News Android: Dezember-Update schließt 40 Sicherheitslücken

[123peter]

Da Lob ich mir die wöchentlichen Updates bei Xiaomi
Die nächsten Tage guck ich mal ob sich meine Sicherheitsebene aktualisiert. Bin eben noch auf 1.11.16 allerdings habe ich meine Rom noch nicht aktualisiert

 

[nille02]

Trotzdessen geht es jetzt Cyanogen schlecht warum weil keiner für Support auf Pro Ebene zahlen will !?

Cyanogen und Cyanogenmod haben erst mal wenig miteinander zu tun. Das eine ist ein Community Projekt und das andere ist ein kommerzielles OS dessen Chef einfach untragbar war. Zumindest von dem was in den Medien war, würde ich mit dem auch keine Geschäfte machen.

 

[Baxxter]

Dann ist das Update dann wohl ab September 2017 für "alle" verfügbar.

 

[5@n!töt3r]

Würde ein Hersteller 5 Jahre Updates versprechen, hätte er mich mit ziemlicher Sicherheit schon als Kunde.
Dass mein gut 3 Jahre altes Nexus 7 keine Sicherheitsupdates bekommt, ist eigentlich nur traurig. Hardwaretechnisch noch absolut ausreichend.

 

[cunhell]

Selbst Google gibt nur 3 Jahre Updategarantie:

Security updates are provided for three years from release or 18 months from when they leave the Google Store, whichever is longer.

Das ein anderer Hersteller über das hinausgeht, würde ich nicht erwarten.

Microsoft hat den Herstellern die Möglichtkeit, verschiedenste Hardware zu verbauen, stark eingeschränkt. Das hiess auch, dass sich die Hersteller nicht so stark in ihren Geräten unterscheiden konnten, wie sie das gerne wollten. Das hat die Attraktivität der Plattform stark eingeschränkt. Bei Android sind sehr viel größere Freiheiten vorhanden. Und genau das wird Android und dessen Updates eben zum Verhängnis. Wenn keine Standardhardware verbaut ist die auch Google verwendet, müssen für jede neue Version die den Kernel und/oder die Libraries ändert, alles neu gebaut werden. Von der UI und der anderen Herstellersoftware mal ganz abgesehen. Das bedeutet einen erheblichen Aufwand, den der Hersteller eben scheut.
Aus Sicht des Herstellers verständlich, aus Sicht des Kunden und dessen Sicherheitsbedürfnis ein Gräul.

Und Custom-ROMs sind keine Lösung für ein Problem dass die Hersteller lösen müss/t/en.

Das Vorgehen der Hersteller ist meiner Meinung nach für eine Plattform mit der Markdurchdringung von Android und der damit einhergehenden Attraktivität für Angriffe ein absolutes no-go.

Cunhell

 

[valnar77]

Ach ja, das alte leidige Thema. Mein Note3 bekommt wenn es hoch kommt noch Sicherheitsrichtlinienupdates verpasst, aber das wars dann. Zum Kotzen. So eine schöne Hardware, Snapdragon 800 quad core, 3 GB RAM, LTE......gibt Hardwaretechnisch keinen Grund für mich das Gerät auszutauschen. Hängt noch bei 5.0 fest. Wäre mir im Prinzip völlig egal, wenn es noch sicherheitsrelevante Updates gibt.

Hier muss die EU her,und eine Richtlinie/Verordnung/Gesetz (was auch immer juristisch korrekt ist) erlassen, dass internetfähigen Geräten 5 Jahre Sicherheitsupdates garantiert, ansonsten sollte man den Neupreis des Gerätes vom Hersteller zurück forden können. Wenn sie eine alte Version (z.B.) Android 4.4.x nicht mehr supporten wollen, sollen sie das Gerät halt auf 7.x hoch ziehen. Microsoft bringt meistens ~ 10 Jahre Support auf Clientsystemen mit.

Jedem der XP noch nutzen möchte, weht ein Shitstorm entgegen, aber bei Android ist ja alles tutti. Bis zur nächsten "Stagefright-Lücke", bei der man sich nur durch den Empfang eines Multimedialen Inhaltes was einfangen kann.

 

[TrueAzrael]

Mal ne ernsthafte Frage warum reitet man bei Android Updates immer auf Google rum?

