Ich wollte heute einmal testen, ob die auf meinem HTC Desire installierten Applikationen (Facebook, Twitter, Evernote, …) einigermassen vernünftig mit dem Internet umgehen und Login Daten mit HTTPS gesichert versenden, was in öffentlichen WLANs sehr wichtig ist.
Dabei musste ich mit Erschrecken feststellen, dass Twitter for Android die Login-Daten zum Twitter Account Plaintext über HTTP an den Twitter-Server sendet!
Zum Testen habe ich das Tool Cain & Abel verwendet. Nicht zu vergessen: Das Tool ist in einigen Ländern verboten, darum habe ich es nicht verlinkt. Ich benutze es jedoch sehr gerne zum Testen des eigenen Netzwerkes.
Ich muss zugeben ich hätte so etwas nicht von der Twitter-Applikation erwartet, da es auf jeden Fall keine Kunst für die wäre HTTPS anstatt HTTP zu nutzen und das Passwort nicht im Klartext zu senden.
In meinen Tweet habe ich Twitter_de aufgenommen, mal schauen, ob etwas zurück kommt.
Dies ist ein weiterer Grund für mich nun endlich nach einer vernünftigen VPN-Lösung zu suchen, wie es auch Knut vorgestellt hat, da ich mich recht oft in öffentlichen WLANs aufhalte.
Aber auch im Allgemeinen: Es kann ja nicht sein, dass Passwörter im Klartext durch das Internet schwirren.
Wie seht ihr das? Benutzt ihr eventuell VPN? Wusstet ihr das mit der Twitter for Android App?
Zu der Android Sache kann ich wenig sagen, da ich das System nicht nutze. VPN setze ich grad nicht ein, da meine Anbindung leider viel zu schlecht ist, um irgendeinen großen Nutzen daraus ziehen zu können. Sehr einfach und kostengünstig geht das natürlich mit einem entsprechenden Router:
http://blog.tim-bormann.de/ipad-iphone-vpn-router.html
Leider ist es nicht nur die Twitter App von Twitter selbst, sondern viele weitere, die darauf verzichten verschlüsselt zu kommunizieren. Was in dieser Hinsicht in den Köpfen der Entwickler vorgeht mag ich gar nicht wissen, denn auf der anderen Seite wird sich immer darüber aufgeregt wenn Benutzerdaten abhanden kommen, bei solchen grundlegenden Gedankenfehlern auch kein Wunder.
@Nils:
Den Beitrag von Tim habe ich auch noch auf meiner ToDo Liste, bin mir das mit nem VPN-Router gerade auch am durchdenken.
Die Frage ist, ob ich mit meinen 100 KB/s Upload dann unterwegs noch einigermassen schnell surfen kann.
@nodch:
Das stimmt natürlich, ist noch lange nicht bei allen Apps so, dass die Daten verschlüsselt gesendet werden.
Bei so einem grossen Dienst wie Twitter kann man das dann aber schon erwarten, finde ich zumindest.
Ja, man muss es quasi erwarten können. Warum an diesen Stellen geschlafen wird ist mir auch nicht klar, zumal nun wirklich genug Zeit gewesen ist sich die Konkurrenz anzuschauen und die Vorteile «abzuschauen».
@Jeffrey: 100KB/s wären übrigens noch immer mehr als das Doppelte meines maximalen Downloads hier zu Hause ;)
@nodch:
Da hast du recht, man muss es erwarten können. Naja, kann man (leider) nicht viel machen ausser warten :(
@Nils:
Stimmt, ich habe deinen Kommentar bei Tim gelesen.
Das Surfen im Internet macht mit dem Speed bestimmt nicht wirklich Spass. Das Hochladen von Bildern und Dateien z.B. für die Dropbox sprechen wir erst gar nicht an :)
Hi,
ich habe es grade mit der iPhone App getestet dort wird es nicht in Plaintext übertragen. Auch die neue Messenger App von Micrsoft überträtgt verschlüsselt. Ist dir das Problem auch bei anderen Android aufgefallen?
@Mirrco:
Bei anderen Android Apps ist mir das aktuell noch nicht aufgefallen aber ich muss mir das in den nächsten Wochen mal genauer anschauen :)
Hallo!
Ich habe seit Samstag endlich ein Android Handy (Galaxy von Samsung) und hab mich so gut es geht mit der neuen Materie beschäftigt. Einen Twitter Client wollte ich natürlich auch haben. Also im Market gesucht — siehe da: es gibt ja sogar «das Original»! Also mutig auf «Installieren» gegangen, aber was ist das? Neben «Ihr Standort» (ok), «Netzwerkkommunikation» (ok) will die App auch Zugriff auf «Persönliche Informationen — Kontaktdaten lesen und schreibem» sowie «Ihre Konten — Als Kontenauthentifizierer fungieren.…» . Sollte man da mißtrauisch sein? Wofür brauchen die das alles? Und dann lese ich hier, daß das Paßwort plain übertragen wird…
Jetzt schaue ich mir mal Twicca an.
@Martin:
Gute Frage für was die anderen beiden Berechtigungen benötigt werden. Ich kann es dir leider nicht sagen.
Aber nur schon das Plaintext-Passwort ist ein NoGo für mich. Daher nutze ich nun seit einiger Zeit aktiv Twicca, funktioniert sehr gut!
Pingback: Blogger-Twitter-Facebook-Internet World
Wurde es mittlerweile geändert?
Kann ich dir leider nicht sagen, ob es mittlerweile geändert worden ist.
Musst du selber ausprobieren oder in den Changelogs von der Twitter-App für Android nachschauen.