Resultados capturados en un LG Optimus V (VM670), Android 2.2.1, stock, rooteado, comprado en marzo de 2011.
Hasta hoy, las únicas peticiones no encriptadas que he podido encontrar en una pcap tomada durante una resonancia completa han sido:
Álbumes web de Picasa
GET /data/feed/api/user/<username>?imgmax=1024&max-results=1000&thumbsize=144u,1024u
&visibility=visible&kind=album HTTP/1.1
GData-Version: 2
Accept-Encoding: gzip
Authorization: GoogleLogin auth=<snipped>
If-None-Match: <snipped; don't know if it's sensitive info>
Host: picasaweb.google.com
Connection: Keep-Alive
User-Agent: Cooliris-GData/1.0; gzip
Eso es todo.
Picasa fue el único servicio que encontré sincronizado sin encriptar. Facebook pidió un par de imágenes de perfil (pero no pasó ninguna información de la cuenta); Skype pidió anuncios; y TooYoou tomó una nueva imagen de bandera. Ninguno de esos se relaciona con la sincronización, en realidad.
Parece que la seguridad de la sincronización de Google se ha reforzado bastante. Desactivar la sincronización de los Álbumes web de Picasa y todos sus datos de Google deben ser sincronizados en forma encriptada.
Mercado
Esto me molestó un poco:
GET /market/download/Download?userId=<snipped>&deviceId=<snipped>
&downloadId=-4466427529916183822&assetId=2535581388071814327 HTTP/1.1
Cookie: MarketDA=<snipped>
Host: android.clients.google.com
Connection: Keep-Alive
User-Agent: AndroidDownloadManager
El retorno de esto es un 302 Movido Temporalmente que apunta a una URL de descarga altamente compleja:
HTTP/1.1 302 Moved Temporarily
Cache-control: no-cache
Location: http://o-o.preferred.iad09g05.v5.lscache6.c.android.clients.google.com
/market/GetBinary/com.wemobs.android.diskspace/1?expire=1322383029&ipbits=0
&ip=0.0.0.0&sparams=expire,ipbits,ip,q:,oc:<snipped>
&signature=<snipped>.<snipped>&key=am2
Pragma: no-cache
Content-Type: text/html; charset=UTF-8
Date: Fri, 25 Nov 2011 08:37:09 GMT
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
X-XSS-Protection: 1; mode=block
Server: GSE
Transfer-Encoding: chunked
El administrador de descargas de Android se da la vuelta y solicita la ubicación de la descarga, pasando el MarketDA galleta de nuevo.
No sé si hay algún peligro de seguridad por la forma en que Market descarga los APK. Lo peor que puedo imaginar es que las descargas de APK no encriptadas abren la posibilidad de intercepción y reemplazo con un paquete malicioso, pero estoy seguro de que Android tiene controles de firma para evitar eso.
0 votos
La revista alemana Heise tiene un gran artículo sobre esta cuestión. Está en alemán, pero se puede utilizar un servicio de traducción: heise
0 votos
Parece que, por fin, Google va a cuidar los datos de sus usuarios: uni-ulm.de/in/mi/mitarbeiter/koenings/catching-authtokens.html