Quelles sont les données synchronisées d'Android qui sont cryptées ?

Note : je réponds à ma propre question car personne ne le savait.

J'ai effectué une capture de paquets après avoir sélectionné Menu -> Comptes & Sync -> Auto-sync (également accessible via le widget "Power Control"). Qu'ai-je découvert ?

A mon horreur (les requêtes http du téléphone sont affichées ci-dessous) :

GET /proxy/calendar/feeds/myaccount%40gmail.com HTTP/1.1
Accept-Encoding: gzip
Authorization: GoogleLogin auth=_hidden_
Host: android.clients.google.com
Connection: Keep-Alive
User-Agent: Android-GData-Calendar/1.4 (vision FRF91); gzip

y

GET /proxy/contacts/groups/myaccount@gmail.com/base2_property-android?showdeleted=true&orderby=lastmodified&updated-min=2010-12-01T08%3A49%3A00.561Z&sortorder=ascending&max-results=10000&requirealldeleted=true HTTP/1.1
Accept-Encoding: gzip
Authorization: GoogleLogin auth=_hidden_
GData-Version: 3.0
Host: android.clients.google.com
Connection: Keep-Alive
User-Agent: Android-GData-Contacts/1.3 (vision FRF91); gzip

Mon contacts y calendrier sont transmises non crypté ! Je ne synchronise pas actuellement gmail donc je ne pourrais pas dire si cela est non crypté non plus.

Ainsi que l'application boursière (qui doit être un service car je n'ai pas le widget affiché ou l'application active) :

POST /dgw?imei=TEST&apptype=finance&src=HTC01 HTTP/1.1
User-Agent: curl/7.19.0 (i586-pc-mingw32msvc) libcurl/7.19.0 zlib/1.2.3
Content-Type: text/xml
Content-Length: 338
Host: api.htc.go.yahoo.com
Connection: Keep-Alive
Expect: 100-Continue

<?xml version="1.0" encoding="UTF-8"?>
<request devtype="HTC_Model" deployver="HTCFinanceWidget 0.1" app="HTCFinanceWidget" appver="0.1.0" api="finance" apiver="1.0.1" acknotification="0000">
<query id="0" timestamp="0" type="getquotes">
<list><symbol>VOD.L</symbol><symbol>BARC.L</symbol></list></query>
</request>

Complètement demande non cryptée de cotations boursières : imaginez, vous pourriez vous asseoir dans un Starbucks du centre financier de votre ville et renifler par paquets les cotations qui sont importantes pour tous les utilisateurs de smartphones autour de vous

D'autres éléments qui n'ont pas été chiffrés :

• demande http vers htc.accuweather.com
• temps demande à time-nw.nist.gov:13 (n'utilise même pas NTP)

A propos de la seulement les données qui sont cryptées sur mon téléphone sont les comptes de messagerie que j'ai configurés avec l'application K-9 (parce que tous mes comptes de messagerie utilisent le protocole SSL - et heureusement les comptes gmail sont, par défaut, SSL ; et yahoo ! mail prend en charge imap en utilisant SSL aussi). Mais il semble aucun des données synchronisées automatiquement à partir du téléphone prêt à l'emploi sont cryptées.

C'est sur un HTC Desire Z avec Froyo 2.2 installé. Leçon : n'utilisez pas le téléphone sur un réseau sans fil ouvert sans tunnel VPN crypté. ! !!

Note, capture de paquets réalisée à l'aide de tshark sur l'interface ppp0 d'un nœud virtuel fonctionnant sous Debian connecté à un téléphone Android via OpenSwan (IPSEC) xl2tpd (L2TP).