Android wird von der OHA entwickelt und da sind (Stand Februar 2016) 83+Google Unternehmen beteiligt. Unter anderem auch Samsung, Intel, Qualcomm, ARM, Lenovo, China Mobile, usw. kann mir keiner weiß machen, dass denen das Budget fehlt um, z.B. in Form von Entwicklern, mehr zu Android beizutragen. Scheint so als ob Google das Projekt beinahe alleine stemmt und am Ende auch noch angemauzt wird.
Übrigens wurde die OHA gegründet um internationale Standards zu schaffen und alle Produkte kompatibel zu Android zu halten. Und dennoch scheint es so, dass keines der beteiligten Unternehmen es schafft Geräte kompatibel zu halten, muss doch jeder Hersteller erst noch monatelange Anpassungen durchführen bevor eine neue Androidversion (bzw. ein Update) ausgerollt werden kann.

Das einzige das man Google direkt ankreiden kann, ist der Zwang die Google Apps nutzen zu müssen um den Markennamen Android tragen zu dürfen.

 

[Zapan90]

Wenn mein Androide einen Sicherheitspatch von den Letzten 3 Monaten überhaupt bekommt kann ich mich schon glücklich schätzen. Bis letzten Monat war ich noch auf Stand April 16 mit dem Sicherheitspatch, und das obwohl im Moment so einige grosse Sicherheitslücken für Android bekannt sind. Inzwischen habe ich jetzt das Upate auf August 16 bekommen. Also bereits wieder 4 Monate zurück...
Ich hoffe es fangen bald mehr Hersteller an die Sicherheitspatches zeitnah durchzureichen. Bis jetzt kenne ich nur Blackberry welche sich hier einigermassen Mühe geben.

Gruss

 

[cunhell]

@TrueAzrael
Um Android annähernd sinnvoll nutzen zu können, kommt man um einen Googleaccount nicht herum. Alles andere verkompliziert den Bezug von Apps massiv. Der ganz überwiegende Teil der Nutzer verwendet also den AppStore von Google (sofern er überhaupt weiss, dass man Apps z.T. auch anders beziehen könnte).
Davon abgesehen bergen die Quellen ausserhalb des AppStores noch weit größere Sicherheitsrisiken als es eh schon gibt.

Google verdient also mit den Android-Usern, diekt oder indirekt, einen haufen Geld.

Mitleid mit dem "armen" Google ist sicher nicht wirklich angebracht. Meines hält sich auf jeden Fall massiv in Grenzen

Cunhell

 

[TrueAzrael]

Mitleid hab ich überhaupt keines mit niemandem.

Dennoch sieht das für mich so aus, also ob da 5 Entwickler im Raum sitzen und man den einzigen der wirklich arbeitet zur Schnecke macht weil die Software nicht voran kommt, während die anderen vier Däumchen drehend daneben sitzen.
Der eine Entwickler bastelt eben nebenbei noch ein Addon für die Software das die Software erst so richtig nutzbar macht.

Sollen die anderen OHA-Mitglieder doch einen Open Source Store direkt in AOSP integrieren und eigenen Apps gleich mal darüber anbieten. Wird mittlerweile zwar dauern bis man den Google Store los wird, aber daran hätte man früher denken können.

Man hat sich einfach ins Boot (OHA) gesetzt um ein mobiles OS kostengünstig zu ersteigern und hat Google das Steuer überlassen. Da darf man sich nicht wundern, wenn man nicht am eigenen Lieblingsort ankommt.

 

[Garack]

Sehr schön, mit dem Nexus 5X gleich Nougat 7.1.1 mit Dezember Patch Level bekommen heute. Die Nexus/Pixel teile sind neben den Custom ROM Usern die sich auskennen die sichersten Android Phones.

 

[KlaasKersting]

Jedem der XP noch nutzen möchte, weht ein Shitstorm entgegen, aber bei Android ist ja alles tutti. Bis zur nächsten "Stagefright-Lücke", bei der man sich nur durch den Empfang eines Multimedialen Inhaltes was einfangen kann.

Für die meisten ist Schadsoftware am Smartphone eben eine sehr abstrakte Bedrohung.
Sowas wie: Ich könnte vom Blitz getroffen werden oder die nächste Schweinegrippe holt mich.
Infektionen am PC kennt fast jeder. Sei es persönlich oder aus dem direkten Umfeld und viele wurden von ihren Bekannten auch sehr darauf gedrillt.

