Anbei ein kurzer Überblick, was gemäss meinen Beobachtungen neu hinzugekommen ist. Die Policies sind im iPCU in Payloads unterteilt:

Restrictions-Payload:

Gerätefunktionalität:

- Siri erlauben

- Benutzer muss für alle Einkäufe das iTunes Store-Kennwort eingeben (verhindert wohl Apps innerhalb eines gewissen Zeitraums ohne PW-Eingabe zu installieren)

- Game Center Einstellungen: Mehrspielermodus erlauben

- Game Center Einstellungen: Hinzufügen von Game Center-Freunden zulassen.

iCloud

- Backup erlauben

- Synchronisierung von Dokumenten erlauben

- Fotostream erlauben (Nichterlauben kann zu Datenverlust führen, da die im Fotostream gespeicherten Bilder gelöscht werden)

Sicherheits- und Datenschutzrichtlinien erzwingen:

 - Diagnosedaten dürfen an Apple gesendet werden

- Benutzer dürfen nicht vertrauliche TLS-Zertifikate annehmen

- Verschlüsselte Backups erzwingen (Was ich noch nicht getestet habe, ist ob dies auch für die iCloud Backups gilt)

 

VPN-Payload

 - Für alle Daten (Somit kann der ganze Netzverkehr über die VPN-Verbindung geschickt werden, und damit im Unternehmen über einen Proxy kontrolliert werden)

E-Mail Payload

- Bewegen erlauben: Zwingt die Accounts in den Sandbox-Modus (damit werden für viele Anwender Drittlösungen wie ehemals MobileOffice eigentlich obsolet, wenn es lediglich darum geht die E-Mail-Daten in einer Sandbox zu speichern. Verhindert ebenfalls den Abfluss von Informationen ohne diese über einen Server verschicken zu müssen.)

- Gleiche Einstellung auch in Exchange möglich

 - Zusätzlich lassen sich Zertifikate oder SCEP-Settings für die Signierung/Verschlüsselung von Mails definieren.

 

Was nicht direkt im iPCU ersichtlich ist, ist das Verhalten von Anwendungen die über ein MDM verteilt werden. Wir verteilen bspweise eine App die als Quickguide die Services erklärt. Dies aus dem Grund, dass der Anwender das Gerät am MDM provisioniert, und auf diesem Weg direkt die notwendigen Anleitungen erhält. Nun konnte der Anwender die Kontrolle des MDM immer deinstallieren, hatte dann aber auch die Einstellungen und Zertifikate nicht mehr. Somit konnte man verhindern, dass der Anwender weiterhin auf Unternehmensressourcen zugreifen kann, wenn er kein MDM mehr installiert hat. Anders verhielt es sich mit den Applikationen die man verteilt hat. Diese blieben auf dem Gerät. Mit iOS 5 ändert dies nun. Applikationen werden, wenn über MDM verteilt, automatisch zu “managed Applications”. Wenn also die MDM-Kontrolle entfernt wird, werden auch die Applikation und deren Daten gelöscht. Somit könnte man kritischere Applikationen entwickeln und verteilen.

Immer öfter sind die Leute mit der gesamtheitlichen Erfassung von Ausgangslagen überfordert. Ist mir gerade wieder bewusst geworden als ich die Kommentare zu der Ankündigung des EAS Siegels las:

The reason we would like to see this is there are short comings to the Windows Phone 7 and even the iPhone 4 implementations of the ActiveSync policy settings. It’s tough to push back against iPhone users now with this logo is out there, but for example our security folks believe we need full device encryption (including storage card) which Windows Phone 7 and iPhone 4 do not support.

 

Nun könnte man meinen das sei eine legitime Anforderung der “Security Folks” und des Admins der hier kommentiert. Sind doch Speicherkarten noch einfacher entfernbar und nicht durch ein Passwort geschützt. Ist das iPhone und das Windows Phone aber unsicherer weil sie keine Speicherkartenverschlüsselung haben? Unwahrscheinlich. Sie haben nämlich auch keine Speicherkartenslots…

Um diesem Dilemma zu begegnen hat Microsoft diese Woche das “Exchange Activesync Logo Programm” angekündigt. Um mit diesem Logo werben zu können, verpflichten sich Hersteller zur Unterstützung eines Grundsets an Policies die den Einsatz von Mobilgeräten sicher machen. Wenig überraschend ist die Liste der bisher “zertifizierten” EAS Logo Programm Mitglieder:

• Apple iOS 4
• Nokia mit Mail for Exchange
• Windows Phone 7
• Windows Mobile 6.5 (für Industriegeräte zuweilen noch interessant )

