Android 10

[amagol]

> /e/OS vorinstalliert, das auf einer auf Android 10 basierenden Version von Lineage OS aufbaut.

Im Moment ist Android 13 aktuell - das basiert also auf einer mehr als 3 Jahre alten Android Version (release date lt. Wikipedia: September 3, 2019). Ich bin mir sicher in der Zwischenzeit sind keine Sicherheitsluecken entdeckt worden /s

[rlx]

Ich habe /e/OS auf meinem Smartphone. Mit Android 11 und Sicherheitsupdates vom August 2022. Android 12 kommt in den nächsten Wochen.

[terraformer]

Es ist üblich, dass nicht nur die aktuellste Android Version mit Sicherheitsupdates versorgt wird.
Und solange sie diese einpflegen, ist die eigentliche Version IMHO egal. Mal davon abgesehen, dass spätere Updates auf 11, 12 oder 13 nicht ausgeschlossen sind.

[zacha]

Android 10 ist zwar noch nicht EOL aber das kann nicht mehr lange dauern. Android 9 wird bereits nicht mehr mit Updates versorgt. Von daher ist der Einwand berechtigt. Weiterhin gibt es in neueren Android Versionen auch architekurell erhebliche Security-Verbesserungen, welche nicht zu vernachlässigen sind. Man muss sich also schon fragen, welche Zukunff ein solches System haben kann, wenn es schejnbar srei Jahre dauert, ein LineageOs auf das Gerät zu portieren und wie aktuell da die Scurity Patches jeweils sein werden, erscheint mkr auch fraglich.

[terraformer]

zacha schrieb:
--------------------------------------------------------------------------------
> wenn es schejnbar srei Jahre dauert, ein
> LineageOs auf das Gerät zu portieren und wie aktuell da die Scurity Patches
> jeweils sein werden, erscheint mkr auch fraglich.

Entscheidungen und Entwicklungen dauern Zeit, als die das geplant hatten, war Android 10 vielleicht noch aktuell. Mich wundert es jedefalls nicht, ist ja kein Billionen-Dollar Konzern, der ein eigenes OS selbst strickt. ;-)
Und wie erwähnt, sind Updates auf 11 und höher nicht ausgeschlossen. Mein LineageOS läuft jedenfalls Problem frei.
Neue Sicherheitsfeatures? Was ist den Essentielles neu in 11, 12 oder 13, was LineageOS nicht schon integriert hat? Ich bin da sicher nicht up to date.

[manudrescher]

Das Problem mit Lineage ist, dass man grundsätzlich mit offenem Bootloader durch die Gegend rennt...alleine das ist DIE Sichererheitslücke.



1 mal bearbeitet, zuletzt am 12.10.22 07:33 durch manudrescher.

[zacha]

terraformer schrieb:
--------------------------------------------------------------------------------
> zacha schrieb:
> ---------------------------------------------------------------------------
> -----
> > wenn es schejnbar srei Jahre dauert, ein
> > LineageOs auf das Gerät zu portieren und wie aktuell da die Scurity
> Patches
> > jeweils sein werden, erscheint mkr auch fraglich.
>
> Entscheidungen und Entwicklungen dauern Zeit, als die das geplant hatten,
> war Android 10 vielleicht noch aktuell. Mich wundert es jedefalls nicht,
> ist ja kein Billionen-Dollar Konzern, der ein eigenes OS selbst strickt.
> ;-)

Hinter GrapheneOS und CalyxOS stecken auch nur ein paar Leute, die bekommen es aber hin, die Images aktuell zu halten, eben aus diesem Grund wird eben auch keine breite Varietät von Geräten unterstützt, weil die verschiedenen Anpassungen und Tests zu aufwändig wären. Und ja, die Entwicklungen kosten Zeit, aber hoffentlich eben nicht zu viel Zeit, so dass die Nutzer dann auch ein supportetes OS haben. Ich sage ja prinzipiell kann Android 10 OK sein, aber es wirft halt schon die Frage auf, ob man sich hier vielleicht verzettelt oder schlichtweg zu wenig Ressourcen hat.

> Und wie erwähnt, sind Updates auf 11 und höher nicht ausgeschlossen. Mein

Updates auf 11 sind vermutlich sehr bald zwingend, sonst steht man eben ohne Patches dar.

> LineageOS läuft jedenfalls Problem frei.
> Neue Sicherheitsfeatures? Was ist den Essentielles neu in 11, 12 oder 13,

Ich stelle dabei insbesondere darauf ab, dass mit neueren Android-Versionen immer restriktivere und feiner granulare Berechtigungen für die Apps Einzug gehalten haben. Außerdem sind solche Sachen wie MAC Address Randomization (zugegebener Maßen ein Datenschutzfeature) hinzugekommen.

Ich habe leider keinen vollständigen Überblick, was mit Android 10 alles nich nicht ging aber kann mich erinnern, dass da in den letzten Jahren einiges passiert ist.