Wie viele Leute kennst du, die auf dem Smartphone mit Trojanern zu tun hatten? Mal abgesehen von vorinstallierten Schad-ROMs auf 80€ China-Tablets aus irgendeinem "EU-Warehouse".

 

[HaZweiOh]

Stimmt, das zeigt neben der Statistik auch die Praxis.

ein absolutes no-go

So lange Windows immer noch 3x so häufig von Schadsoftware befallen wird wie Android, musst du erstmal vor Microsoft's Windows warnen, wenn du halbwegs glaubwürdig sein willst. Das ist ein absolutes no-go.

 

[vander]

So lange Windows immer noch 3x so häufig von Schadsoftware befallen wird wie Android, ...

Abgesehen davon das du vermutlich das 'Desktop Windows' einbeziehst, woher hast du diese Zahlen?
Geht es dabei um Infektionen insgesamt, oder relativ zur Anzahl an Geräten? Ein fairer Vergleich wäre nur in Relation machbar, sonst bringe ich einfach einzelnes Gerät heraus das absolut frei von Viren ist und behaupte das Android Millionenfach häufiger infiziert wurde.
Mit Zahlen ohne Kontext kann man alles und nichts beweisen.

Ergänzung (6. Dezember 2016)

... Jedem der XP noch nutzen möchte, weht ein Shitstorm entgegen, aber bei Android ist ja alles tutti. Bis zur nächsten "Stagefright-Lücke", bei der man sich nur durch den Empfang eines Multimedialen Inhaltes was einfangen kann.

Wegen der kürzlichen Botnetzattacken im IoT ist es aktuell im Gespräch das der Gesetzgeber Hersteller bzw. Nutzer in Haftung nimmt.
Das wäre doch mal was, wenn jeder für seine unzureichend gesicherte Hard/Software haftbar gemacht werden kann. An Google kommen sie so nicht heran, aber Oma Frida und Onkel Herbert könnte man sicher für Bot Attacken von ihrem "bekanntermaßen" unsicheren Kitkat zur Verantwortung ziehen

Wird aber nicht kommen, die letzte Entscheidung zu WLan Passwörtern besagte ja auch, das sich der Anwender darauf verlassen darf, das der Hersteller alle Einstellungen bereits zum Produktionszeitpunkt bis in alle Ewigkeit hinreichend gesichert hat. Einfach nur lachhaft und weit an der Realität vorbei.

 

[C4rp3di3m]

Warum ist es nicht möglich Sicherheitsupdates für jedes Telefon via Playstore Anzubieten?
So schauen doch eh wieder die meisten in die Röhre.

mfg

 

[HaZweiOh]

Abgesehen davon das du vermutlich das 'Desktop Windows' einbeziehst

Klar, das andere spielt ja keine Rolle.

Ein fairer Vergleich wäre nur in Relation machbar

Das ist selbstverständlich, natürlich sind es relative Zahlen (die Quote der Infektionen). Die Quelle muss ich raussuchen, aber aus dem Alltag ist es auch jedem klar.

 

[Mort626]

Warum ist es nicht möglich Sicherheitsupdates für jedes Telefon via Playstore Anzubieten?
So schauen doch eh wieder die meisten in die Röhre.

mfg

Soweit ich weiß gehen doch schon (kleinere) System/Sicherheitsupdates über die Android System Webview, das sich jeder aus dem Play Store ziehen und aktualisieren kann.
(Korrigiert mich sonst...)

 

[cunhell]

So lange Windows immer noch 3x so häufig von Schadsoftware befallen wird wie Android, musst du erstmal vor Microsoft's Windows warnen, wenn du halbwegs glaubwürdig sein willst. Das ist ein absolutes no-go.

Windows im allg. gibt es seit 1985. Ab ca der Mitte der 90er begann der Siegszug des Internets. Mit Windows 95 als damals mit Abstand weit verbreiteste Plattform für Privat-PCs. Die Viren die es vorhar gab haben zwar oft den Rechner lahmgelegt, waren aber mangels Internet kaum in der Lage Daten weiterzugeben.
Damit wurde es extrem lukrativ Trojaner oder Viren zu basteln die in der Lage waren die Windows-Rechner auszuspionieren.
Es gibt also seit über 20 jahren Erfahrung. Das damit die Sicherheitslücken, die existieren, bei dieser Plattform am Meisten ausgenutzt werden, ist daher nur logisch.
Mal abgesehen davon, kommen viele Schadprogramme über Third-Party-Software wie Flash auf die PCs, die dann Sicherheitslücken des Systems ausnutzen.
Und Third-Party-Software gibt es auch für Android.

