Vlákno názorů k článku
Kritická zranitelnost StrandHogg 2.0 dopadá na 1 miliardu přístrojů s Androidem
od Milan Keršláger - Pokud chcete aktuální systém u laciného telefonu, dejte...
-
Pokud to je oficiální build od LineageOS například, tak je to asi docela bezpečné. Sestavení probíhá rovnou z repozitáře a je podepsáno neveřejnými klíči.
Pokud to je build ode mě (reálný příklad) můžu tam teoreticky nacpat cokoliv a buď mě věříte nebo ne :-)
Btw. ano LineageOS má toto patchnuté, ale ne všechno lze takhle snadno opravit, jsou typy chyb, které se musí opravit buďto v mezivrstvě nebo v kernelu. V horším případě nějaký bastl který se pokusí něco blokovat, než se to dostane k FW který je obvykle zamrzlý (Qualcomm neřeší starší SoCy)
-
Původní build je z LineageOS. Vývojář výsledek stáhne a zkombinuje s oficiální verzí. Obvykle je popsáno, co přidal/změnil. Git používají jen někteří. Jde spíše o komunitní bezpečnost. Vidíte vývojáři mu pod ruce a máte možnost si to prohlédnout a on si buduje nějakou pozici. Asi jako Linux kernel před dobou s Git (resp. BitKeeper).
Ale jak říkám - to že není kód modifikován, vám nikdo nezaručí ani u komerčního dodavatele (ti obvykle ani nepoužívají Git, aby věděli, co se s kódem děje). -
Vdaka za potvrdenie mojich obav - podla popisu je to celkom divoky zapad.
Teraz je otazka ci je lepsie mat nepatchovane zariadenie so znamym bugom priamo od vyrobcu alebo patchovane zariadenie s OS z nezaruceneho zdroja.A ti vyvojari co si buduju nejaku historiu su na urovni torvaldsa, gkh a alana coxa (so slusnou integritou) alebo je tam 150 vyvojarov kazdy pre nejake zariadenie nejakeho vyrobcu?
-
Každý model telefonu má své vývojáře, je to dobrovolné. Někteří vývojáři figurují ve více projektech. Některé projekty vede více lidí, využívají navzájem své výsledky. A některé projekty jsou dále portovány na další zařízení. Funguje to ale velmi dobře (mám takhle OnePlus One, Galaxy S, starší Motorolu, Galaxy S5, HTC HD2 atd.)
Pokud chcete originál LineageOS, musíte si pořídit telefon, který má silnější komunitu. Ale stejně to nakonec dělají zase dobrovolníci, akorát mají přístup do stromu LineageOS. Můžete se přihlásit a pro svůj model telefonu udělat build začít ho spravovat přímo tam. -
Je to systém "Víc očí víc vidí". Ty buildy uvádí nějaký vývojář a je to jeho vizitka. Čím déle působí, tím více se mu dá věřit. Obecně to je bezpečnost k ničemu, ale podobně vám nikdo nezaručí, že ve Windows nejsou zadní vrátka...
Zajímavě pokroucený pohled na věc.
Vývojář není živ z vizitky, ale z peněz. Vizitka mu je maximálně může přinést.U Microsoftu víte, že dělají vše pro to, aby udrželi přízeň zákazníka (ať už to znamená cokoliv). Vydělají na licencích a online službách. Toto si nebudou chtít ohrozit, je to jejich čitelný zájem. Firma si své zaměstnance podchycuje a kdyby udělali něco "na vlastní triko", má páky se bránit (žalovat).
Neznámý vývojář může mít dobře placenou práci, nebo se taky topit v dluzích. Vývoj alternativního OS mu možná přináší zajímavé pracovní nabídky, ale taky možná ne. Možná že je pro něj zajímavější do kódu propašovat něco špatného - třeba na zakázku, nebo i sám pro sebe. Taky některé chyby může propustit, i když o nich ví - protože prostě zadarmo už nemá víc prostoru je opravovat. Zkrátka pozice a motivace je nečitelná a k tomu víme, že nenese žádnou odpovědnost (ani vůči Vám, ani vůči neexistujícímu zaměstnavateli).
Pokud bych tedy porovnával rizika, tak XDA Developers buildy by byly z tohoto porovnání dopředu vyřazené, není je o co opřít.
