DeviceEncryption: Android 4

Basis für die Android-Tests ist ein Google Nexus 4 mit Android 4.2.2. Leider ist die Unterstützung der Verschlüsselung nicht allein von der Android-Version abhängig, sondern wie der Hersteller die Funktion implementiert hat. Prüfen Sie vor dem Kauf daher genau, welche Geräte verschlüsseln können. Die Tabelle hier ist unvollständig

Hersteller + Gerät (Android Version) Interner Speicher

Google Nexus 4 (4.2.2), Nexus 7 (4.2.1)

Ja

Alcatel OneTouch 997D (4.0.4)

Nein

HTC One S (4.0.3), One X (4.1.1)

Ja

LG Optimus Speed (4.0.4)

Nein

Sony Xperia Active, Go, Neo V, ray (4.0.4)

Nein

Sony Xperia V (4.0.4)

Ja

Samsung Galaxy Tab 10.1 (3.1)

Ja

Samsung Galaxy S2 (4.0.4)  S3 (4.1.2)

Ja

Samsung Note, Note 10.1, Note II (4.1.2)

Ja

Sie sehen die sehr unterschiedliche Verteilung selbst innerhalb einer Geräteklasse eines Herstellers (Sony). Mit Ausnahme der Daten zum Nexus 4 sind die anderen Angaben aus Rückmeldungen von Kunden, MSXFAQ-Lesern und Datenblättern.

In der iX Heft 4/2013 Seite 136 ist ein Artikel, der die Feinheiten von Android weiter beschreibt, z.B. dass die Basis das Modul dm-crypt (mit 128bit AES) mit einem Masterkey ist und nur das "/DATA"-Verzeichnis verschlüsselt wird. Damit sind die Dokumente sicher aber eine "fremde App" könnte im laufenden System die Daten erreichen. Wenn ein Angreifer einen Dump des Speichers bekommt, könnte er per Brute Force einfachere Kennworts/Pins durchprobieren und vermutlich sehr schnell so auch die Daten erhalten.

Aktivierung

Auch hier habe ich die Richtlinie per ActiveSync aktualisiert und Das Mobilgerät hat mich zur Eingabe einer PIN aufgefordert.

oder

Danach zeigt mit Android an, welche Einstellungen durch die Richtlinie umgesetzt werden.

Habe ich diese Schritte nicht durchgeführt, dann hat das Smartphone zwar angezeigt, dass es weiter synchronisieren würde, aber es kamen keine Änderungen mehr an. Das Smartphone hat an den Exchange Server korrekt gemeldet, dass es "noch nicht" die Policy komplett umgesetzt hat und der Exchange Server hat daher zwar noch geantwortet aber keine Daten gesendet: Im Posteingang kam aber eine gelbe sichtbare Warnung: Im Statusfenster ist auch eine Meldung angezeigt worden:

 

Ein Anwender kann die ausstehende Anforderung eigentlich nicht übersehen. Als Kennwortoption bleien nur numerische PIN oder Kennwort übrig. Fingergesten, Gesichtserkennung oder Muster sind nicht mehr möglich.

Bis die Richtlinien  nicht umgesetzt sind, zeigt Android zwar noch an, dass er mit dem Server repliziert, aber es kommen dennoch keine Daten mehr an.

Verschlüsselung

Die Verschlüsselung bei Android 4 dauert etwas länger, da wohl der komplette Speicher umgeschlüsselt wird. Die kann bis zu eine Stunde dauern und der Akku muss ausreichend voll sein. Der Button zum Start wird auch wirklich erst aktiv, wenn die Batterie ausreichend voll ist. Ich habe beobachtet, dass bei der Verschlüsselung der Batteriestand sogar abnimmt, obwohl das Smartphone am PC zum Laden angeschlossen war.

Zur Sicherheit muss noch einmal die PIN eingegeben werden und noch ein zweiter Dialog bestätigt werden. Danach startet das Telefon neu und verschlüsselt. Es zeigt den Fortschritt numerisch in Prozent an. Das Nexus 4 hat in meinem Fall ca. 20 Minuten benötigt.

Interessant ist, dass selbst bei der Verschlüsselung Bildschirmfotos möglich sind. Ich konnte die gespeicherten Bilder aber nicht wieder finden. Ich vermute, dass die Verschlüsselung den Speicher partitioniert und es ähnlich wie bei Windows Bitlocker eine unverschlüsselte "Bootpartition" gibt, die dann aber nicht weiter genutzt wird.

Start

Wird ein verschlüsseltes Android-Smartphone eingeschaltet, dann sieht man zuerst das Android Logo und dann einen englischen Bildschirm zur Eingabe der PIN (oder Kennwort), um die Verschlüsselung zu Entsperren.

ähnlich wie Windows Mobile 6.5 blockiert die Verschlüsselung schon den Start des Systems. Trotzdem ist es auch hier möglich, einen Notruf abzusetzen. Ohne allzu tief hinter die Kulissen zu schauen scheint hier ein Mini-Android zu laufen, welches nach Eingabe der richtigen Daten erst das eigentliche System startet.

 

Nach 10 Fehlversuchen wird die erneute Eingabe um 30 Sekunden blockiert. Allerdings ist diese 30 Sekunden Verzögerung nicht wirklich ein Hindernis, wenn durch zweimaligen Druck auf die rechte Sperrtaste am Telefon wird der Counter auch sofort zurück gesetzt. Wer also etwas Zeit mitbringt, kann zumindest 4-stellige PINs als Sicherheitsfunktion relativ schnell durchprobieren. Zwar kommt nach dieser Eingabe in der Regel noch die PIN-Eingabe für die SIM-Karte und dann noch mal (die gleichen) Zugangsdaten für den Geräteschutz, aber nur die SIM-PIN wird nach einigen Fehlversuchen gesperrt. Exzessive Fehleingaben bei der Verschlüsselung und dem Gerätekennwort führen nicht zum Löschen des Geräts. Da ist IOS und Windows Phone weiter.

Insofern kann ich mit Android nur dazu raten, dass das Sperrkennwort für die Verschlüsselung nicht nur aus einer 4-stelligen numerischen PIN besteht sondern wirklich ein Kennwort ist. Besonders wenn Sie als PIN die gleiche Ziffernfolge wie für ihre SIM-Karte oder EC-Karte verwenden, ist dieses schwache Verhalten von Android sehr kritisch zu sehen.

Auf der anderen Seite ist Android sicherer als z.B. ein IOS, da es auch im gesperrten Zustand den Zugriff per USB auf den Speicher unterbindet.

PIN bzw. Kennwort können Sie über die Sicherheitseinstellungen jederzeit ändern.

 

Das Kennwort für die Verschlüsselung und das Gerätekennwort sind identisch.

Entschlüsselung

Auch für Android gilt, dass der Einsatz der Verschlüsselung offiziell nicht ohne Datenverlust umkehrbar ist. Über die "Sichern & Zurücksetzen"-Funktion, kann das Telefon auf den Werkszustand zurückgestellt werden.

 

Interessanterweise bleibt dabei die aktualisierte Android-Version erhalten. Es dürfte also darauf hinauslaufen, dass nur die Nutzerdaten verschlüsselt werden aber nicht das komplette Speichermedium.

Weitere Links