Doch wie kommt man zu dem “Gütesiegel”? Gemäss dieser Liste sind folgende Policies zu unterstützen:

1. Must be current EAS licensee –> Eigentlich noch logisch
2. Use EAS v14 or later –> ansonsten könnten die Policies Backendseitig gar nicht gesetzt werden
3. Direct Push email, contacts & calendar –> Qualitätsgrösse für Anwender. Wer will schon manuell synchronisieren im 2011?
4. Accept, Decline & Tentatively Accept meetings –> siehe oben
5. Rich formatted email (HTML) –> txt-e-Mails sind tot! Lang leben Fett und Kursiv um seinem E-Mail Gewicht zu verpassen.
6. Reply/Forward state on email –> Ich will doch wissen ob ich morgens im Halbschlaf eine Mails schon beantwortet habe.
7. GAL Lookup –> Man möchte ja auch Leute adressieren die man nicht im persönlichen Adressbuch hat.
8. Autodiscover –> Auch für den Benutzer bei Ersteinrichtung sehr hilfreich.
9. ABQ strings provided: device type and  device model –> Hier sind speziell die grünen Roboter Geräte nicht sehr gesprächig was die Massnahmen basierend auf OS etwas schwierig gestaltet.
10. Remote Wipe –> Grundvoraussetzung für ein mobiles Gerät finde ich.
11. Password Required –> siehe oben!!
12. Minimum Password Length –> Hier wird es langsam spannend. Das können die meisten heute nicht.
13. Timeout without User Input –> Das Passwort ist auch nur so hilfreich wie es verlangt wird wenn das Gerät nicht verwendet wird.
14. Number of Failed Attempts –> kennt jeder der sein iPhone mal an einem Apero hat liegen lassen (Löschen nach 10 Fehlversuchen et al)

Ich kann aus persönlicher und leidlicher Erfahrung berichten wie viele einfacher ein solches Siegel Geräteevaluationen machen kann. Wird dieses Grundset von Policies auch vom Unternehmen als Grundset zur Unterstützung verwendet, kann in Zukunft nur noch auf das Siegel verwiesen werden.

Update: Der belesene User wird sich fragen warum die Verschlüsselungspolicy keine Voraussetzung ist? Ratet welches zeitgemässe Device keine Verschlüsselung supported? Genau Windows Phone 7. Das eigene Ross aus so einem Stall auszuschliessen wäre ja dann auch blöd

Na die Freude war gross. Die zwei Testgeräte HTC Desire HD und HTC HD7 kamen beide am gleichen Tag im Büro an. Ein Android und ein Windows Phone 7 Gerät. Die Geräte sollten hauptsächlich das OS in den Mittelpunkt stellen und vergleichbar machen. Deshalb wählten wir zwei sehr ähnlich gebaute Produkte vom selben Hersteller. Die Geräte wurden also zugeteilt. Skooba wollte zuerst das Windows Phone 7 testen, so blieb mir der Androide zum Test.

Auf die peinliche Anektode zur Inbetriebnahme der zwei Geräte von iPhone-Dummies verzichte ich an dieser Stelle aus Selbstschutz (das Internet vergisst nicht).

Also ab zu den Eindrücken des von mir getesteten Android Geräts:

Hardware:

Das Gerät macht einen tollen Eindruck wenn man es auspackt. Metall oder gummierter Kunstoff fühlen sich griffig und robust an. Das Gerät hat sehr angenehme Masse, ist schön dünn und liegt gut in der Hand. Keine Spur von dem “Billig”-Gefühl das gewisse Leute bei der Konkurrenz beobachten. Den Akku einzusetzen braucht aber dann doch einen gewissen Mut. Das Akkufach ist eine einfache Kunstoffklappe die mit sanfter Gewalt entfernt werden muss. Macht man dies nicht vorsichtig genug, könnte sie abbrechen. Mal verschlossen, sitzt sie aber satt.

Dann wird das Gerät eingeschaltet und man sieht den grossen und hellen Bildschirm der zwar nicht ganz so hoch auflöst wie das Retina-Display, aber trotzdem einen sehr guten Eindruck macht.

Einen sehr guten Eindruck machte auch die Kamera des Desire. Die Bilder wirken auf dem Display knackscharf. In der 100% Ansicht auf dem PC verliert sich dieser Eindruck zwar, aber wer muss die Bilder schon in 100% verwenden.

