O que o Android Sync'd Data é criptografado? -- 2.2-froyo campo com sync campo com security campo com encryption campo com privacy camp android Relacionado O problema

com o lançamento do plug-in de firesheep/codebutler.github.com/fireesheep/"> Firefox para o Firefox Tornou-se trivial para navegação em redes abertas Wi-Fi para ser seqüestrado por ouvintes de terceiros.

Android oferece a conveniente opção de sincronização automática. No entanto, temo que meus dados possam ser sincronizados automaticamente enquanto estou conectado a uma rede Wi-Fi aberta enquanto estiver no café local ou shopping.

é todos os dados Android Auto-Sincs criptografados usando SSL ou um mecanismo de criptografia semelhante? É qualquer dado sincronizado automático não criptografado e transmitido no claro para que todos escutem?

update : completamente inseguro !!!! Veja abaixo !!!!

Nota: respondendo minha própria pergunta como ninguém sabia.

Eu fiz uma captura de pacotes depois de selecionar o menu - & gt; Contas e amp; Sincronizar - & gt; Sincronização automática (também acessível através do widget "Power Control"). O que eu descobri?

para o meu horror (solicitações HTTP do telefone exibido abaixo):

  GET /proxy/calendar/feeds/myaccount%40gmail.com HTTP/1.1 Accept-Encoding: gzip Authorization: GoogleLogin auth=_hidden_ Host: android.clients.google.com Connection: Keep-Alive User-Agent: Android-GData-Calendar/1.4 (vision FRF91); gzip    
 e 
 
  GET /proxy/contacts/groups/myaccount@gmail.com/base2_property-android?showdeleted=true&orderby=lastmodified&updated-min=2010-12-01T08%3A49%3A00.561Z&sortorder=ascending&max-results=10000&requirealldeleted=true HTTP/1.1 Accept-Encoding: gzip Authorization: GoogleLogin auth=_hidden_ GData-Version: 3.0 Host: android.clients.google.com Connection: Keep-Alive User-Agent: Android-GData-Contacts/1.3 (vision FRF91); gzip    
 Meus  Contatos  e  calendário  estão sendo transmitidos  não criptografado ! Eu não sincronizo no momento do Gmail, então eu não poderia dizer se isso é não criptografado. 
 
 Também o aplicativo do mercado de ações (que deve ser um serviço porque eu não tenho o widget exibido ou o aplicativo ativo): 
 
  POST /dgw?imei=TEST&apptype=finance&src=HTC01 HTTP/1.1 User-Agent: curl/7.19.0 (i586-pc-mingw32msvc) libcurl/7.19.0 zlib/1.2.3 Content-Type: text/xml Content-Length: 338 Host: api.htc.go.yahoo.com Connection: Keep-Alive Expect: 100-Continue  <?xml version="1.0" encoding="UTF-8"?> <request devtype="HTC_Model" deployver="HTCFinanceWidget 0.1" app="HTCFinanceWidget" appver="0.1.0" api="finance" apiver="1.0.1" acknotification="0000"> <query id="0" timestamp="0" type="getquotes"> <list><symbol>VOD.L</symbol><symbol>BARC.L</symbol></list></query> </request>    
  Completamente  Solicitação não criptografada para cotações de ações: Apenas pense, você poderia se sentar em Starbucks no centro financeiro da sua cidade e pacotes - farejam quais citações eram importantes para todos os usuários de telefone inteligente. 
 
 Outros itens que não foram criptografados: 
 
 
 solicitação http para  htc.accuweather.com  
 
  Tempo  Solicitação para  ABCDEFGHIJKLMNABCDEFGHIJKLMN4  (nem use NTP) 
 
 
 Sobre os dados  apenas  que é criptografado no meu telefone são as contas de correio que configurei com o aplicativo K-9 (porque todas as minhas contas de e-mail usam SSL - e felizmente as contas do Gmail são, por padrão , SSL; e  yahoo! Mail suporta IMAP usando o SSL  também). Mas parece  nenhum  dos dados de sincronização automática do telefone fora da caixa é criptografado. 
 
 Isso é em um  HTC Desire Z  com Froyo 2.2 instalado. Lição:  Não use telefone na rede sem fio aberta sem tunelamento criptografado VPN  !!! 
 
 Observação, captura de pacotes tiradas usando o TShark na interface PPP0 no nó virtual executando o Debian conectado ao telefone Android via openswan (ipsec) xl2tpd (L2TP). 
 

Resultados capturados em um LG Optimus V (VM670), Android 2.2.1, estoque, enraizado, comprado em março de 2011.

A partir de hoje, os únicos pedidos não criptografados que eu poderia encontrar em um pcap tirado durante um resync completo foram:

álbuns da web do Picasa

  GET /data/feed/api/user/<username>?imgmax=1024&max-results=1000&thumbsize=144u,1024u     &visibility=visible&kind=album HTTP/1.1 GData-Version: 2 Accept-Encoding: gzip Authorization: GoogleLogin auth=<snipped> If-None-Match: <snipped; don't know if it's sensitive info> Host: picasaweb.google.com Connection: Keep-Alive User-Agent: Cooliris-GData/1.0; gzip    
 é isso. 
 
 Picasa foi o único serviço que eu poderia encontrar sendo sincronizado não criptografado. Facebook solicitou imagens de perfil de par (mas não passou nenhuma informação de conta); Skype solicitou anúncios; e Tooyoou pegou uma nova imagem da bandeira. Nenhum dos relacionados ao sincronismo, na verdade. 
 
 Então parece que a segurança de sincronização do Google foi apertada um pouco.  Desligar a sincronização de álbuns da Web do Picasa  e todos os seus dados do Google devem ser sincronizados em formulário criptografado. 
 
 mercado 
 
 Isso me incomodou um pouco: 
 
  GET /market/download/Download?userId=<snipped>&deviceId=<snipped>     &downloadId=-4466427529916183822&assetId=2535581388071814327 HTTP/1.1 Cookie: MarketDA=<snipped> Host: android.clients.google.com Connection: Keep-Alive User-Agent: AndroidDownloadManager    
 O retorno deste é um 302 movido temporariamente que aponta para um URL de download altamente complexo: 
 
  HTTP/1.1 302 Moved Temporarily Cache-control: no-cache Location: http://o-o.preferred.iad09g05.v5.lscache6.c.android.clients.google.com           /market/GetBinary/com.wemobs.android.diskspace/1?expire=1322383029&ipbits=0           &ip=0.0.0.0&sparams=expire,ipbits,ip,q:,oc:<snipped>           &signature=<snipped>.<snipped>&key=am2 Pragma: no-cache Content-Type: text/html; charset=UTF-8 Date: Fri, 25 Nov 2011 08:37:09 GMT X-Content-Type-Options: nosniff X-Frame-Options: SAMEORIGIN X-XSS-Protection: 1; mode=block Server: GSE Transfer-Encoding: chunked    
 o gerenciador de download do Android vira ao redor e solicita que o download do local, passando o  MarketDA  cookie novamente. 
 
 Eu não sei se há algum perigo de segurança de como os downloads do mercado são apks. O pior que posso imaginar é que os downloads APK não criptografados abrem a possibilidade de interceptação e amp; Substituição com um pacote malicioso, mas tenho certeza que o Android tem verificações de assinatura para evitar isso.