Danke für die "Analyse", aber die Aussagen kann ich auch nicht unkommentiert lassen.
Zitat
Naja, alles was nicht verschlüsselt ist, kann in kürzester Zeit decodiert werden. Insofern ist das nicht richtig und Augenwischerei. Nur ein Zufallsbeobachter kann damit nichts anfangen.
Also das mit der "kürzesten Zeit" ist wohl etwas selbst überschätzend. Es bedarf wohl etwas mehr als eines Zufallsbeobachters und ein paar Handgriffe. Aber das ist auch nicht das Thema.
Man sollte doch mal auf dem Teppich bleiben. Hat SMS oder MMS spezielle Sicherheitsmechanismen? Verschlüsselt jeder seine Mail mit PGP?
Fakt ist, daß wir mit Sirius zumindest eine zusätzliche Sicherheit auf das zugrundeliegende Netz draufgepackt haben.
Starke Kryptographie ist mit 5 Euro und geringen Übertragungskosten halt nur schwer vereinbar.
Zitat
Das ist leider schlichtweg falsch. Jeder heute gängige Mailserver, sei es nun Notes, Exchange, Sendmail, Exim, Qmail, Postfix und wie sie alle heissen, unterstützen TLS/SSL und viele Freemail-Anbieter wie web.de und GMX ebenfalls!
Das ist schlichtweg falsch und am Thema vorbei! Das die meisten Server das technisch vorsehen, heißt noch lange nicht, daß es auch eingesetzt wird. Die wenigsten kleinen Provider werden die notwendigen Zertifikate dafür einholen. Klar bieten große Freemailer diesen Service an, aber von Flächendeckung kann keine Rede sein.
Zum Anderen ist der technische Aufwand nicht zu unterschätzen.
Zitat
Das ist leider auch nicht richtig. Denn wenn erstmal ein Sniffer auf dem Gateway installiert ist, dann sind auch die POP3-Daten flöten...
Das mit dem Sniffer ist nicht ganz falsch. Es ging aber darum, daß das Gateway selber keine kritischen Daten SPEICHERT. Ein Sniffer, der auf der Leitung hängt kann schließlich überall auf der Leitung hängen. Das ist doch kein Mangel an unserem Gateway. Wer sagt Dir, daß das GPRS-Gatway und die Technik des Providers sicher ist? Kennst Du den Server und den Adminstrator deines Postfaches persönlich? Sein polizeiliches Führungszeugnis?
Zitat
Leider falsch.
Ich würde Euch vorschlagen, dass Ihr als ersten Schritt Euer Gateway so umstellt, dass es zumindest TLS/SSL nutzt, wenn die Gegenseite das unterstützt. Und als zweiter Schritt dann eine Verschlüsselung des Datenverkehrs zum Mobiltelefons. Allerdings ist https in MIDP2.0 schon vorgesehen, so dass das wohl bald nicht mehr nötig sein sollte.
Die Anregung zu TLS/SSL nehmen wir gern auf. Ich will aber nicht verschweigen, daß wir andere Aufgaben auch als Wichtig ansehen. Handbuch, Mehrsprachigkeit und die Unterstützung von T-Online (Webmail) zum Beispiel.
MIDP 2.0 und https ist noch lange kein Thema. Auch wenn die Specs Gestalt annehmen, wird es noch eine gaaaanze Weile dauern, bis Handy's die auch an Board haben.
Fazit: Sirius ist nicht als Security-Applikation gedacht. Er lässt jedoch auch keine unnötigen Lücken offen. Man sollte auch mal die
Code-Größe von reichlich 20 kByte beachten!