Laut der CVE-Statistik ist aber Windows in keinsterweise das verwundbarste System

https://www.heise.de/newsticker/mel...-Flash-gemeldet-3057259.html?view=zoom;zoom=1


Andriod weißt hier fast genausoviele Löcher auf wie die einzelnen Windowsversionen. Die Patches werden aber bei weitem nicht so zeitnah herausgebracht wie es nötig wäre. Wenn diese dann überhaupt von den Herstellern ausgerollt werden. Microsoft hat dem zumindest seit Windows 10 mit der neuen Updatepolitik versucht dem entgegen zu wirken.

Aus meiner Sicht ist es nur eine Frage der Zeit bis die Hacker die Android-Phones stärker ins Visier nehmen.
Mobiles Online-Banking, bezahlen mit dem Handy, all dass macht es zu einem immer lukrativeren Ziel.

Und wieviele Android-Systeme wirklich infiziert sind, weiss man auch nicht so genau. Kaum Jemand verwendet einen Virenscanner oder sonstige Sicherheitssoftware auf den Geräten.

Cunhell

 

[vander]

Die Behauptung steht, das Windows Desktop unsicherer ist als Android, da 3x mehr Infektionen (Quelle unbekannt).

Ich finde den Vergleich zwischen einem offenem System, bei dem der Benutzer die Berechtigung hat Systemänderungen vorzunehmen (Admin) und einem geschlossenen, wo lediglich Apps eingespielt werden können, fragwürdig.
Übliche Einfallsvektoren (Office Makros, Flash Skripte, Java, ...) existieren nicht in der gleichen Form auf beiden Systemen.
Wenn man alle nicht zum Betriebssystem gehörenden Anwendungen ausklammert und alle existierenden Sicherheitsupdates berücksichtigt, dann ist der Vergleich fair, aber nicht mehr praxisnah.
IMO ist es nicht möglich die obige Behauptung (Android ist sicherer als Windows) anhand der Anzahl der Infektionen zu beweisen. Dafür finden Infektionen zu häufig über Software von Drittanbietern statt.


Ursprünglich ging es hier um mobile Systeme. Daher meine Frage, glaubt jemand das ein aktuelles Windows Mobile anfälliger ist, als ein aktuelles Android?

 

[HaZweiOh]

Microsoft hat dem zumindest seit Windows 10 mit der neuen Updatepolitik versucht dem entgegen zu wirken.

Der Punkt ist doch, dass Windows In der Praxis deutlich unsicherer ist als Android. Wenn du sagst "Macht nichts, dass es unsicherer ist, sie versuchen es ja" wird das kaum einen Anwender interessieren. Für den Anwender zählt nur das Ergebnis der Versuche. Deshalb wirkt es etwas ironisch, wenn gerade ein Windows-Verfechter beim Thema Android die Panik-Nummer schiebt.

Und wieviele Android-Systeme wirklich infiziert sind, weiss man auch nicht so genau.

Natürlich weiß man das, die Play Services (die u. A. Schadsoftware-Erkennung enthalten) gehören zum System und werden auf allen Geräten von Android 2.3 aufwärts (das sind 99,9 %) aktuell gehalten.

Die "Sicherheits-Forscher", die immer mächtig viel Marketing-Wirbel um jede Lücke machen wollen (egal ob praktisch ausnutzbar oder nicht) wissen es auch.


Der Anwender wird Windows und Android vergleichen, was in Ordnung ist, auch wenn das Ergebnis nicht allen gefällt. Auf beiden Systemen kann man potenziell unsichere Software einspielen. Android hat diverse Sicherheitsmechanismen, die Infektionen effektiv verhindert haben.

Der Einwand "aber man könnte beim PC auch ein Java-Plugin im Browser..." ist wenig überzeugend. Es stimmt zwar, dass man das machen könnte, aber 1) braucht das so gut wie niemand und 2) bleibt Windows am Ende weiterhin das unsicherere System.