Android ist quelloffen - hat das auch Auswirkungen auf Sicherheit

[N2k1]

Nun halt mal bitte den Ball ganz flach.

Weil Dir sonst die Argumente ausgehen?

Meine Ursprungsfragen sind in der Tat großteils nicht vollständig beantwortet.

Das sagte ich doch. Deshalb sollte dies ein Aufruf sein BTT zu kommen.

Erst recht nicht von dir.

Wenn Du konkrete Fragen beantwortet haben willst, solltest Du die verlinkte Arbeit mal lesen.
Aber eben nur die Eingangsfrage.

Allerdings tust du selbst genau das, was du kritisiertst, nämlich Argumente weichzuklopfen.

An welcher Stelle denn?

Es geht hier darum, bestehende Fragen zu bestehenden Rahmenbedinungen zu hinterleuchten und zu beantworten. Du hingegen belobhudelst dich hier auch nur selbst, wie schlau du doch bist ein Nexus zu benutzen

An welcher Stelle steht denn, daß ich ein Nexus benutze?
Kann es sein, daß Du gar nicht gelesen hast, was ich schrieb?

... und wie dumm der Rest der Welt ist, der das nicht macht.

Nein, nur die, die ein halbgeschlossenes System benutzen und jammern, daß das offene System sich zu wenig um sie kümmert.
Wenn die GUI des OSX ein Loch im BSD öffnet, so kann ich doch den Hersteller des BSD nicht verpflichten, dieses Loch zu stopfen - sondern muß mich eben an Apple halten.
Wenn Samsung mit TouchWiz das Android nachhaltig verändert, so muß sich dann auch Samsung kümmern - und eben nicht Google.
Schließlich kümmert sich M$ ja auch nicht um die Löcher im Firefox - oder?

 

[jancb11]

Ich komme leider nicht ganz um das Gefühl herum, dass manche hier entweder Ärger provozieren oder zumindest zeigen wollen, wie genial und immer im Recht sie sind. Das man sich aber weder jeden Schuh anzieht noch jedes Geschwurbel lesen muss, scheint manchen allerdings nicht ganz klar zu sein. Was soll diese so sinnlose wie dümmliche Haarspalterei in diesen Foren immer?
Du schreibst:

Ich kann Gamefaq nur zustimmen: Nutzt das quelloffene ANDROID

Daraufhin hatte ich geschrieben, dass hier eine Beantwortung von Ursprungsfragen im Ursprungszusammenhang wichter wäre, als immer wieder anderen vorzuhalten, was sie hättten anderes machen können. Wenn ich mich rundherum wieder gerade mit meinem Smartphone beschäftigt habe, weil ich aktuell ein neues gekauft habe, meinst du ernsthaft, ich stampfe das ein, ziehe wieder los und kaufe ein Nexus, nur weil zwei Typen das hier anraten.

Ja! Darüber hinaus hatte ich falsch interpretiert, dass du "nur" ein Nexus anrätst und keines selbst benutzt. Aber welchen Millimeter hat das die ganze Sache jetzt im Kern weitergebracht, außer dass du in einer 6fach-Zitate-Antwort mich zu zerlegen müssen glaubst, nur um auf diesem Nebenschauplatz dein Recht herauszufiletieren.

 

[N2k1]

Aber welchen Millimeter hat das die ganze Sache jetzt im Kern weitergebracht,

Dann folge doch einfach dem Link!
Genau deshalb hatte ich den eingefügt.
Einfach eine objektive Betrachtung - statt Geflame!

außer dass du in einer 6fach-Zitate-Antwort mich zu zerlegen müssen glaubst, nur um auf diesem Nebenschauplatz dein Recht herauszufiletieren.

Leider zum Großteil falsch!
Du greifst User persönlich an - statt zu lesen - und wenn man Dir das zeigt, dann kommt Geflame!

Wenn Du Dir nun also - ohne Dich zuvor zu informieren - ein tolles neues Gerät gekauft hast, um nun festzustellen, daß es weder vom Hersteller noch von einer großen Community Updates gibt, so hat das genau nichts mit dem Ansinnen von Google, von Android oder Deiner Frage als Solches zu tun.

Zurück zu Deiner Frage: Dann lies bis etwa Post #9 - oder folge dem Link in meinem ersten Beitrag hier.
Wenn es Dir um rechte geht: Nutze AppGuard, AVAST oder folge diesem Link: http://www.heise.de/security/meldun...ndroid-regelt-App-Zugriffsrechte-1267192.html
Eigentlich wurde für 4.2 etwas ANDROID-internes versprochen - aber es kam nur eine Multi-User Umgebung.

