Smartphone spionage

Zitat: spionage

Wenn du keine handfesten Beweise hast, solltest du vielleicht darauf 
verzichten so wilde Behauptungen in die Welt zu setzen.
Offenbar fehlt dir ja das technische Verständnis und willst dann wissen, 
dass es Spionage ist?

Das war eine Typ0-SMS. Die oeffnet sich automagisch.
Eine typische Dummfon/Schlaufon/Eifon-Messageapp kann die nicht
O.O.B. erzeugen. Deswegen sieht mann sowas eher selten.

Lustig wirds, wenn man wieder ein Apfelexploit exisitiert,
wo bereits eine simple "Zeichenkette" solches "Hightech"
bestenfalls nur abstuerzen laesst.
Da nuetzt der Hinweil "Nicht oeffnen" naemlich gleich gar nicht.

1. Wäre das keine spionage.
2. Was hätte ein solches vorgehen für einen sinn für eine bank?

Hilf das weiter:
https://blog.richpollock.com/2014/06/class-0-sms-messages/
https://en.wikipedia.org/wiki/GSM_03.40#Protocol_Identifier

@ Cartman, @Fpgakuechle K. :  Danke für den Hinweis, werde mich tiefer 
informieren diesbezüglich.
Der Titel "Spionage" ist unglücklich gewählt, meiner Bank unterstelle 
ich nichts dergleichen.
Mit Spionage meinte ich eher, dass der Datenübertragungsweg vorbei an 
Wlan, Bluetooth und mobilen Daten gehen kann. Könnte mir vorstellen, 
dass Pegasus so seinen Weg ins Smartphone findet. SMS und Telephonie 
haben einen eigenen Kanal, 4G löst dies mit fallback zu 2G od. 3G.

Thomas O. schrieb:
> wenn man eine Banking App drauf hat wird die sicherlich so konfiguriert
> sein, dass Sie auch auf SMS horcht. Probier es mal mit dem Flugmodus.
Banking APP habe ich keine auf dem Handy, das Handy managt nur die 
mobile ID.
Wie soeben erwähnt, die Bank ist nicht das Problem, nur der 
Übertragungsweg.
Auf SMS horchen, vielleicht - aber den PIN muss ja das Smartphone zurück 
an den PC bzw. an die Bank schicken, dies bei ausgeschalteter 
Kommunikation.

(prx) A. K. schrieb:
> herba schrieb:
>> 4G löst dies mit fallback zu 2G od. 3G.
>
> Anfangs ja, aber heute sollte VoLTE schon ziemlich verfügbar sein, und
> hoffentlich auch SMS.
Ja, VoLTE ist auf meinem Netz verfügbar, offensichtlich läuft darüber 
auch ein kleiner Datenverkehr.

(prx) A. K. schrieb:
> herba schrieb:
>> Banking APP habe ich keine auf dem Handy
>
> Wenn ich den Schweizer Text richtig verstehe, dann ist die App auf der
> SIM drauf.
Eine App auf der SIM? Hat eine SIM ein Betriebssystem?

(prx) A. K. schrieb:
> Aus obigem Schweizer Link: "Auf der Mobile-ID-fähigen SIM-Karte ist eine
> kleine Anwendung integriert. Diese Anwendung kann verschlüsselte
> Nachrichten in Form sogenannter stiller SMS empfangen, entschlüsseln,
> verschlüsseln und versenden."
>
> Die muss dazu nicht auf der SIM selbst laufen.
OK, werde das mal studieren, danke.

meckerziege schrieb:
> 2. Was hätte ein solches vorgehen für einen sinn für eine bank?

Die Frage die sich der TO auch stellt, besonders wenn er sich NICHT 
eingeloggt hat.

herba schrieb:
> Könnte mir vorstellen,
> dass Pegasus so seinen Weg ins Smartphone findet.

Manchmal kommt in Serien vor das der Gute das Handy des bösen 
einschalten soll. Und dann als Antwort gibt : "Geht nicht er hat den 
Akku rausgenommen"

Und nun frag dich mal wieso die Akkus eingeklebt sind. ;)

Aber man kann ja (NOCH) die Sim-Karte entfernen.  Bloss wieso sind dann 
die E-Sim so im kommen bei den Herstellern.