[zacha]

Das hat mit dem verwendeten Image wenig zu tun, sondern vielmehr mit der Frage, ob man den Key, mit dem man das Image signiert hat, in das Gerät bekommt. Es gibt durchaus einige Geräte, die das können. LineageOS macht das nicht von Haus aus, aber ein Anbieter wie Murena insbesondere mit eigener Hardware kann sicherlich Lineage auch auf einem Gerät mit gesperrtem Bootloader anbieten.

[zacha]

https://stackoverflow.com/questions/64286713/is-there-a-documented-life-cycle-for-which-android-versions-receive-security-upd

[terraformer]

zacha schrieb:
--------------------------------------------------------------------------------
> Ich stelle dabei insbesondere darauf ab, dass mit neueren Android-Versionen
> immer restriktivere und feiner granulare Berechtigungen für die Apps Einzug
> gehalten haben.

AFAIR war LineageOS bzw. schon CyanogenMod extra so ausgelegt, dass man die (vorhandenen) Berechtigungen beliebig sperren konnte. Klar, wo keine Berechtigung ist, kann man diese auch nicht separat sperren. Aber das soll ja nur als Beispiel dafür dienen, dass LineageOS AFAIK mehr für Sicherheit tut als Google überhaupt.
Mal davon abgesehen, dass ich die von dir zitierten Sicherheitsbeispiele nicht als relevant betrachte. Entweder man vertraut dem Hersteller einer App oder eben nicht. Wissentlich eine "böse" App zu installieren und sich darauf zu verlassen, dass "man ja jetzt fein granuliert Rechte entziehen kann" (was 99% der Nutzer sicher nicht tun), halte ich für die falsche Heransgehensweise beim Thema Sicherheit.
Wobei ich mich schon bei Android 4 fragte, wieso das mit den Rechten so schlecht konzipiert wurde. Schon damals sah ich jedenfalls keine zwingenden (z.B. ressourcenbezogenen) Gründe, nicht schon ein diversifiziertes Rechtemanagement zu implementieren.

> Ich habe leider keinen vollständigen Überblick, was mit Android 10 alles
> nich nicht ging aber kann mich erinnern, dass da in den letzten Jahren
> einiges passiert ist.

Anpassungen gab es viele. IMHO waren davon zu viele kein technischer Fortschritt, sondern nur eine Abwandlung. Ich habe hier jedenfalls Geräte mit Android 4, 5, 7 und 10.
Die Frage sollte IMHO sein: Über welche Wege werden die Geräte üblicherweise angegriffen? Das Sicherheitsrisiko Nr. 1 sitzt nach wie vor *vor* dem Gerät. Da hilft vermutlich auch Android 42 nicht ... ;-)

[zacha]

terraformer schrieb:
--------------------------------------------------------------------------------
> zacha schrieb:
> ---------------------------------------------------------------------------
> -----
> > Ich stelle dabei insbesondere darauf ab, dass mit neueren
> Android-Versionen
> > immer restriktivere und feiner granulare Berechtigungen für die Apps
> Einzug
> > gehalten haben.
>
> AFAIR war LineageOS bzw. schon CyanogenMod extra so ausgelegt, dass man die
> (vorhandenen) Berechtigungen beliebig sperren konnte. Klar, wo keine
> Berechtigung ist, kann man diese auch nicht separat sperren. Aber das soll
> ja nur als Beispiel dafür dienen, dass LineageOS AFAIK mehr für Sicherheit
> tut als Google überhaupt.
> Mal davon abgesehen, dass ich die von dir zitierten Sicherheitsbeispiele
> nicht als relevant betrachte. Entweder man vertraut dem Hersteller einer
> App oder eben nicht.

Ich finde das relativ naiv- denn Supply Chain Attacks werden das nächste große Bedrohungsszenario werden- aber selbst wenn Du davon ausgehst, dass Du dem Anbieter einer App uneingeschränkt vertrauen kannst, so ist es dennoch ein sinnvolles Feature, da genau über so einen Weg- nämlich Privilegieneskalation (z.B. im Browser) in einer an sich vertrauenswürdigen Anwendung die meisten Malwareinfektionen ablaufen.

So kannst du beispielsweise erst ab Android 11 einmalige Berechtigungen vergeben, also beispielsweise Deiner App einmalig die Nutzung der Kamera zum Scan eines Barcodes erlauben, auch wenn die App sonst nie die Kamera braucht:

https://developer.android.com/about/versions/11/privacy

Und eine Berechtigung, die die App gar nicht erst hat, kann eben schwerer ausgenutzt werden, weil nämlich dann direkt auch noch der Sandboxmechanismus bzw. das Access Rights Management überwunden werden muss.