 

[jancb11]

Leider zum Großteil falsch! .

hat dir schonmal irgendwer gesagt, dass ich dir das nicht ansatzweise glauben werde und muss, nur weil du das hier mal so rausplautzt? Viel spannender wäre die Frage, was wirklich war. An der Tatsache, dass du auf einem Nebenschauplatt dein in der Tat übersehenes Recht einforderst, ändert auch dies liebevolle Statement nichts.

"... wenn ich ohne mich zu informieren." So ein Blödsinn !! Du beschwerst dich, dass ich bei dir besitzen/benutzen und empfehlen verwechselt habe. Habe ich jemals irgendwo geschrieben, dass ich mich nicht informiert habe? Woher weißt du welche Gründe dennoch für den Kauf gesprochen haben und ich nun nur versuche, die letzten Fragen zu erforschen und zu klären? Du bollerst hier , letztlich ohne Hintergründe zu kennen, ua damit rum, besser ein Nexus zu kaufen statt. Dann wunder dich nicht, wenn du dafür auch Kritik einstecken musst.

Was ganz anderes: Liebst du das eigentlich auch, wenn du irgendwo Hilfe brauchst oder suchst und dann heißt es: da müssen Sie mal den fragen, da müssen sie mal den fragen, und da den? Und die sind dann genau so "schlau"?
Denn schon wieder irrst du anscheinend, falls ich dich dahingehend richtig verstehe, ich hätte deine Links nicht gelesen. Ich bin leider noch so altmodisch, hier etwas zu fragen um hier von netten Leuten eine Antwort zu bekommen. Wenn man so will eine "Frage der Höflichkeit", Und nicht, um mit Links zugeschüttet zu werden, nach dessen Lesen man sich mindestens genausoviel Fragen stellt wie vorher, und sei es nur die 100% Glaubwürdigkeit betreffend. Da erlaube ich es mir noch zu glauben, der Motivation und dem Sachverstand einer (gefilterten!) Userzahl, die hier Antworten, ansatzweise mehr zu glauben als irgendwelchen sonstigen Internetlinks, die betreffend man Hintergründe und Motivation für ihr Online-Existenz niemals auch nur ansatzweise wissen kann.

 

[N2k1]

Irgendwie verstrickst Du Dich in Widersprüche. einmal schreibst Du, daß Du nicht einfach zwei Typen hier glauben willst, dann aber schreibst Du, daß Du gern hier Antworten hättest und keine (objektiven) Links.

Der von mir gepostete Link ging zur FOM Hamburg - aber vielleicht ist die Uni Koblenz ja vertrauenswürdiger: http://userpages.uni-koblenz.de/~steigner/seminar-net-sec/sem11.pdf

Vielleicht ist aber auch ein Buch aus der Vor-ANDROID-Ära zur Sicherheit offener Systeme das, was Dir Deine Fragen beantwortet?!

Bues, Manfred: Offene Systeme – Strategien, Konzepte und Techniken für das Informationsmanagement, Springer-Verlag Berlin 1994

Deine Ursprungsfrage wurde in den ersten Posts beantwortet - danach artete dieser Thread leider in ein Gemetzel aus, wo alle nur noch auf den einen User einprügelten. Und das, obwohl er hinlänglich zeigte, daß die Antworten, die er bemängelte rein polemisch waren - und offenbar von einem Fan-Boy stammten.

Natürlich mußt Du mir hier nicht glauben - aber deshalb habe ich ja auch nur auf referenzierbare Quellen verwiesen.

Aber nun nochmal eine Zusammenfassung, damit Du den Antworten nicht hinterherlaufen mußt:

Ist en offenes System einem geschlossenen System in Sachen Sicherheit überlegen?
Diese Frage kann man leider nicht mit JA oder NEIN beantworten.
In einem offenen System kann auf (immer vorhandene) Schwachstellen schneller reagiert werden als in einem geschlossenen System.
Gleichzeitig werden diese Schwachstellen meist schneller gefunden und dokumentiert.
Daher ist diese Eigenschaft zugleich Vor- als auch Nachteil offener Systeme, da eine Lücke - sofern sie nicht zeitnah geschlossen wird - hinlänglich bekannt ist.
Problematisch werden an dieser Stelle dann die halboffenen Systeme (oder die scheinbar offenen Systeme), wie man sie bei einer - gegen die GPL - nicht dokumentierten Anpassung vorfindet.
Hier sind die Fehler bekannt - aber die Behebung dauert zumeist sehr lange.

