Rückfragen am Mobiltelefon beantworten
Die App „poison0 agent“ zeigt die Rückfragen und Hinweise des poison0-Agenten Ihres Computers als Benachrichtigung am Mobiltelefon: Memory-Schutz, exec0 und leak0. Sie antworten direkt am Mobiltelefon, auch wenn es nicht im selben Netz ist.
Verfügbar für Android.
Was das Mobiltelefon zeigt
| Situation | Am Mobiltelefon |
|---|---|
| Der Memory-Schutz hält eine unklare Änderung an einer Memory- oder Anweisungsdatei zurück | Rückfrage mit Behalten oder Ablehnen. |
| exec0 prüft einen Tool-Aufruf, der Schaden anrichten kann | Rückfrage mit Blockieren oder Zulassen. |
| leak0 prüft, ob ein Agent ein Secret wie einen API-Key weitergibt | Rückfrage mit Blockieren oder Zulassen. |
| Der Memory-Schutz rollt eine gefährliche Änderung zurück | Hinweis mit Grund und Datei, ohne Knöpfe. |
| leak0 blockt einen Secret-Abfluss | Hinweis ohne Knöpfe. |
| Sie antworten am Computer | Die Benachrichtigung schließt sich. |
| Niemand antwortet bis Fristende | Es gilt Blockieren, wie am Computer. |
Rückfragen gehen nur an die Mobiltelefone der Person, deren Agent fragt. Administratoren erhalten keine Rückfragen und können kein Mobiltelefon koppeln.
Voraussetzungen
- Android 12 oder neuer
- Displaysperre: PIN, Muster oder Passwort
- Cloud-Modus am Computer, siehe Cloud oder privat
- Eigenes Konto am Computer, nicht root oder Administrator
- Höchstens 5 Mobiltelefone je Computer
App installieren
Die App kommt als APK (Installationsdatei für Android), nicht über Google Play.
- Laden Sie die APK am Computer herunter.
- Berechnen Sie ihren SHA-256-Wert (Prüfsumme der Datei, Befehle unten) und vergleichen Sie ihn mit dem Wert auf der Download-Seite.
- Kopieren Sie die Datei per USB-Kabel aufs Mobiltelefon und öffnen Sie sie in der App „Dateien“.
- Erlauben Sie die Installation aus dieser Quelle, tippen Sie auf „Installieren“ und nehmen Sie die Erlaubnis danach zurück.
| System | SHA-256 berechnen |
|---|---|
| macOS | shasum -a 256 <datei>.apk |
| Linux | sha256sum <datei>.apk |
| Windows (PowerShell) | Get-FileHash <datei>.apk -Algorithm SHA256 |
Mobiltelefon koppeln
- Führen Sie am Computer in einem Terminal Ihrer Desktop-Sitzung
poisonzero mobile pairaus, ohnesudound nicht per SSH. - Scannen Sie mit der App den QR-Code, den der Computer in einem Fenster zeigt.
- Vergleichen Sie den 6-stelligen Code am Mobiltelefon mit dem Code auf der Karte am Computer.
- Stimmen beide überein, bestätigen Sie am Computer mit Ihrer Systemanmeldung, sonst brechen Sie ab.
- Erlauben Sie der App Benachrichtigungen.
- Gültigkeit: Der QR-Code gilt 5 Minuten und für ein Mobiltelefon. Zeigen Sie ihn niemandem.
- Abbrechen: Strg+C im Terminal.
- Systemanmeldung: Unter macOS und Linux die eines Administrators, unter Windows die Ihres eigenen Windows-Kontos.
- Protokoll: Jede neue Kopplung wird protokolliert und am Computer gemeldet.
| Befehl | Wirkung |
|---|---|
poisonzero mobile pair | Startet die Kopplung |
poisonzero mobile list | Listet Ihre gekoppelten Mobiltelefone mit ID |
poisonzero mobile unpair <id> | Entkoppelt ein Mobiltelefon |
poisonzero mobile unpair all | Entkoppelt alle Ihre Mobiltelefone |
Rückfragen beantworten
Blockieren und Ablehnen gehen mit einem Tipp direkt aus der Benachrichtigung. Zulassen und Behalten verlangen jedes Mal Fingerabdruck, Gesicht oder Displaysperre. Die erste Antwort gilt, am Computer oder am Mobiltelefon.
| Rückfrage | macOS und Linux | Windows |
|---|---|---|
| exec0: Tool-Aufruf | Blockieren, Zulassen | Nur Blockieren |
| exec0: Regel überschreiben | Nur Blockieren | Nur Blockieren |
| leak0: Secret | Blockieren, Zulassen | Blockieren, Zulassen |
| Memory-Schutz | Behalten, Ablehnen | Behalten, Ablehnen |
| Memory-Schutz, für das Mobiltelefon gekürzt | Nur Ablehnen | Nur Ablehnen |
Wo nur Blockieren oder Ablehnen steht, geht Zulassen oder Behalten nur am Computer. Grund: Das Mobiltelefon darf nur zulassen, was die Systemanmeldung bei der Kopplung abdeckt.
Entkoppeln und verlorenes Mobiltelefon
| Wo | Wie |
|---|---|
| In der App | Unter „Gekoppelte Computer“ auf „Entkoppeln“ tippen |
| Am Computer | poisonzero mobile unpair <id> oder poisonzero mobile unpair all |
| In der Konsole | Ein Administrator hebt die Kopplung in den Gerätedetails auf |
Mobiltelefon verloren: Führen Sie poisonzero mobile unpair all aus oder bitten Sie Ihren Administrator darum. Zulassen ist auch vorher nur mit Ihrem Fingerabdruck, Gesicht oder Ihrer Displaysperre möglich. Administratoren sehen gekoppelte Mobiltelefone, aber keine Rückfragen.
Sicherheit
- Ende-zu-Ende verschlüsselt und signiert: Unser Relay (Vermittlungsserver) leitet nur verschlüsselte Daten weiter und kann keine Rückfrage lesen.
- Unverändertes Mobiltelefon: Gekoppelt wird nur mit gesperrtem Bootloader und unverändertem Android (Verified Boot), nicht mit Root oder eigenem ROM.
- Nur die Original-App: Per Key Attestation (Android bestätigt die Herkunft der Schlüssel) prüft der Computer, dass die Schlüssel in sicherer Hardware liegen und zur unveränderten, von uns signierten App gehören.
Fehlerbehebung
| Problem | Abhilfe |
|---|---|
| Keine oder späte Benachrichtigung | Benachrichtigungen samt Kanal „Freigabeanfragen“ erlauben und die Akku-Optimierung für die App abschalten. |
| Kopplungscode abgelaufen | poisonzero mobile pair erneut ausführen. |
| Am Computer erscheint kein Fenster und keine Karte | Am Computer anmelden und den Befehl in der Desktop-Sitzung ausführen, nicht per SSH. |
| Kopplung als Administrator abgelehnt | Ohne sudo unter Ihrem eigenen Konto ausführen. |
| Kopplung scheitert nach dem Scannen | Nur die Original-App auf einem unveränderten Mobiltelefon koppelt. |
| Freigabeschlüssel nicht mehr gültig, etwa nach Entfernen der Displaysperre | Entkoppeln und neu koppeln. |
| Höchstzahl gekoppelter Mobiltelefone erreicht | Ein Mobiltelefon mit poisonzero mobile unpair <id> entkoppeln. |
Weiterlesen
Mehr: Die Rückfrage am Computer beantworten, wann der poison0-Agent fragt und Cloud oder privat.