Einrichtung:

Die Einrichtung ist sehr einfach. Keine Aktivierung über iTunes o.ä. Die Eingabe des Google Accounts wird einem nahe gelegt und ist auch notwendig um später Applikationen im Android-Market herunterladen zu können. Nach Eingabe des Google-Accounts sind dann auch gleich Mail, Kalender und Kontakte konfiguriert. Sehr einfach.

Die Netzbetreiber-Einstellungen funktionierten auch ohne Probleme. Ich erinnere mich hier an ältere Windows Mobile Geräte wo man mühsam im Internet nach .cab-Files mit den jeweiligen Einstellungen suchen musste.

Einziger Wermutstropfen für einen iOS-User ist die fehlende Unterstützung für den PWLAN Mobile-EAPSIM von Swisscom. Dieser ermöglicht es iOS Benutzern ohne Eingabe von SMS-Code oder ähnlichen mit dem PWLAN zu verbinden. Lässt sich verschmerzen seit wir einen WLAN in der Firma haben, ist aber auf dem iPhone ein nicht zu unterschätzendes Feature in Bahnhöfen, Flughäfen, Starbucks oder ähnlichen Lokalitäten.

Software:

Leider kam das Nexus S ein bisschen zu spät. So beschlossen wir eher auf ein angepasstes Android zu setzen als das Nexus one zu organisieren welches bis dahin das einzige Android-Gerät mit unverändertem Android OS und demnach dem besten Upgrade-Pfad auf neue Versionen war (fragmentation anyone?).

Die Sense-Oberfläche bietet aber eine etwas verspielte aber einfach zu benutzende Oberfläche. Anders als Leute in meinem Bekanntenkreis hatte ich keine Probleme die Bildschirmsperre zu erraten aber das scheint nicht 100% allen Leuten auf Anhieb zu gelingen. HTC Sense bietet einen weiteren Vorteil. Das Gerät kann direkt mit htcsense.com verknüpft werden. Dort hat man dann die Möglichkeit sein Gerät auf einer Karte zu orten, dem Gerät eine Nachricht zu schicken, einen Suchton läuten zu lassen (ja ich weiss MobileMe bietet das nun auch) aber man kann noch weiteres. Auf dem Gerät eingehende SMS können an eine E-Mail Adresse weitergeleitet werden und eingehende Anrufe kann man auf eine weitere Telefonnummer weiterleiten. Ob das primär den Fall des Vergessenwerdens abdecken soll oder die Belauschung von Dieben Findern ermöglichen soll weiss ich nicht, finde es aber eine sehr praktische Funktion. Erweitern könnte man den Dienst übrigens noch durch die Features die Blackberry letzthin vorstellte. free advice.

Ansonsten fiel mir bei der Oberfläche die Statusleiste oben auf. Diese kann man runterziehen um Zugriff auf die Notifications und die laufenden Programme zu kriegen. Das man sie runterziehen kann muss man aber erst mal herausfinden keine Animation oder ähnliches was einen erstmalig darauf aufmerksam macht. Leider sind die Zugriffe in der Statusleiste dann auch etwas limitiert. Ich kann Wi-Fi nur deaktivieren, nicht aber einen anderen WLAN verbinden. Dazu muss man dann wieder die Einstellungen bemühen, die man sich eh am besten mal auf den Homescreen zieht.

Kamera Software:

Die Kamera lobte ich ja schon in den grünen Klee. Was dazu beitrug, sind die Effekte die live in der Vorschau sichtbar sind. Habe das mal mit einer Kompaktknipse probiert und da war die Vorschau danach schleppend langsam. Beim Desire merkt man gar nichts. Tolle, witzige Funktion.

FM-Radio:

Ein FM-Radio vermisse ich jetzt nicht zwingend, fände die Funktion aber spannend um im Bus/auf dem Velo halt Tagesgeschehen konsumieren zu können. In meinen Tests rauschte das Radio aber dauernd was es unzumutbar machte.

Default-Installation:

Na ja. Es sind eine Menge Apps dabei. Was jetzt von HTC kommt und was von Android weiss man leider nicht. Was die Apps machen sollen, ist aber nicht sofort klar. So hat man diverse Reader-Apps. Sind das nun RSS-Reader oder Book-Stores? Etwas verwirrlich.

