artikel über Erkenntnisse der Entwickler, die bei einer Sicherheitsanalyse feststellten, dass zumindest einige Smartphones mit Qualcomm-Chip ohne Nachfrage oder Zustimmung des Besitzers persönliche Daten unverschlüsselt per HTTP an Qualcomm senden. Chips des Herstellers kommen derzeit in rund 30 % aller Smartphones zum Einsatz, unter anderem auch in denen von Samsung und Apple.
Schutzmechanismen umgangen
Dies ist möglich, weil der Qualcomm-Chipsatz selbst die Daten sendet und damit alle möglichen Einstellungen und Schutzmechanismen des Android-Betriebssystems umgeht. Betroffen sind nach Angaben der NitroPhone-Entwickler Smartphones wie das Sony Xperia XA2 und wahrscheinlich das Fairphone und viele andere Android-Handys, die weitverbreitete Qualcomm-Chips verwenden. In diesem Fall handelt es sich um den Snapdragon 630 Prozessor.
Entgoogelt ist nicht genug
Der Abfluss der Daten wurde entdeckt, nachdem die Entwickler die entgoogelte Software e/OS auf einem Sony Xperia XA2 installierten und feststellten, dass das nicht ausreichend schützt, da die Hardware mit der Firmware unterhalb des Betriebssystems wie in diesem Fall Daten an den Chip-Hersteller Qualcomm versendet. Dabei kam die professionelle Netzwerkanalyse-Software Wireshark zum Einsatz, die den gesamten Datenverkehr, der über das Netzwerk gesendet wird, überwachen und analysieren kann.
Qualcomm erlaubt sich laut seiner Datenschutzrichtlinie die Sammlung und 90-tägige Speicherung folgender Daten:
- Eindeutige ID
- Name des Chipsatzes
- Seriennummer des Chipsatzes
- Version der XTRA-Software
- Ländercode des Mobiltelefons
- Code des Mobilfunknetzes (zur Identifizierung des Landes und des Mobilfunkbetreibers)
- Typ des Betriebssystems und Version
- Gerätemarke und -modell
- Zeit seit dem letzten Start des Anwendungsprozessors und des Modems
- Liste der Software auf dem Gerät
- IP-Adresse
Zu Qualitätszwecken?
Die Datenerfassung dient nach Aussage von Qualcomm Qualitätszwecken. Wer’s glaubt … Der XTRA-Dienst von Qualcomm ist ein verdecktes Betriebssystem und nicht Teil von /e/OS oder Android, sondern läuft direkt in der Qualcomm-Firmware, die sie AMSS nennen. Während des Betriebs hat das verdeckte Betriebssystem (AMSS) die vollständige Kontrolle über die Hardware, das Mikrofon und die Kamera. Mich erinnert das fatal an Intel ME. Weitere Details zu der Entdeckung vermittelt der Artikel.
Bild: Nitrokey
MMn hat es Nitrokey nicht nötig Ihre Phone so zu pushen – der Qualcomm Kram ist uralt und hatte bereits Sicherheitslücken: https://www.exploit-db.com/exploits/40502
Dann vermischen sie noch den Qualcomm Quatsch mit dem Google SUPL/A-GPS Kram und mMn ist damit niemandem geholfen und es gibt keinen Erkenntnisgewinn…
Also die Devs von Graphene OS halten von dem Thema eher weniger. Haben sich gerade hier geäußert: https://discuss.grapheneos.org/d/4687-qualcomm-phones-running-on-alternoses-are-still-phoning-home
Kurzzusammenfassung: Es handelt sich bei XTRA um einen Dienst zur schnelleren Positionsbestimmung via PSDS, der von Qualcomm entsprechend dokumentiert ist. Also keine Spyware oder irgendwas. Man ist wohl auch nicht sonderlich erfreut, dass Nitrokey Smartphones mit Graphene OS zu überhöhten Preisen verkauft und mit der Meldung Werbung für sich macht.
Dabei muss man bedenken, die Devs von Graphene bekanntermaßen auch etwas speziell sind, allen voran Daniel Micay, der gerne andere Community-Projekte angreift. Sei dem wie es ist, es ändert nichts an der Tatsache, dass Qualcomm anscheinend Daten abgreift, bei denen fraglich ist, ob das konform mit der DSGVO ist. Und wenn das schon länger bekannt ist, umso schlimmer, dass sich niemand darum kümmert.
Ja, ich vermute die Wahrheit liegt hier irgendwo in der Mitte. Graphene hat natürlich recht, dass das Verhalten dieser Chips bekannt ist und auch seit längerem u.a. in den Graphene FAQ dokumentiert ist. Somit ist die Entdeckung durch Nitrokey etwas weniger sensationell als die das darstellen. Auf der andere Seite ist natürlich schon fraglich, was hier an Daten übertragen wird und ob das z.B. DSGVO konform ist.
