Blackphone - En ny telefon med medföljande krypteringsprogramvaror

Jag tänkte uppmärksamma lanseringen av Blackphone. En telefon som ska ha en rad säkerhetsdetaljer till överkomligt pris. Det är lite oklart var det här ämnet bör placeras, det är förvisso en mobiltelefon men det är mjukvaran i den som är speciell och flera funktioner faller snarare in under vanlig IT-säkerhet för datorer. Moderator får väl flytta om så finnes nödvändigt.

Den har ett eget OS, PrivatOS, som bygger på Android. Den kommer med en rad applikationer för ökad säkerhet, den erbjuder även krypterade telefonsamtal som går via SilentRings nät vilket gör att telefonen inte går att avlyssna (däremot går det givetvis att avlyssna den som tar emot samtalet och därmed avlyssna samtalet).

Tekniska data

En av upphovsmännen är den kände skaparen av krypteringsprogramvarorna PGP och ZFone, Philip Zimmerman, som var under utredning för åtal för export av krypteringsprogramvara i USA.


Läs mer på: https://www.blackphone.ch

Kommer den här telefonen slå igenom på den allmänna marknaden även i Sverige?
Hur verkar dess olika säkerhetslösningar, verkar de stabila?


Läs mer här:
http://www.forbes.com/sites/kashmirhill/2014/02/27/blackphone-privacy-for-lazy-people/
https://blog.disconnect.me/blackphone-is-here-and-were-on-it
http://www.zdnet.com/blackphone-a-smartphone-designed-to-stop-spying-eyes-7000025185/
http://arstechnica.com/gadgets/2014/02/everything-you-wanted-to-know-about-the-security-focused-blackphone/
http://betabeat.com/2014/01/meet-blackphone-a-highly-secure-device-perfect-for-paranoid-sext-fiends/
http://www.engadget.com/2014/02/24/blackphone-privacy-phone/

En kritisk artikel:
http://www.citeworld.com/privacy/23041/blackphone-isnt-good-enough


Nedan citat för att uppmärksamma några kunniga skribenter på den här tråden:

Nu är inte jag en expert inom området, men är det verkligen nödvändigt med en dedikerad telefon för just detta ändamål? Det finns ju gott om mjukvara till Android som redan gör allt som det är tänkt att den där telefonen ska göra. Att kryptera innehållet på telefonen, samtal, sms och även internettrafik görs ju enkelt idag med vilken android telefon som helst.

Nej!
Tror folk generellt sätt inte bryr sig om hur säker telefonen är.
Folk idag vill ha en cool och snygg telefon med appar.

telefoni

IT-säkerhet: allmänt --> Tele - allmänna diskussioner
/Moderator

Basbandschippet är inte open source och detta betyder att vad som helst kan implementeras i SIM-kretsen utan din vetskap. Dock står det "Fully support the initiative for an open baseband." - det finns inget öppet basband och det lär inte komma något. För det första så är de flesta frekvenserna upptagna sedan länge och för det andra är det otroligt komplicerat att skapa kod för ett basband och denna process lär kosta några miljoner. Något som kostar miljoner blir oftast inte open source.

Det var det stora negativa. Dock finns det inte stor information om säkerheten i PrivatOS. Hur kan du kalla ett OS integritetsvänlig om säkerheten inte är top notch? Vad finns det för skydd mot 0day's? Är SELinux mer patchat än vanligt? Tror utvecklarna att de kan ha bättre säkerhet än själva Android?
"Men det är Open Source". Great, men att ha öppen källkod är ingen garanti på säker kod. Vad öppen källkod ger är fler möjligheter till att hitta sårbarheter om rätt personer studerar koden.

Nä, jag vet inte. Blackphone verkar inte bra då mobilen förlitar sig på tekniker som visats vara bra men implementationen av dessa tekniker är så extremt mycket viktigare.

Ett filsystem som är read-only, säkra hårddiskkommandon, hårdvaruswitchar, open source hårdvara och fulldiskkryptering med en hårdvaru-PRNG. Detta skulle vara något som mobilen behöver.

Större stöd för ECDSA, FORTIFY_SOURCE, hårdkodade certifikat, dm-verity och hårdare SELinux. Är ingen expert på SELinux, men några förbättringar kan säkerligen ske då SEL kördes i permissive mode för ett tag sedan. Detta är något OS:et behöver.

Det finns faktiskt mer som behöver ändras innan man kan kalla denna mobil "NSA-proof". Just nu känns det som de lagt in lite appar som är säkra och sedan shippar de iväg mobilen. Kryptering är inte allt, det finns side-channel attacks på dessa och visst kan du minska attackytorna men du kan aldrig förlita dig på kryptering.

Man har aldrig kallat den NSA-proof, snarare tvärt om.
Man har i intervju sagt att om NSA skulle vilja avlyssna en användare utav Blackphone skulle det troligtvis gå men att den är bra mycket mer säker än övriga mobilerna på marknaden.

Bara så man ser det från rätt perspektiv.

Just den här frågan togs upp förra fredagen på defcon 22 (https://www.youtube.com/watch?v=wgaa0quvW1o) då man frågade Phil Zimmermann (PGP skaparen, och en av grundarna av Blackphone) om detta.

Det är på gång; Nvidia kommer eventuellt göra en audit på säkerheten i basbandschippet som används i Blackphone. Faktum är dock att ingen kund (Apple, Samsung med flera) någonsin efterfrågat något liknande förut, så därför har det inte gjorts.