Xpress-Browser: Nokia entschlüsselt HTTPS-Daten

Der finnische Handy-Hersteller Nokia hat zugeben müssen, dass man beim Xpress-Browser, der bei der günstigen Asha-Produktlinie zum Einsatz kommt, die Nutzerdaten kurzzeitig entschlüsselt werden - ohne dass der Nutzer das weiß. Entdeckt wurde dieses Verhalten vom indischen Sicherheitsexperten 'Gaurang Pandya': Dieser analysierte das Verhalten seines Asha-Handys und fand heraus, dass die über den integrierten Browser übermittelten Daten über einen Proxy-Server laufen.

Das ist an sich aber nichts Besonderes, das gleiche macht beispielsweise auch der mobile Opera-Mini-Browser. Das hat zum Ziel, die über das Netzwerk geschickten Daten zu komprimieren um auf diese Weise den Traffic zu verringern, was wiederum Kosten spart. Nokia zeigt die grundsätzliche Funktionsweise in dieser Grafik Im Falle der Nokia-Lösung wurde allerdings von Pandya festgestellt, dass die Finnen HTTPS-Daten auf ihren Servern zwischenzeitlich entschlüsseln. Theoretisch hat das Unternehmen dadurch Zugriff auf möglicherweise sensible Nutzer-Informationen, was aber im Widerspruch zur Datenschutzerklärung von Nokia steht, da man dort versichert, dass man keine sensiblen Daten sammle. Die Möglichkeit dazu hätte man jedenfalls.

Gegenüber der Seite 'GigaOm' hat Nokia nun bestätigt, dass es diese zwischenzeitliche Decodierung tatsächlich gibt. Man betont aber, dass man die Privatsphäre und die Sicherheit seiner Nutzer und deren Daten sehr ernst nehme. Nokia versichert, dass die Proxy-Server keine Inhalte von besuchten Webseiten speicherten und man auch keine Informationen, die dort eingegeben werden, erfasse.

Wenn eine "temporäre Entschlüsselung" der HTTPS-Verbindungen notwendig werde, dann geschehe dies auf sicher Weise, so Nokia. Das Unternehmen hat in diesem Zusammenhang aber in Aussicht gestellt, dass man die Produkt-Informationen überprüfen und gegebenenfalls korrigieren werde. GigaOm weist übrigens in einem Nachtrag darauf hin, dass die Entschlüsselung nicht bei allen derartigen Kompressionsdiensten notwendig sei, als Beispiele werden Amazons Silk-Browser sowie Skyfire genannt.