Wie gesagt es sind definitiv in dem Bereich Security und Privacy eine Menge Verbesserungen passiert. Ob Du die persönlich als nützlich empfindest, ist auch erstmal zweitrangig, denke ich.

https://developer.android.com/about/versions/12/summary
https://developer.android.com/about/versions/13/summary

Und es besteht ja auch gar kein Einwand, auf LineageOS als Basis zu setzen, allerdings ist das Bereitstellen einer kurz vor EOL Version doch recht fragwürdig. Nur darum ging es hier. Es kann nämlich passieren, dass nächsten Monat einfach kein Sicherheitsupdate für Android 10 mehr kommt. Dann hoffe ich, /e/ OS schafft sofort den Sprung auf die nächste Version.

[terraformer]

zacha schrieb:
--------------------------------------------------------------------------------
> Supply Chain Attacks werden das nächste große Bedrohungsszenario werden

Und dagegen kannst du dich als Endanwender wie schützen bzw. wie schützt dich Android davor? Mir kommt es so vor, als wenn du hier ein paar Sicherheitsbereiche verwechselst.
Beispiel: Wenn der E-Mail Client bereits beim Hersteller kompromittiert wurde und du ihm - weil vorgesehen - Zugriff auf dein Adressbuch gibst, dann werden deine Adressdaten abfließen und ich sehe nicht, wie das von Android 11, 12 usw. verhindert werden könnte.

> aber selbst wenn Du davon ausgehst, dass Du dem Anbieter einer App uneingeschränkt vertrauen kannst

Uneingeschränkt sicher nicht. Aber wenn ich die App eines Herstellers verwende, muss ich darauf vertrauen, dass der nicht kompromittiert wurde. Ist ja dasselbe bei den täglichen Updates, egal ob bei Android oder z.B. Linux. Da werden so viele Pakete aktualisiert und ohne ein Mindestmaß an Vertrauen geht es nicht.

> Privilegieneskalation (z.B. im Browser) in einer an sich vertrauenswürdigen
> Anwendung die meisten Malwareinfektionen ablaufen.

Ob das die meisten sei mal dahingestellt, aber grundsätzlich stimme ich dir schon zu.

> So kannst du beispielsweise erst ab Android 11 einmalige Berechtigungen
> vergeben, also beispielsweise Deiner App einmalig die Nutzung der Kamera
> zum Scan eines Barcodes erlauben, auch wenn die App sonst nie die Kamera
> braucht:

Vielleicht verwechsele ich ja etwas, aber AFAIR kann man bei LOS Berechtigungen schon seit langem fallweise gewähren. Und falls du jetzt darauf hinaus willst, dass die App im Manifest die Persmission nicht stehen haben muss, scheint mir das eher ein Risiko zu sein. Ich wette, die meisten Nutzer klicken eh einfach "Ok", wenn sie nach irgendeiner Berechtigung gefragt werden, egal, ob das für die App notwendig ist.
Ich nutze schon lange gerootet Geräte und fand es schon vor vielen Jahren erstaunlich, welche Apps da was treiben wollten - was ich schlichtweg unterbunden habe. Ich habe die Namen der Apps vergessen, aber die haben die Sicherheit schon vor vielen Jahren deutlich erhöht im Gegensatz zu Stock Android.

> Und eine Berechtigung, die die App gar nicht erst hat, kann eben schwerer
> ausgenutzt werden, weil nämlich dann direkt auch noch der
> Sandboxmechanismus bzw. das Access Rights Management überwunden werden
> muss.

Stimme ich dir zu. Ich gehe davon aus, dass LOS das schon sehr lange besser im Griff hat als Stock Android. Mein LOS meldet z.B. regelmäßig, dass es ungenutzten Apps die Berechtigungen vorsorglich entzieht. Standort-Zugriff kann ich "immer" oder "Nur bei Nutzung der App" erlauben. Ist das Android-Standard?

> Wie gesagt es sind definitiv in dem Bereich Security und Privacy eine Menge
> Verbesserungen passiert.

Ich glaube, du machst hier den Denkfehler, nur Stock Android mit Stock Android zu vergleichen und nicht zu berücksichtigen, dass andere Varianten schon seit langem viel weiter sind.

> Ob Du die persönlich als nützlich empfindest, ist auch erstmal zweitrangig, denke ich.

Wie gesagt: Threat and Risk Management

> Und es besteht ja auch gar kein Einwand, auf LineageOS als Basis zu setzen,
> allerdings ist das Bereitstellen einer kurz vor EOL Version doch recht
> fragwürdig.

Also ich zitiere mal:
"We aim to support with at least 5 years of software updates and security patches."
Deine zitierte EOL ist somit überhaupt nicht einschlägig.

> Nur darum ging es hier. Es kann nämlich passieren, dass
> nächsten Monat einfach kein Sicherheitsupdate für Android 10 mehr kommt.

Und das spielt nach dem oben zitierten Aussage gar keine Rolle.