Zitat
Original geschrieben von rota
Die Kunden-Daten auf unseren Servern sind nach bester Möglichkeit gesichert und geschützt - durch redundante ("ausfallsichere"), hochverfügbare Datenhaltung, durch SSL-Verschlüsselung und Passwort-Schutz, durch verschlüsselte Ablage in der Datenbank usw.. Heutzutage hostet auch fast kein Mensch mehr seinen Webspace selbst - und in gleicher Manier wird das Thema ASP immer verbreiteter und damit akzeptierter... (Bleibt zu hoffen
)
Gerne auf weitere Diskussion!
In die Diskussion steige ich gern ein. 
Zitat
Zur Steuerung der Geräteverwaltung wird eine Client Applikation auf den Geräten "reset-sicher" installiert. Dieser RotaPro Client arbeitet auf dem mobilen Gerät vollständig "unsichtbar" im Hintergrund. Er erlaubt standardmässig keine Einstellungsänderungen des Anwenders und der Dienst kann nicht "von Hand" gelöscht werden.
Die Installation dieses Clienten kann wahlweise direkt über das RotaPro Webinterface mit der Funktion zur Out-of-the-Box-Initialisierung oder aber in herkömmlicher Weise über eine PC-Verbindung erfolgen.
Man installiert also auf seinem Symbian-Handy ein Programm, das unsichtbar läuft und eine weitgehende Fernsteuerung des Gerätes aus der Ferne erlaubt. Könnte man das, wenn man etwas bösartig wäre, als "Rootkit für's Handy" bezeichnen? 
Die Kommunikation zwischen dem Browser auf dem PC und dem Server läuft SSL-verschlüsselt. Aber wie sicher ist die Kommunikation zwischen dem Server und dem Handy? Die Client-Applikation dürfte auf allen S60-Handys die gleiche sein. Gibt es dann einen zentralen Hauptschlüssel für die Hintertür auf dem Handy oder jeweils einen individuellen Schlüssel für jedes Handy?
Die Aufforderung, einen Ordner zu löschen oder ein weiteres Programm "still" zu installieren, kann nur per SMS übermittelt werden. Steckt dann in ihr die komplette Handlungsanweisung, oder fordert sie das Handy nur zur Kontaktaufnahme mit dem Server per GPRS auf, wobei dann eine sichere Kommunikation möglich wäre? Werden nach/bei der Installation des Clients hinreichend sichere Schlüssel generiert/ausgetauscht?
Das mag jetzt etwas übertrieben klingen, aber wenn damit geworben wird, daß man Firmendaten im Falle des Verlustes eines Handys schützen kann, darf man auch fragen, wie sicher man davor ist, daß jemand die Client-Software analysiert und in dann in der Lage ist, unbemerkt weitere Spionage- oder Schadprogramme auf dem Handy zu installieren.
Die "Handy-FAQ" auf der Webseite gibt mir etwas zu denken in Bezug auf die Sicherheitsphilosophie.
Zitat
Frage: Wie lautet das Passwort, das ich eingeben muss, um eine Konfigurationsmitteilung (GPRS/E-Mail-Zugangspunkt) auf meinem Handy nutzbar zu machen?
Antwort: Das Standard-Passwort lautet 1234.
Hinweis: Die Abfrage eine Passworts ist auf bestimmten Mobilfunkgeräten zwingend erforderlich. Auf allen Geräten, wo dies der Fall ist, lautet das Standard-Passwort gleich. Alle Geräte, die technisch auch ohne Passwort auskommen, fragen dann auch kein Passwort ab.
Ein öffentlich bekanntes Passwort für alle entspricht nicht unbedingt dem höchsten Standard.
Einige Mitarbeiter würden dann wohl auch Konfigurations-SMS von fremder Seite akzeptieren. Mit einem manipulierten GPRS-Zugangsprofil liesse sich die gesamte Kommunikation über einen beliebigen Proxy umleiten und ggf. mitprotokollieren bzw. zu einem Fake-Server umleiten.
Ich übertreibe vielleicht etwas, aber wenn eine Art Hintertür auf dem Handy installiert wird, frage ich mich, wie diese gesichert ist.
Grüße,
Lanturlu
P.S.:
Der Feature-Übersicht Matrix entnehme ich, daß man beim M65 keine GPRS-Verbindungen per SMS einrichten kann. Hat Siemens hier bei der Umsetzung des "OMA client provisioning" etwas geschlampt? Ich hatte dieses mal beim M55 ausprobiert, wobei mir zwar die Einrichtung des WAP-Zugangs per SMS gelang, nicht aber die Konfigurierung der MMS-Einstellungen.
Das M55 hat übrigens auf die Eingabe des Passworts verzichtet.