Androide mit Sperrbildschirm sicher? SIM-Pin?

  • Ich bin immer noch weitgehender Smartphone-Muffel, aber doch immer mehr dazu genötigt, jetzt u.a. durch Foto-TAN. Konkret geht es um mein Samsung S5 mini (Android 6). Reicht da der Sperrbildschirm mit solider PIN, damit da kein Normalo an die internen Daten kommt? Für Verschlüsselung hat dieses betagte Gerät wohl etwas zu wenig Power.


    Daneben interessiert mich noch, ob die SIM-Pin, die ich deaktiviert habe, noch auf der SIM-Karte ist, oder nicht. Das geht aus dem Menüpunkt nicht hervor. Also wenn die SIM entnommen und in ein anderes Phone gesteckt wird, sollte die Pin schon noch wirken...

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...

  • In Anbetracht der Tatsache, dass es das letzte Update vor zwei Jahren gab, macht die Frage kaum Sinn...


    Das ist quasi das Windows XP der Smartphone-Systeme.


    Hole dir ein günstiges Nokia o.ä. mit Android One, dann bekommst du ein paar Jahre (schnelle) Updates.


    Und das mit der SIM-Pin könntest du mit einem zweiten Telefon einfach testen.

  • - Apps laufen in Sandboxen. Die sind gegeneinander also schon abgeschottet

    - Sim Pin deaktivieren deaktiviert den Schutz der Sim. Bei meinen Prepaid Sims juckt mich das aber nicht.

    - Du brauchst ein neues Smartphone für das es noch Updates gibt

  • >> Also wenn die SIM entnommen und in ein anderes Phone gesteckt wird, sollte die Pin schon noch wirken...

    Dann solltest du die wieder einschalten.


    Ansonsten bekommt man sicherlich mit etwas Aufwand an die Daten, wenn man das Gerät in den Händen hält.

    Datensparsamkeit macht Sinn.

  • Mensch, das Teil benutze ich nur selten zum telefonieren (Auto), zum syncen des Harmony Hub und nun noch als TAN-Generator. Nix surfen, Mail, WhatsApp, Google-Konto etc. Wenn das Ding geknackt wird dann in physischem Besitz. Daher die Frage, ob man einfach so am Sperrbildschirm vorbeikommt, wenn da ein ordendliches Passwort drauf ist.


    Wenn ich die SIM-Pin wieder aktivieren will brauche ich dazu (genau) die (deaktivierte) Pin. Daraus schließe ich jetzt mal, dass die Pin beim deaktivieren drauf bleibt.


    Übrigens bin ich gerade erst vom S3 umgestiegen, nur wegen der TAN-Geschichten. Das fällt komplett flach, dass ich mir alle zwei Jahre so ein Teil neu zulege. Habe ich neulich mal so ein paar FfF-Aktivisten reingedrückt, die munter ihre nagelneu gefönten Eier zur schau stellten. Da gehört endlich mal eine gesetzliche Gewährleistung von 10 Jahren auf solche Teile (incl. Updates und pipapo), dann lege für sowas auch zwei Mille + auf den Tisch.

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...

  • Wenn ich die SIM-Pin wieder aktivieren will brauche ich dazu (genau) die (deaktivierte) Pin. Daraus schließe ich jetzt mal, dass die Pin beim deaktivieren drauf bleibt.

    Der PIN-Code selbst bleibt natürlich erhalten - der ist ja auch auf der Karte gespeichert.

    Aber ob die Karte beim Verwenden (zB in einem anderen Handy) den PIN-Code abfragt, ist Einstellungssache

    und müsste AUS bleiben, wenn du das auf (d)einem Handy ausschaltest.

    MyVDR: yaVDR-Ansible - softhddevice-openglosd (ffmpeg 2.8) - epgd/epg2vdr - skindesigner estuary4vdr (adaptiert) - 1920x1080@50 Hz | kodi 18 - inputstream + amazon vod *broken*
    Aerocube M40 | 300W | ASRock H61M-GE | Intel G530 | Asus ENGT520 | 2 x TT-budget S2-3200 | ASRock Smart Remote (CIR) | 4 GB RAM | 120 GB SSD | 3 TB HDD

  • Gerade für Verwendung als Tan-Empfänger sollte das Handy und die SIM gesichert sein. Wobei ich grad mal wieder Warnungen vor "feindlichen Übernahmen" von Handynummern (SIM-Swapping) gelesen hab.

    Das bedeutet, daß jemand die Authentifizierung durch bösartige Apps, Social Engineering, MITM-Proxies etc. überlistet und mit den geklauten Credentials beim Provider eine Ersatz-SIM mit derselben Nummer beantragt.

    Mit der kann er dann Ihre TANs empfangen, 2FA für Mail- und sonstige Konten umgehen und auch die betr. Konten in seinen Besitz bringen (und bei Bankkonten auch leerräumen), sowie die Credentials ändern, daß Sie selbst nicht mehr reinkönnen.


    Siehe auch ZDNet: Warnung des FBI :)


    So, damit genug der Paranoia.