Android-Market:

Kommen wir zu meinem Lieblingsthema. Der Android Market. Ich hatte ja schon x hitzige Diskussionen mit den Android-Verfechtern über die Eingeschränktheit des iPhone. Und alles Böse kommt aus Cupertino und Steve Jobs ist der personifizierte Satan computerischer Fesselung. Na ja. Aber etwas haben sie im Griff. Der Android Market ist sehr unaufgeräumt. Wenn man nicht genau weiss was man suchen will (twitter, foursquare, etc. kein Problem) ist man schnell mal aufgeschmissen. Die Suche funktioniert zwar, doch man findet hunderte von komischen Apps wie Soundboards, Bildschirmhintergründe, Chuck-Norris-Joke, etc. Was davon gut ist sieht man kaum, denn irgendwie sind sogar die Top Charts voll von dem Schrott. Dann kommen noch x Anwendungen mit asiatischen Beschriftungen. Nun ja was die wohl tun mögen? Der eigentliche Installationsprozess ist sehr einfach. Den Google Account gibt man nämlich nur einmal ein. Also jeder der mein ungesperrtes Android-Gerät findet, kann mir Dinge installieren die dann all meine Daten nach Russland transferieren? Tolle Freiheit. Ein weiterer Aspekt der Offenheit ist nämlich das Sicherheitsgefühl. Es wird einem zwar bei jeder Installation angezeigt welche Rechte die Applikation auf meinem Telefon erhält, doch weiss der normale User was das bedeutet und ob er einem Spiel jetzt Zugriff auf den Telefon- und Adressspeicher geben soll? Denke ich nicht. Nach einer Weile liest man die Meldungen gar nicht mehr sondern installiert frisch fröhlich. Offenheit und Freiheit ja. Sicherheit nein.

Was auch nicht auf den ersten Blick sichtbar ist, läuft die Anwendung überhaupt auf meinem Gerät? Bei meinem Desire HD jetzt kein grosses Problem da es dick mit Leistung ausgestattet ist. Mein Schwiegervater hat aber ein HTC irgendwas welches etwas schwächer auf der Brust ist und kann diverse Spiele nicht verwenden. Populärstes Beispiel ist Angry Birds. Das merkt man aber erst nach Installation oder nach vorgängiger Recherche. Wieder ein Risiko aus meiner Sicht. Man weiss halt nie was man sich im Laden kauft.

Ansonsten scheint das Thema Multitasking in der Android Welt sehr gross zu sein. Geschätzte tausend Taskkiller bevölkern nämlich die Top-Listen des Markets. Nach meiner Information sind die aber ziemlich unnötig, wenn Applikationen das Memory-Management sauber implementieren würden.

Das tun aber offensichtlich nicht alle. So traf es auch mich eines Morgens sehr überraschend. Das Telefon war schleppend langsam. Neustart brachte nichts. Ich hatte aber keine Applikation installiert die sich mit einer anderen hätte streiten können, oder der Effekt wäre erst nach einigen Tagen aufgetreten. Eine kurze Google-Suche zeigte das ich wohl nicht der einzige mit dem Problem bin und die Lösungsvorschläge erinnerten mich an meine dunklen Windows-Tage in denen ich Chip las (Hard-Reset, alle paar Tage ein Softreset, Applikationen nach und nach deinstallieren, etc.)

Fazit:

Bleibt mein iPhone nun im Schrank und benutze ich mein HTC Desire HD? Wohl nicht. Hardwaremässig hat mir das Gerät sehr gut gefallen. Von der Bedienung und der “User-Experience” muss ich aber noch zuviele Kompromise eingehen oder mich an ein etwas undurchdachtes Konzept gewöhnen als das ich das wollte. Das Potential von Android sehe ich nach wie vor. Wirklich auf dem Punkt sind sie aber noch nicht. Und das scheinen auch die Entwickler so zu sehen, denn meines Wissens gibt es keine wirklich grossen Geschichten die exklusiv auf Android laufen würden.

Nun denn wechsle ich nun für eine Woche auf das Windows Phone 7 und werde sehen ob ich mich mit der Typographielastigen Oberfläche besser anfreunden kann. Allenfalls kann man sogar Herrn Skooba zu einem Beitrag zu seinen Tests überreden

So Android. Du kriegst jetzt deine faire Chance. Die SIM-Karte auf die meine Anrufe und SMS kommen verlässt das iPhone für mindestens eine Woche. Wofür normalerweise mein iPhone da ist, musst du mir nun zur Seite stehen. Ich werde mit dir twittern, facebooken, Locations suchen, einchecken, etc.