Martijn Braam von postmarketOS findet den Artikel von Nitrokey auch nicht gut: https://blog.brixit.nl/nitrokey-dissapoints-me/
Von Nitrokey hab ich noch nichts gehört. Neu ist dieser Artikel: https://www.theregister.com/2023/04/27/qualcomm_covert_operating_system_claim/
Ich find’s irgendwie geil, genau die, die überall erreichbar sein wollen, möglichst noch mit einem Tamagotchi am Arm, wo man selbst das Viech ist, was man am leben erhält (smartwatch), streamen darüber etc.,dann noch alle Daten quer durchs Netz in die cloud legen usw. Regen sich jetzt auf, das der chip daten sendet. 😀 Man, das macht so ziemlich jedes elektronische smarte Teil. … Das ist aber auch schon länger bekannt und nichts Neues.
Nebenbei ist diese Meldung auch kompromitierend für /e/ und Jolla und eine ganze Reihe von auf Privacy getrimmten Linegage-Abkömlingen. Haben die das einfach nicht geprüft oder nur nicht veröffentlicht?
Und dann ist mir aufgefallen, dass Nitrokey hier lediglich darüber berichtet was über die Wlan-Verbindung versendet wird und sich in seinem Artikel über den Telefonkanal und das Ḿobile-Internet ausschweigt.
Ja, sie haben gar keine SIM eingelegt. Und da du Lineage erwähnst, Kuketz war davon nicht sonderlich angetan.
Das habe ich anders gelesen. Es wurde davon ausgegangen, dass /e/ nichts undokumentiert sendet. Sie schreiben auch, Sie hätten den Quellcode angesehen. Übersehen werden kann natürlich immer etwas.
> Da unser /e/OS komplett entgoogelt wurde, gehen wir davon aus, dass die erste Verbindung zu android.clients.google.com auch direkt von Qualcomms Firmware stammen muss.
PS.: Vor 3,5 Jahren im FP Forum:
https://forum.fairphone.com/t/telemetry-spyware-list-of-privacy-threats-on-fp3-android-9/55179
Es geht mir nicht darum was /e/OS sendet. Es geht mir darum, dass die Entwickler von /e/OS und von anderen Datensparenden Custom ROMs offensichtlich nie selbst gemessen haben oder ihre Ergebnisse schlicht verschwiegen haben.
Ansonsten hätte das doch schon viel früher auffallen müssen. Mal abwarten welche Wellen diese Meldung schlagen wird. Wenn Qualcomm sein Silikon tatsächlich dazu nutzt um nebenbei ein verstecktes Betriebssystem zu betreiben, dann dürfe es bald hoch her gehen.
Interessanter Weise zeigt eine Suche nach “izatcloud.net” auf dem Kuketz-Block noch keinen Eintrag.
Ich habe deinen Post missverstanden. Ich stimme dir zu.
Beruhigender Weise hat sich die Meldung als übertrieben herausgestellt.
Von einem verstecken Betriebssytem kann nicht gesprochen werden.
Allerdings zeigt es, wie wichtig es wäre, dass auch der Bootloader und alle Treiber offen gelegt werden, wenn man so ein “nachhause telefonieren” komplett unterbinden möchte. Der zweite Link von Ferdinand ist da recht aufschlussreich.
Über was hier niemand spricht ist, dass es für entsprechende Institutionen wie z.B. die NSA die darauf spezialisiert sind die vorhandenen Lücken von Systemen auszunutzen, völlig ausreicht wenn das Gerät eindeutig identifiziert ist, die installierte Software bekannt und die aktuelle IP-Adresse übermittelt wird, um ganz gezielt das device einer bestimmten Person zu hacken.
Und es isst natürlich von Vorteil wenn das über WLan geschieht, denn der Abfuss größerer Datenmengen fällt auf dem mobilen Übertragungsweg doch etwas eher auf.
In der Tat.
Übel…. Ich bin als FP3 User betroffen.
Nicht mal das Pine Phone ist komplett offen. Meines wissens nach sind der Baseband, BT und Wifi Chip nicht open source. Weiß der Geier was da so passiert.
Ein Skandal, bei dem ich (mal wieder) sehr überrascht wäre, wenn er die angebrachten Wellen schlagen würde.
Zeigt mal wieder überdeutlich, dass Geräte, die proprietäre Blobs haben nicht wirklich vertrauenswürdig sein können.
Jetzt brauchen wir nur noch Alternativen…Hat das Pinephone eigentlich Blobs?
Danke das endlich wieder einmal darauf hinweist.
Das ist wichtig, denn bekannt ist ja schon lange, das die Handys Daten senden.