Übertragung der Google-Mail Kontodaten nicht verschlüsselt

[robDHD]

Hallo zusammen,

ich habe heute bemerkt, im Zuge von etwas rumsniffen, dass die Anmeldedaten von GoogleMail vollkommen unverschlüsselt übertragen werden, so dass jeder beliebige PC in meinem Wlan sich diese Daten ersniffen kann. Ist es möglich dies irgendwie zu verhindern, da ich etwas angst habe, dass meine ganzen PW's weg sind wenn ich in ein fremdes WLAN gehe und jemand snifft.

Lg
robdhd

 

[Thyrion]

Welche App hat denn die GMail-Daten verwendet, als sie im Klartext übermittelt wurden? War es eine der Google eigenen Apps?

Hintergrund der Frage: Es ist ja möglich z.B. die Emails von Gmail auch mit alternativen Mail-Apps abzurufen und je nach Einstellung kann es sein, dass dort die Daten klartextlich übertragen werden - Um also einen Rat zur Abhilfe geben zu können, müssen wir etwas mehr über deine Konfiguration wissen.

 

[McFlow]

Ich denke es geht nicht um eine alternative App, sondern um die Gmail App selbst.
Einer der ersten Treffer bei Google:
Android: Contacts, mails and calendar sync encrypted? - Gmail Help
Es empiehlt sich nach den "top rated" Beitrag noch weiterzulesen. Wenn ich das richtig überflogen habe, wird von den Anmeldedaten "nur" der Benutzername im Klartext übertragen.

Aber zu mindest bei emails ist Verschlüsselung doch sowieso fast egal. Die werden leider eh in der Regel im Klartext um die halbe Welt versendet.

 

[the_alien]

Aber zu mindest bei emails ist Verschlüsselung doch sowieso fast egal. Die werden leider eh in der Regel im Klartext um die halbe Welt versendet.

Es geht ja auch darum ob die Anmeldedaten verschlüsselt sind oder nicht. Wenn jemand mein Passwort für Google hätte, hätte ich ziemlich verloren

 

[McFlow]

Es geht ja auch darum ob die Anmeldedaten verschlüsselt sind oder nicht. Wenn jemand mein Passwort für Google hätte, hätte ich ziemlich verloren

Zugegeben, der von dir zitierte Satz, ging größtenteils an der Fragestellung des Threads vorbei.
Wie es aussieht, wird aber "nur" der Benutzername bei der GMail App im Klartext übertragen. Das ist ja eigentlich schon schlimm genug. Das stand aber auch in meinem vorherigen Beitrag drin.

 

[robDHD]

Also ich hab es heute nochmal ausprobiert, also ich habe mich selbst gesnifft (bei verwendung des originalen GoogleMail Apps und auch über ActiveSync (eig ja SSL)) und es standen Benutzername und PW in Klartext dick und fett in den Ergebnissen.

 

[McFlow]

Wow... das ist hart.

 

[skrogmann]

Das ist wirklich sehr bedenklich, wenn das tatsächlich stimmt, dann sollte man bei Goggle einen Bugreport auf machen, dass die das schleunigst fixen. Ich werde das auch mal sniffen.

Danke für den Hinweis.

 

[Tonno]

Also ich hab grad Wireshark angeworfen und kann weder meinen Anmeldenamen, noch das passwort in den Ergebnissen finden.

Hab allerdings auch Android 2.3.3


Da ich mich mit Wireshark nur wenig auskenne kann mir vielleicht jemand auf die Sprünge helfen wie es geht

 

[crobe]

Moin,

ich konnte nix zu dem Thema finden, deshalb mach ich mal nen Thread auf und gucke was passiert.

Habe gerade den Post gelesen Things overheard on the WiFi from my Android smartphone | Freedom to Tinker und gedacht: Das kann doch nicht wahr sein.

Also mal Shark for Root angeworfen, nen Kalenderevent erstellt und nen Kontakt angelegt. Traffic angeguckt, http Pakete gefunden. Wenn man sich die anguckt, sieht man schon, dass der Google Login ( also name@googlemail.com ) da mit drin steht. Guckt man sich das Paket weiter an, sieht man, dass da einfach nur komprimiert der Request drin steht, ala

<?xml version='1.0' encoding='UTF-8' standalone='no' ?>
<entry xmlns="http://www.w3.org/2005/Atom" xmlns:gd="http://schemas.google.com/g/2005" xmlns:gContact="http://schemas.google.com/contact/2008">
<gContact:groupMembershipInfo href="http://www.google.com/m8/feeds/groups/MEINNAME@googlemail.com/base/6" deleted="false" />
<gd:name>
<gd:givenName>Aaa</gd:givenName>
<gd:familyName>Aaa</gd:familyName>
<gd:fullName>Aaa Aaa</gd:fullName>
</gd:name></entry>

Ich mein HALLO? Damit kann jeder, der die Packete mitsnifft ( was auch problemlos mit dem Handy geht ) neu synchronisierte Kontakte und Kalendereinträge sehen? Ich bin doch nicht bei Facebook?

Bin ich paranoid oder ist das etwas eigenartig?

/edit: Ah danke fürs zusammenführen. Hab den Thread nicht gefunden weils hier ja um Mail geht. Und anscheinend interessierts auch keine Sau. Arm.