-
Pokud by to bylo, jak píšete, neexistoval by (a nedal se použít) žádný OpenSource software. Naštěstí to není tak černé, jak malujete.
Vlastně je to černější. Tristní stav Windows (a dalších big SW firem) a nikdy reálně neřešené problémy s malware je realita. Stejně jako to, že vám Microsoft nikdy nic nedá, i když problém způsobí. Zato tvrdě ztrestá jakékoliv médium/jednotlivce, který si dovolí otevřeně poukázat na trestuhodné zanedbávání bezpečnosti (měsíce i roky ignorované problémy, případně tvrzení, že to je "by design" atd.).
-
A v čem je rozdíl? Většina menších programů v mém Linux desktopu má jednoho autora a kód nikdo neřeší. Řeší se jen údržba, ta rozhoduje. Na XDA si můžete vybrat mod, který je dlouhodobě udržovaný.
Sorry, ale je to zdarma. Nechcete-li neberte. Chcete-li, pomozte. Taky si můžete koupit Huawei, Xiaomi (sám mám) s vestavěnými reklamami a detailním sledováním interního prohlížeče... Nebo Apple, který dělá totéž a ještě se chlubí příjmy, které za informací prodej má. A nebo Mozilla, Google, to je fuk, všude se v nějaké míře informace využívají ("souhlasím s odesíláním diagnostiky" :-)
Jistě může vám někdo do modu podstrčit těžbu bitcoinů, ale na to byste snadno přišel (uživatelé řeší spotřebu baterie). Nebo tam může dát ty reklamy (rychle by skončil, je to jeden z důvodů existence modů) nebo sledování navštívených webů a používaných aplikací (jenže jsou to obvykle šunky a malé počty telefonů, takže to nemá potenciál vydělat na tom nějaké peníze).
Není nic jednoduššího, než na tom fóru sledovat jedním okem vlákna těch maintainerů, tam získáte rychlý přehled, kdo jak na tom je.
-
@Milan Keršláger
Bavili jsme se o porovnání bezpečnosti. To se prostě nedá v této "konstelaci" vyhodnotit, chybí fundament v jakémkoliv ohledu.
Malé aplikace na desktopu jsou v trochu jiné pozici. Běžněji je někdo kompiluje, upravuje, zahrnuje do distribuce. Pohled dovnitř není jen hypotetický.
U Android buildu ho sestaví jeden člověk (jedna malá skupina) a ostatní už jen užívají binárky. Nemají žádnou reálnou potřebu se zdrojového kódu dotknout, tudíž chybí další páry očí, které by mohly problém odchytit.
Velké FOSS projekty lze vyhodnotit už docela dobře, užívají se v masovém měřítku a ve velkých firmách, kde se jimi zabývají do hloubky. Mohou směle konkurovat komerčním řešením i z hlediska bezpečnosti.
Odesílání dat za stanovených pravidel není obecný bezpečnostní problém. Může to někomu vadit a pak musí dávat přednost např. zmíněnému XDA Dev buildu. Je to ovšem za cenu jiných rizik, která osobně hodnotím jako závažnější.
A vždycky se můžete rozhodnout někomu prostě jen důvěřovat - třeba skupině na XDA developers. Pak už to není otázka bezpečnosti, ale jen té důvěry. I to je legitimní klíč výběru.
-
Pokud chcete soudit, musíte se hlavně podívat, co se vyplatí útočníkovi. Protože pochybovat o tvůrci je sice snazší, ale hodně přitažené za vlasy.
Zatímco o širším útoku (či obsaženém malware) na komerční soft/telefony jsem slyšel už dost, o byť málo významném útoku na XDA mody jsem neslyšel. Díky sdílení se i na vnitřky XDA modů leckdo podívá...
-
Pokud chcete soudit, musíte se hlavně podívat, co se vyplatí útočníkovi. Protože pochybovat o tvůrci je sice snazší, ale hodně přitažené za vlasy.