    --
    vdr User #2022 - hdvdr2: Intel(R) Core(TM) i5-4670S, 12 GB Ram, softhddevice-vpp
    Octopus (ddbridge-6.5) mit 2xDVB-S2 und (Flex) 2xDVB-C/T Tunern, nvidia-GF610 (nvidia-390)
    System SSD btrfs, snapper, 8TB HDD XFS /srv/vdr, yavdr-ansible-2.4.1-frodo, hwe-Kernel 5.3.0-24,

    epgd/tvm/tvsp (Frodo), vdradmin-am, vdrmanager (Smartphone als FB) + FLIRC und Standard-FB

  • Übrigens bin ich gerade erst vom S3 umgestiegen, nur wegen der TAN-Geschichten. Das fällt komplett flach, dass ich mir alle zwei Jahre so ein Teil neu zulege. Habe ich neulich mal so ein paar FfF-Aktivisten reingedrückt, die munter ihre nagelneu gefönten Eier zur schau stellten.

    Wenn schon umsteigen dann hätte ich halt was genommen für das man aktuell noch Updates bekommt. Was von Wiko zum Beispiel.

  • Der PIN-Code selbst bleibt natürlich erhalten - der ist ja auch auf der Karte gespeichert.

    Aber ob die Karte beim Verwenden (zB in einem anderen Handy) den PIN-Code abfragt, ist Einstellungssache

    und müsste AUS bleiben, wenn du das auf (d)einem Handy ausschaltest.

    Ich werde das scherzeshalber mal ausprobieren, aber ich fürchte, du hast recht.



    Damit gibt es dann tatsächlich keine Möglichkeit sein Gerät mit nur einer Pin zu entriegeln? Mir fehlen echt die Worte...:§$%

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...

  • https://www.heise.de/tipps-tri…rn-so-geht-s-3988965.html

    "Ein Android-Gerät verfügt über zwei PINs: Die Geräte-interne PIN, mit der Sie Ihr Smartphone oder Tablet entsperren, und die PIN der SIM-Karte."

    Ich benutze sogar ein Android 5 nur für die Foto-TAN. Ohne SIM, ohne WLAN.

    Ohne Netz können auch keine Daten irgendwo hin gehen.

  • Ich würde komplett vermeiden die TAN auf einem Smartphone zu erstellen. Unterstützt deine Bank Chip-TAN?

    RVB, Comdirect, DKB, UBS...Wobei ich im Alltag bisher nur die Girocard der RVB bzw. die Visa der Comdirect benutze und alle anderen Karten sofort entsorge. D.h. ich müsste dann erst mal die Girocards nachordern. Ja und dann eben diese wieder irgendwie sicher verwalten, insbesondere, wenn ich unterwegs bin.

    Dazu scheinen mir nicht alle Banken die gleiche Chip-TAN-Hadware bzw. Verfahren zu unterstützen. Uff....

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...

  • https://www.heise.de/tipps-tri…rn-so-geht-s-3988965.html

    "Ein Android-Gerät verfügt über zwei PINs: Die Geräte-interne PIN, mit der Sie Ihr Smartphone oder Tablet entsperren, und die PIN der SIM-Karte."

    Ich benutze sogar ein Android 5 nur für die Foto-TAN. Ohne SIM, ohne WLAN.

    Ohne Netz können auch keine Daten irgendwo hin gehen.

    Ja, offenbar, aber die könnte man auch in einem Abwasch behandeln - oder?


    Die Foto-TAN-Apps funktionieren (nach Installation) ohne SIM und Inet-Verbindung????


    Auf meinem S3 liess sich die DKB gar nicht erst installieren...

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...

  • Das TAN-Verfahren ist natürlich entscheidend.


    TAN-Generator-App: kenne ich nicht

    SMS-TAN: braucht logischerweise eine SIM-Karte und Mobilnetz, aber kein Internet

    Push-TAN: braucht nur Internet, kann also auch ohne SIM-Karte über WLAN genutzt werden

    Chip-TAN: braucht ein spezielles Lesegerät und deine Chipkarte


    Wie auch immer deine Bank den Code für das durch PSD2 vorgeschriebene 2FA generiert...


    Hier findest du eine Übersicht der verschiedenen Verfahren: http://www.wikibanking.net/onlinebanking/verfahren/

  • Wobei ich grad mal wieder Warnungen vor "feindlichen Übernahmen" von Handynummern (SIM-Swapping) gelesen hab.

    Das bedeutet, daß jemand die Authentifizierung durch bösartige Apps, Social Engineering, MITM-Proxies etc. überlistet und mit den geklauten Credentials beim Provider eine Ersatz-SIM mit derselben Nummer beantragt.

    Ein Unding, dass das überhaupt möglich ist. Ersatz-SIM nur gegen Vorlage des Perso oder max. Versand an registrierte Adresse und gut!

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...

  • Ich verstehe auch nicht, warum jede Bank ihre eigenen Verfahren anbietet...


    Egal, ich teste heute Nachmittag noch das mit der SIM-Pin und ob die Foto-TAN-Apps auch ohne Inet rennen. Ggf. tippe ich dann halt zwei Pins und stelle ausser für nötige Updates/Installationen die Inet-Verbindung ab. Mit dem Restrisiko muss ich dann halt leben.

    yaVDR 0.6.2; H61M/U3S3 / G530 / 4GB / GT 520 (passiv) / Cine S2 (Rev. V5.5) + DuoFlex S2 / 120GB SSD (System; SATA>USB) + 3TB SATA 6Gb/s; LCD-TV Toshiba 42VL863G; AVR Yamaha RX-S600...