Was du leider nicht wirst machen können ist mir in der Bearbeitung meiner Mails helfen (Arbeitgeber unterstützt dich nicht). Aber das werden wir mal ignorieren. Ich hoffe Kollege Skooba zeigt sich gegenüber seinem HTC HD7 ähnlich grosszügig

Seit zwei Jahren sieht man auch den kometenhaften Aufstieg von Android und dessen Fans werden nicht müde mir diese Zahlen zu schicken. Ich weiss nicht warum ich geschäftlich fälschlicherweise als iPhone Fan gelte. Privat ist klar. Geschäftlich finde ich geht noch nichts an Blackberry vorbei

Anyway. Android ist ein Thema im Consumer-Markt und meiner Meinung nach ist Android als eines der grossen OS gesetzt. Speziell, da in Amerika bis anhin nur bei AT & T iPhones verkauft werden. Damit ist natürlich ein riesiger Markt für Geräte mit ähnlichem Funktionsumfang für andere Netze. Es war abzusehen das das sehr beliebte und ausgereifte Android diese Lücke füllen wird und damit natürlich Apple eines Tages überflügelt. Nun ja, dieser Tag war nun.

Aber ist das wirklich wichtig? Was heisst schon Marktanteil? Man kommt zwar auf die Titelseite von Gratiszeitungen mit Marktanteil, aber was Apple wohl wichtiger ist ist der Profit. Und der ist gemäss einer Untersuchung der Deutschen Bank unverändert hoch. RIM (Blackberry Hersteller) und Apple sollen gemeinsam  zwei Drittel der Gewinne in der Smartphone Industrie.

Ebenfalls interessant ist die Entwicklung der Art der Geräte. Früher unterschied man zwischen Mobiltelefonen welche hauptsächlich zum Telefonieren und SMS genutzt wurde. Daneben gab es “Featurephones” welche es ebenfalls erlaubten Applikationen zu installieren, Organizer-Funktionen, etc. Smartphones kamen erst später auf und lösten erstmals die PDA’s (Palm, iPaq, etc.) ab. Nun geht es auch den Featurephones an den Kragen. Die Kunden kaufen heute entweder ein Smartphone oder eben nur ein Mobiltelefon mit einer Zahlentastatur und einer roten und grünen Taste um Anrufe anzunehmen . Das habe ich übrigens schön antizipiert als ich im Büro diese Übersicht erstellte

Jailbreak. Das magische Wort für iPhone User die sich im “walled garden” nicht ganz so wohl fühlen wie ich. Es soll ja durchaus Leute geben die das Gefühl haben nichts für TomTom Navigation zahlen zu müssen. Schämt euch! Anyway es gäbe angeblich auch ganz valable Gründe sein iPhone von den Apple auferlegten Fesseln zu befreien. Wollen uns jedenfalls die Herren um die iPhone4-Prototyp Diebe Finder weismachen. Für mich ist das nichts, aber jedem Tierchen sein Pläsierchen. Viel interessanter ist aber doch die Frage wie es einer Website wie jailbreakme.com möglich ist durch simples Besuchen einer Website einen Jailbreak durchzuführen. Diese Seite macht sich eine Schwachstelle in Apples iOS zu nutze. Diese Schwäche erlaubt es durch eine korrupte Schriftart in einem PDF-File Code auszuführen. Eine weitere Schwäche im Kernel erlaubt dann diesen Code auch ausserhalb der Sandbox der jeweiligen Applikation zu nutzen. So lässt sich ein ganzes Gerät jailbreaken. Toll nicht? Nicht wirklich. Was mit einem Jailbreak möglich ist lässt eine ganze Reihe weiterer Möglichkeiten offen. Auf dem Blog des Antivirensoftware-Herstellers f-secure kann man sich eine gute Zusammenstellung von Fragen und Antworten zu dem Thema anschauen. So ist speziell die Antwort auf die Frage was denn mit dieser Schwachstelle möglich ist im besten Falle besorgniserregend:

Anything. It could do anything you can do on your phone, and more. So it could destroy or steal all of your data. Track your location. Spam your friends. Listen to your phone calls. Dial the presidents of every country in the world. Anything. And you would pay for all the charges it would create, too.

Ich will hier keine Panik verbreiten. Das Vorhandensein einer solch gravierenden Sicherheitslücke ist aber schon nicht beruhigend. So hoffe ich doch, auch wenn dies das Ende dieses sehr komfortablen Jailbreaks bedeutet, einen raschen Fix für den Fehler. Bis dahin sollte man sich beim Öffnen von PDFs auf dem iPhone immer kurz hinterfragen wie vertrauenswürdig die Quelle denn ist. So könnte zum Beispiel ein Twitter-Link auf ein PDF bereits durch einen Wurm versandt worden sein, auch wenn die sendende Person völlig vertrauenswürdig ist. Gleiches gilt für Mails, Facebook Links etc.

Ja sorry mutiert dieses Blog langsam zum Mobile-Security Ding, aber ich bring sicher bald wieder leicht verdaulichen Content