Nur eins vorweg: Ich wollte Dir nicht persönlich ans Leder. Ich finde es ja auch gut, dass es auch für die von Nokia im Regen stehen gelassenen, die sich dieses Telefon extra wegen der beworbenen Java-Fähigkeiten gekauft haben, auch eine solche Möglichkeit gibt!
Ein bisschen Kritik muss allerdings erlaubt sein. Ich kenn mich da schon ein bisschen aus, da ich selber J2ME-Software entwickel. Wenn ich Deine Argumente einem Kunden gegenüber gebracht hätte, wäre ich den Auftrag los oder würde ihn nicht bekommen.
ZitatOriginal geschrieben von nubi
Also das mit der "kürzesten Zeit" ist wohl etwas selbst überschätzend. Es bedarf wohl etwas mehr als eines Zufallsbeobachters und ein paar Handgriffe. Aber das ist auch nicht das Thema.
Das ist im Prinzip richtig, wenn jemand allerdings die Daten für wichtig hält, dann ist das allerdings wirklich keine grosse Hürde. Einfach einen Account bei Euch anmelden, Testdaten schicken, analysieren und fertig. Jemand, der ein bisschen Erfahrung damit hat, ist damit ratzfatz durch.
Zitat
Man sollte doch mal auf dem Teppich bleiben. Hat SMS oder MMS spezielle Sicherheitsmechanismen? Verschlüsselt jeder seine Mail mit PGP?
Fakt ist, daß wir mit Sirius zumindest eine zusätzliche Sicherheit auf das zugrundeliegende Netz draufgepackt haben.
Da gibt es einen riesigen Unterschied: Bei SMS und MMS bleiben die Mails in den Providernetzen und laufen nicht über nicht vorhersagbare Wege im Internet, womöglich gar um die Welt. Das vervielfacht die Angriffsfläche, und das enorm!
Zitat
Starke Kryptographie ist mit 5 Euro und geringen Übertragungskosten halt nur schwer vereinbar.
Ich kenne Eure Kalkulation nicht, von daher kann ich dazu nichts sagen. Es gibt aber OpenSource-Bibliotheken, die auch mit J2ME/MIDP funktionieren, die kostenlos sind und sogar kommerziell genutzt werden können. Die benutze ich auch. Der Einarbeitungsaufwand ist sehr gering.
Zitat
Das ist schlichtweg falsch und am Thema vorbei! Das die meisten Server das technisch vorsehen, heißt noch lange nicht, daß es auch eingesetzt wird. Die wenigsten kleinen Provider werden die notwendigen Zertifikate dafür einholen. Klar bieten große Freemailer diesen Service an, aber von Flächendeckung kann keine Rede sein.
Zum Anderen ist der technische Aufwand nicht zu unterschätzen.
Zum einen machen die grossen Freemailer ja den grössten Teil der Postfächer aus, zum zweiten sind Zertifikate nun wirklich nicht teuer.
Und wo ist das Problem beim technischen Aufwand? Auch hier wieder gibt es ohne Ende OpenSource, die Ihr mit geringem Aufwand an Euren Gateway-Server anpassen könnt.
Zitat
Das mit dem Sniffer ist nicht ganz falsch. Es ging aber darum, daß das Gateway selber keine kritischen Daten SPEICHERT. Ein Sniffer, der auf der Leitung hängt kann schließlich überall auf der Leitung hängen. Das ist doch kein Mangel an unserem Gateway. Wer sagt Dir, daß das GPRS-Gatway und die Technik des Providers sicher ist? Kennst Du den Server und den Adminstrator deines Postfaches persönlich? Sein polizeiliches Führungszeugnis?
Tja, den Server und den Admin meines Postfaches kenne ich recht gut, das bin ich nämlich selber... Das Führungszeugnis habe ich allerdings noch nicht gesehen, das besagt für den Fall, dass es frei von Einträgen ist, allerdings auch nicht viel...
Was ich damit sagen wollte, ist, dass wenn, wie Du geschrieben hast, ein Cracker auf Euer Gateway kommt, die ganzen Daten so oder so bekommt. Ob die nun da schon liegen oder er ein root-kit installiert, welches sie mitprotokolliert, ist da gleich.
Wie oben schon gesagt, gibt es absolute Sicherheit nicht. Wenn man allerdings über das Internet geht, kann man nun mal nicht vorhersagen, wo die Daten langlaufen und das vervielfacht die Angriffsfläche gegenüber den Netzanbieterlösungen um ein Vielfaches. Das darf man nicht unterschätzen.
Zitat
Die Anregung zu TLS/SSL nehmen wir gern auf. Ich will aber nicht verschweigen, daß wir andere Aufgaben auch als Wichtig ansehen. Handbuch, Mehrsprachigkeit und die Unterstützung von T-Online (Webmail) zum Beispiel.
Da spricht ja nichts gegen, zumal ja wahrscheinlich hauptsächlich Privatkunden Eure Zielgruppe sind. Im Bekanntenkreis erlebe ich das ja auch immer wieder, dass die Mailprogramme auf nacktes POP3 eingestellt sind und die vorhandenen Sicherheitsmechanismen gar nicht genutzt werden. Insofern interessiert es wohl nicht so viele.
Was mich nur gestört hat, war die Tatsache, dass Du es so dargestellt hast, als sei das Ganze sicher.
Zitat
MIDP 2.0 und https ist noch lange kein Thema. Auch wenn die Specs Gestalt annehmen, wird es noch eine gaaaanze Weile dauern, bis Handy's die auch an Board haben.
Och, bei den vielen schicken Neuerungen vor allem für Spiele wird da bestimmt noch das ein oder andere Telefon dieses Jahr damit rauskommen, zumal Sun die Spec schon freigegeben hat.
Zitat
Fazit: Sirius ist nicht als Security-Applikation gedacht. Er lässt jedoch auch keine unnötigen Lücken offen. Man sollte auch mal die
Code-Größe von reichlich 20 kByte beachten!
Mein Beitrag sollte ja auch nur die gesamte Problematik beleuchten und die Sicherheitsaspekte klarstellen.
Wie gesagt, wenn Eure Zeit und Kapazität es zulassen, solltet Ihr die beiden Punkte
1. Verbindung Gateway <-> Mailserver (TLS/SSL) und
2. Verschlüsselung Mobiltelefon <-> Gateway
mal untersuchen.
Wie schon erwähnt, programmiere ich auch sowas, allerdings nicht POP3, sondern Mobiltelefonanbindung an Portale, und da ist Verschlüsselung einfach Pflicht, aber vom Aufwand her war das wirklich gering. Denkt einfach mal darüber nach.
Ansonsten natürlich Gratulation, dass ihr den armen 6310i-Nutzern diese Möglichkeit zur Verfügung stellt 
(Für mich war das übrigens der Grund, nicht das 6310i zu nehmen, eben aufgrund der nicht vorhandenen Sockets-Unterstützung).
