Thema "Betreff: Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen" in Tablets

Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen

hgorczyt — Wed, 27 Sep 2017 19:47:44 GMT

Hallo,
keine Ahnung, ob ich in diesem Forum richtig bin, aber meine Kinder haben einen Fehler in der Sicherheitsprüfung der Benutzerverwaltung entdeckt 🙂 Dadurch lässt sich über einen Benutzer mit eingeschränktem Profil zu dem Hauptbenutzer wechseln ohne dass das Passwort eingegeben werden muss. Das lässt sich folgendermaßen reproduzieren, ich habe es aber nur mit einer Schutzhülle reproduzieren können, weil das Schließen des Tablets über die Hülle wichtig ist:

1. Den Hauptbenutzer (Name hier "admin") mit einem Kennwort schützen
2. Einen Benutzer mit eingeschränktem Profil (Name "kinder") anlegen. Diesem kein Kennwort / keine Sperre zuweisen
3. sich mit dem Benutzer "kinder" anmelden und den Desktop entsperren (durch Streichen über den Bildschirm, ist ja keine Sperre drin)
4. Durch Streichen über den oberen Bildschirmrand das Menü sichtbar machen und auf das Benutzerprofil (das "Kopfsymbol") tippen
5. Den Hauptbenutzer ("admin") auswählen und dann schnell (während noch der weiße Balken mit "Wechsel zu admin" sichtbar ist) die Schutzhülle zuklappen. Dieser Punkt ist wichtig. Durch Ausschalten über die Taste oder sonstige Aktion lässt sich das nicht reproduzieren.
6. Nach ca. 5 Sekunden das Tablet durch Öffnen der "Hülle" wieder aktivieren
7. Der Desktop ist entsperrt, das aktive Konto ist "admin"

Mir stellt sich die Frage: Ist das ein Android-Bug oder ein Fehler im Samsung-Branding?

Betreff: Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen

DanielBro — Fri, 29 Sep 2017 08:00:22 GMT

Hallo hgorczyt,

ich habe noch nie etwas vergleichbares gehört. Daher habe ich deinen Fall an unsere Experten weitergeleitet. Ich sage bescheid, wenn ich Feedback habe.

Vorab schon einmal nur zur Sicherheit: Smart Lock hast du nicht eingeschaltet, oder?

Betreff: Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen

FabianD — Wed, 04 Oct 2017 12:24:53 GMT

Hallo hgorczyt,

die Kollegen vom technischen Support würden dies gerne nachstellen, benötigen dafür aber die genaue Modellbezeichnung deines Samsung Galaxy Tab A. Am besten gibst du auch noch mit an, welches Cover du nutzt.

Viele Grüße

Betreff: Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen

hgorczyt — Sun, 15 Oct 2017 20:45:06 GMT

Hallo FabianD,

sorry für die späte Antwort - ich war im Urlaub 🙂

Ich habe ein Video erstellt, das zeigt, wie der User-Wechsel erfolgt: https://youtu.be/ni-GkNSzhyA

Die Qualität ist eher lausig, aber man sollte sehen können, dass der kennwortgeschützte User nach dem Öffnen des Covers ohne Kennwortprüfung aktiv ist.

Das Cover ist EasyAcc Samsung Galaxy Tab A 10.1 (gabs bei Amazon), das Tab ist Samsung Galaxy Tab A (2016) SM-T580 mit Android 7.0 Version ASKS v1.3_161228, Buildnummer NRD90M.T580XXU2BQE7.

Gruß

hgorcyzt

Betreff: Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen

FabianD — Wed, 18 Oct 2017 12:34:58 GMT

Hallo hgorcyzt,

ich hoffe, du hattest einen schönen Urlaub. 😎 Ich habe deine Angaben an die Kollegen weitergeleitet. Leider haben sie aber nicht das Cover, um dies nachzustellen. Ihm Video erklärst du auch nicht deine Vorgehensweise.

Interessant fanden die Kollegen deine Vorführung aber schon. :robotwink: Jetzt sind sie neugierig und bitten dich, dass du ihnen über den Remote-Service noch einmal zeigst, was du da genau gemacht hast.

Wenn du aus Österreich kommst, findest du hier weitere Infos zum Fernwartungs-Service. Bist du aus der Schweiz, kannst du dich hier über die Fernwartung schlau machen.

Viele Grüße

Betreff: Samsung Galaxy Tab A: Wechsel zwischen Benutzern kann Passwortsperre umgehen

hgorczyt — Wed, 18 Oct 2017 19:11:12 GMT

Hallo FabianD,

besten Dank für die Rückmeldung. Das Video hat keinen Ton, aber zeigt die Schritte 3-7 in der ursprünglichen Problembeschreibung, d.h. Login mit einem nicht kennwortgeschützten User und Wechsel zu einem kennwortgeschützten User (aber eben ohne Kennwortabfrage).

Ich habe einen Rückruf mit RemoteServer vereinbart.

Gruß

hgorczyt