TWRP = große Sicherheitslücke?

  • 17 Antworten
  • Neuster Beitrag
7

7Zoll

Stammgast
Threadstarter
Hallo Ihr,

mir kam neulich folgender Gedanke, als ich dank TWRP-Dateimanager mein nicht mehr akzeptiertes Muster ganz einfach löschen konnte: Mittels TWRP kann ja im Prinzip jeder genau das machen, wenn er mein Gerät in die Hände bekommt (Verlust, Diebstahl usw.).

Kann man TWRP irgendwie absichern, z.B. mit Passwort? Denn so gesehen ist TWRP ja eine echt große Sicherheitslücke im Gegensatz zu einem Gerät mit original Firmware.
 
Zuletzt bearbeitet:
H

h0LLe

Stammgast
Mir nicht bekannt, daher auch oft die Sperre von Apps(Banking, Versicherungen) wenn diese erkennen dass das Gerät gerootet ist...
 
7

7Zoll

Stammgast
Threadstarter
TWRP ist ja nicht gleichbedeutend mit root.
 
FF-Marcel

FF-Marcel

Neues Mitglied
h0LLe schrieb:
Mir nicht bekannt, daher auch oft die Sperre von Apps(Banking, Versicherungen) wenn diese erkennen dass das Gerät gerootet ist...
Ich nehm einfach mal das berühmte Beispiel "Sparkassen-App" - dort wird nur gewarnt dass die App nicht mehr sicher funktionieren könnte, weil Root installiert sei - benutzen kann ich sie dennoch.

7Zoll schrieb:
TWRP ist ja nicht gleichbedeutend mit root.
Ebenfalls wahr.
 
Lecter

Lecter

Erfahrenes Mitglied
Deshalb gehören wirkliche sichere Daten auch auf kein Smartphone!
 
7

7Zoll

Stammgast
Threadstarter
Was sind denn "wirklich sichere Daten"? Zugangsdaten für einen E-Mail-Account, persönliche Kontaktadressen und Kalendereinträge sowie ein paar Fotos aus dem eigenen Umfeld offenbar nicht, oder? Denn dann sollte man Deiner Ansicht nach also gleich ganz auf ein Smartphone verzichten?

Aber das kann doch nicht wirklich sein, dass TWRP ein derart offenes Scheunentor bedeutet? Ich hatte eigentlich gehofft, dass ich mich irre und es einen brauchbaren Schutz dafür gibt. Immerhin sind es doch genau die "Profis", die ihre Geräte mit root und Co "sicherer" machen wollen und auf TWRP und Custom ROMs setzen.
 
Lecter

Lecter

Erfahrenes Mitglied
Niemand zwingt dich dein Smartphone zu rooten etc. Wenn Du Dein Handy verschlüsselst kann das auch TWRP nicht mehr lesen. Ich glaube Du verwechselst da etwas.
 
7

7Zoll

Stammgast
Threadstarter
Ich verwechsele da nichts. Aber auf ein Handy ohne TWRP kann man so ohne Weiteres nicht zugreifen, erst recht nicht, wenn es locked ist. Ob man den TWRP-Filemanager noch nutzen kann, wenn das Gerät verschlüsselt ist, weiß ich nicht, noch nicht ausprobiert (gibt ja keinen Weg zurück, daher probier ich das jetzt nicht).

Mir ging es hier darum zu klären, ob es tatsächlich keinen einfachen oder eingebauten Schutz gibt, wenn man TWRP installiert hat.
 
X

xiaomensch

Neues Mitglied
Es scheint, als gäbe es eine Drittlösung die über ein Theme funktioniert und einen Passwortschutz nachrüstet. Zum Beispiel hier How To Set Password Code In TWRP Recovery zu finden. Würde ich mit Vorsicht genießen, da es ein externer Anbieter ist und womöglich mit der TWRP Version abgestimmt sein muss - ich habe es nicht probiert und werde es nicht machen.

Gleichzeitig gibt es hier Why doesn't TWRP have password protection? die meiner Meinung nach sehr passende Begründung, warum TWRP keinen Passwortschutz bietet. In Kurzform: sobald dein Handy in anderer Leute Hände ist, ist es eh zu spät und es gibt Mittel und Wege, an die (unverschlüsselten!) Daten zu kommen oder diese zu löschen.
 
Zuletzt bearbeitet:
Mond96

Mond96

Stammgast
Da kannst du machen was du willst, nicht TWRP allein ist die Riesenlücke. Der Fastbootmodus ermöglicht es ja auch jedem TWRP flashen. Die Lücke mit TWRP lässt sich einfach schließen, wenn man nach Erlangen von Root die selbe Rom mit original Recovery.img dirty flasht. Alle Daten und Einstellungen bleiben dabei erhalten.
 
7

7Zoll

Stammgast
Threadstarter
Das stimmt im Grunde alles, auch wenn die Antwort von TWRP selbst in erster Linie darauf eingeht, das Gerät vor einer künftigen Nutzung durch den Dieb verhindern zu wollen. Den meisten Leuten geht es aber wohl eher um die Gefahr, dass die eigenen Daten in falsche Hände gelangen. Man kann zwar Mailpasswort ändern, aber alles an Mails, Kurznachrichten usw. auf dem Gerät schützt das natürlich gar nicht.

Insofern kann man sich wohl nur mit der eingebauten Geräteverschlüsselung schützen. Aber davor habe ich Respekt, da es dafür ja keinen Rückweg gibt. Hat das jemand von Euch schon mal probiert? Wie verhält sich TWRP, wenn das Gerät verschlüsselt wurde? Kommt man dann noch an die einzelnen Dateien ran via TWRP-Dateimanager, kann diese aber nicht lesen, oder ist die gesamte Dateistruktur damit unlesbar, weil sie als Block verschlüsselt wurde? Kann man noch Updates einspielen und Backups machen usw.?
 
S

Soulreaver1993

Fortgeschrittenes Mitglied
Hallo,
ich habe mal mit Android 6 die SD Karte zum Speicher hinzugefügt. Dadurch konnte mein TWRP nichts mehr erkennen.
 
7

7Zoll

Stammgast
Threadstarter
Versteh leider nicht, was Du meinst.
 
I

iamunknown

Neues Mitglied
Zwei Dinge helfen bei Diebstahl.
1. Ein sicherer(!) gelockter Bootloader, der nur sichere(!) Images bootet
2. Verschlüsselung

Da beim Kate fröhlich der Bootloader gepatched werden kann, hilft nur letzteres.
 
Mond96

Mond96

Stammgast
Wenn es nur um die Datensicherheit geht, unter Resecurrection Remix, einem Nougat ROM, ist erforderlich ebenfalls einen PIN einzugeben damit TWRP überhaupt startet. Verschlüsselt wird von Haus aus. Das man dies am PC immer noch umgehen kann ist mir klar.
 
7

7Zoll

Stammgast
Threadstarter
iamunknown schrieb:
1. Ein sicherer(!) gelockter Bootloader, der nur sichere(!) Images bootet
Solange TWRP ohne PW zugänglich ist, nützt Dir auch Dein "sicherer" Bootloader genau gar nichts.
 
Mond96

Mond96

Stammgast
Schreibt er doch.
 
I

iamunknown

Neues Mitglied
Wie Mond96 bereits anmerkte steht das schon oben. Ein gelockter Bootloader der ein nicht signiertes Image bootet ist alles mögliche - aber eben nicht sicher.
 
Oben Unten