Und nein ich habe kein Alu-Hut. ;)

Aber meine Aussage gilt : Man kann sich nicht gegen Spionage wehren, nur 
sich aussuchen wer ein Ausspioniert. ;)

Schlaumaier schrieb:

> Und nein ich habe kein Alu-Hut. ;)

Wozu auch, wenn sich darunter offensichtlich nichts schützenswertes 
befindet.
Gegen dein Paranoiasmartphone hilft übrigens ne Keksdose.

herba schrieb:
> Eine App auf der SIM? Hat eine SIM ein Betriebssystem?

Guter Überblick (in englisch):
https://media.ccc.de/v/36c3-10737-sim_card_technology_from_a-z

> und öffnet sich keineswegs automagisch

Zumindest fuer mein Dummfon habe ich einen Logger der alle
eingehenden SMSen als Raw-Dump in ein Log schreibt.
Und damit dann weiter nichts tut...

Gegen weiteres Unbill kann ich mit dem FTA auch den
Servicekanal selbst einstellen und die Automatik ausschalten.

Paranoiker koennten ausserdem kontrollieren ob die eingebuchte
Zelle plausibel ist.

(prx) A. K. schrieb:
> Aus obigem Schweizer Link: "Auf der Mobile-ID-fähigen SIM-Karte ist eine
> kleine Anwendung integriert. Diese Anwendung kann verschlüsselte
> Nachrichten in Form sogenannter stiller SMS empfangen, entschlüsseln,
> verschlüsseln und versenden."
>
> Wie das zusammenspielt weiss ich nicht. Die Anwendung muss auch nicht
> zwangsläufig auf der SIM selbst laufen.

Nach kurzer Suche scheint Mobile-ID ein speziell schweizerisches System 
zu sein, das der Swisscom gehört, und alle schweizer Provider mit 
einbezieht, die dann entsprechende Sim-Funktionalitäten bereitstellen.

Der Kunde, bspw. die Bank, macht dann einen Vertrag mit Swisscom, und 
schickt bei einem Login-/Transaktionsversuch des Bankkunden eine Anfrage 
an den Swisscom-Server, der veranlasst die Identifizierung über die 
SIM-Karte mittels stiller SMS, die veranlasst eine Rücknachricht mit den 
Daten, die gehen zum Swisscom-Server, über den dann der Bankserver 
wiederum die erfolgte Legitimation erfährt. Da die Provider mit im Boot 
stecken, fallen für die ausgehenden Daten keine SMS-Kosten an, bzw. es 
wird dem Handykunden ggü. nichts protokolliert.

So hab ich es zumindest verstanden.

Wenn das alles auf Providerebene passiert und das ordentlich durchdacht 
ist, kann zumindest kein Dritter einfach eine ID-Abfrage per stiller SMS 
an die Handynummer absetzen um an die ID zu gelangen.

Peyer schrieb:
> Der Kunde, bspw. die Bank, macht dann einen Vertrag mit Swisscom, und
> schickt bei einem Login-/Transaktionsversuch des Bankkunden eine Anfrage
> an den Swisscom-Server, der veranlasst die Identifizierung über die
> SIM-Karte mittels stiller SMS, die veranlasst eine Rücknachricht mit den
> Daten, die gehen zum Swisscom-Server, über den dann der Bankserver
> wiederum die erfolgte Legitimation erfährt. Da die Provider mit im Boot
> stecken, fallen für die ausgehenden Daten keine SMS-Kosten an, bzw. es
> wird dem Handykunden ggü. nichts protokolliert.
>
> So hab ich es zumindest verstanden.
>
> Wenn das alles auf Providerebene passiert und das ordentlich durchdacht
> ist, kann zumindest kein Dritter einfach eine ID-Abfrage per stiller SMS
> an die Handynummer absetzen um an die ID zu gelangen.

Vielen Dank für die Ausführungen.

> die Identifizierung über die SIM-Karte mittels stiller SMS

Stille SMS kann im Prinzip jeder senden. Wenn die Sicherheit des
Verfahrens nur darauf baut, ist es potentiell unsicher.
Oder der Kunde erst im Nachgang erfaehrt, dass eine Transaktion
stattgefunden hat,

Ich habe ueberhaupt nichts dagegen, eine per normaler SMS zugesandte
TAN irgendwo wieder selber einzutippen.
Weil damit autorisiere ich das ganze erst.