Při posuzování bezpečnosti vycházíte z toho, že veškerá rizika jsou maximální. Z nich pak postupně eliminujete. Tedy i o tvůrci musíte z počátku pochybovat. Pak můžete uvažovat, co by se tvůrci stalo, kdyby důvěru zradil. V případě zaměstnance korporace by asi v první řadě korporace okamžitě reagovala aby mitigovala škody. V druhé řadě by chtěla škodu po viníkovi - a to by mělo jakous takous šanci na úspěch, protože je znám a je kde žalovat (v místě jeho pracovního zařazení). U XDA developera by spíš nenastalo ani jedno - nezjistíte identitu, nezjistíte odpovědnost (žádná zaměstnanecká smlouva), nemáte ani kde žalovat. To má samozřejmě velký vliv na tvůrce a na to, jak opatrný je.
A posuzovat bezpečnost podle toho, že se nikomu nevyplatí na okrajovou platformu útočit? To je krátkozraké. Dočasně se bude platforma jevit jako bezpečná. Poté se začne víc používat a celá tato "deviza" se ztratí, jako kdyby nikdy neexistovala. ( "Notář mi vyprávěl, že dědeček byl vyhlášený samotář, lidem se vyhýbal a nikoho kolem sebe nesnesl, ale odjakživa toužil stát se hostinským. Nejdřív si zařídil hospodu u silnice na Písek. Ale chodili mu tam lidi,")
-
Maximální riziko není u OSS tvůrce, nýbrž u benefitu útočníka. Řekl bych, že je zde problém (vaší) logiky.
Pokud by tvůrce byl zároveň útočník, nedělal by mod pro okrajový telefon, protože bude cílit na benefit.
Právě jsem si stáhl do Linuxu aktualizace. Pochybuji, že kromě jádra a úpravy SELinuxu se někdo zabýval tím, co v těch záplatách je a co to dělá.
Pokud máte osypky z OSS, nepoužívejte ho.
-
Pokud by tvůrce byl zároveň útočník, nedělal by mod pro okrajový telefon, protože bude cílit na benefit.
Situace se může během života měnit, kór u jednotlivce. Ve dvaceti to můžete dělat ze zájmu a v pětatřiceti mít problém splácet hypotéku.
Pokud máte osypky z OSS, nepoužívejte ho.
Nemám z OSS osypky, jen se snažím na věc nahlížet reálně a nemít přes oči jen růžové brýle.
-
Jasně. Frajer, který umí udělat distribuci pro mobilní telefon si pro nejistý a velmi malý výdělek zničí fajnovej záznam do životopisu, pomocí kterého si vydělá mnohem více po celý život.
U rizik neplatí logika, že 99,99 % lidí by se zachovalo tak, jak píšete. Pro existenci rizika stačí aby jeden jediný v tomto ohledu selhal. Jistě namítnete, že může selhat i korporace nebo její zaměstnanec. A v tu chvíli jsme právě u toho rozdílu, že v jednom případě se jedná o v podstatě anonymní osobu bez odpovědnosti (nelze žalovat) vs. plně identifikovaná a stíhatelná osoba (obvyhle pod nicknamem). Taky nemusí jít o záměr, může do kódu propustit něco cizího, co neodchytí. Nebo to může být i obyčejný šlendrián. Možností je mnoho.
Taky pochybuji, že je pro hodně zaměstnavatelů tak významným zářezem v životopisu to, že se zmohl na bastlení cizích střepů kódu do distribuce na XDA developers.
-
Vaše pohrdání XDA i OSS leccos vysvětluje.
Chyba vaší úvahy (už zmíněná) je, že v EULA se komerční dodavatel vyvazuje z jakékoliv odpovědnosti. Můžete si zaplatit support, ale skončíte u SLA, typicky u povinnosti zareagovat do nějaké doby. Můžete si zaplatit i vyřešení problému, ovšem to se budete pohybovat cenově jinde a původní škodu stejně nikdo nezaplatí (tj. ekvivalent divného kusu kódu v čemsi).
Předpokládám, že pořád máte na zřeteli, že i OSS může dodat komerční dodavatel (s úplně stejnou EULA). A taky že OnePlus One, co jsem si flashnul, nebude asi typický pracovní telefon ve společnosti, která by byla tak obsesivně založená na zodpovědnosti, jak tady prezentujete, ne?
Roubujete absurdní důvody a ještě absurdnější logiku na naprosto zcestnou situaci.