Ist die Rechtevergabe von ANDROID ausreichend und sinnvoll?
Die Rechtevergabe innerhalb ANDROID wird permanent weiterentwickelt - was bereits ein Zeichen dafür ist, daß das bisherige System nicht hinreichend ist.
Da die Berechtigungen jedoch in Gruppen organisiert sind, mußte man als Entwickler manchmal rechte einfordern, die absolut nicht nachvollziehbar sind, wenn man nicht weiß, wie die Rechte organisiert sind.
Wenn das System nun jedoch verändert wird, dann haben ältere APPs plötzlich völlig falsche und völlig überzogene Rechte (die noch nichts mit Datenklau & Co. zu tun haben)

Ist die Rechtevergabe im Dateisystem sinnvoll und ausreichend?
Hier muß man zwischen dem Dateisystem der SD-karte und dem Dateisystem des (User)Data-Bereiches unterscheiden.
Die SD-karte ist (als Standard) im FAT-System formatiert, welches keinerlei Rechtevergabe unterstützt.
Der (User)Data-Bereich ist eine EXT-Partition. Hier kann ich Besitzer- (Owner), Gruppen- und Admin-Rechte getrennt für Lesen, Schreiben und Ausführen vergeben.
Für jede angelegte Datei - aber auch jedes Verzeichnis.
Jede neu installierte App bekommt eine neue Benutzer-ID.
Solange ich also meine Daen in der Data-Partition habe, kann die Sicherheit völlig ausreichend sein.
Alles, was ich auf der SD-Karte habe, ist eher unsicher.
Ab JellyBean wurde aber versucht, eben die SD-Karte komplett für Apps zu pserren.

Was ist mit Rechten für Kontakte etc.?
Bestimmte Programme müssen eben Kontakte lesen können. Da wo ich es nicht will, die App installiere ich nicht.

Was ist mit der Berechtigung für Internet?
Wenn eine App einfach nur Daten senden und empfangen will, so kann das Programm einfach über den Browser gehen - und dort per PHP-Option Daten senden und empfangen, was für den User nachvollziehbar bleibt.
Will eine App aber den direkten Zugriff, dann sollte ich mir das überlegen.

Muß ein Gerät gerootet sein?
Tja - an dieser Stelle kommt es zu einem Interessenkonflikt.
Wenn ich Root-Rechte (Administrator-Privilegien) habe, dann kann ich die Sicherheitsstufe eben hoch oder runter setzen.
Beispiel: Ich habe eine Root-Shell. Nun habe ich Debugging an. In genau diesem Moment kann man meine PIN oder mein Muster einfach löschen um Vollzugriff auf das Telefon zu bekommen.
Andererseits kann ich nun per iptables genau definieren, wer Zugriff auf das Netzwerk hat.

Demnach bleibt abschließend zu sagen, daß ohne Brain 2.0 eben gar nichts sicher ist.

Vielleicht war es ja das, was Du als Bereicherung des Threads ansehen könntest.

 

[jancb11]

Ja, herzlichen Dank, ehrlich gemeint, sowas in der Art habe ich mir vorgestellt.

Aber zu zwei deiner Zeilen kann ich mir eine Bemerkung nicht verkneifen:

Irgendwie verstrickst Du Dich in Widersprüche.

Mit solchen Vorfwürfen sollte man nicht immer aber in vielen Fällen sehr viel vorsichtiger sein. Viele "ernste" Dinge bespricht man von Angesicht zu Angesicht, möglichst nicht mal per Telefon. Nichts ist prädestinierter als Mails & Foren (zudem von "fremd zu fremd"), um sich gigantisch misszuverstehen. Das hat komplett nichts mit Widersprüchen zu tun.

danach artete dieser Thread leider in ein Gemetzel aus, wo alle nur noch auf den einen User einprügelten.

Nein!!! !!! Foren wie diese sind eigentlich was sehr paradoxes. Einerseits postet man etwas, um möglichst kompetente Antworten zu erhalten. Anderseits fällt der Blick immer als erstes auf die Beitragszahlen. Tausend oder mehrere Tausend Beiträge/Person können in einer anonymen Internetwelt nichts mit Altruismus zu tun haben, sondern, keine Ahnung, will mir jetzt keine potentiell beleidigende Begriffe ausdenken, zumindest mit irgendwas Zweifelhaften. Und das Zeugs bleibt Dank Google ewig auffindbar. Viel zu viele nehmen ihre "moralische Pflicht" nicht ernst genug, dort auch zurückzubollern, wo es zu schräg wird.

Mich wunderts und ich bedauer es ein wenig, dass jemand wie du das anscheinend gänzlich anders sieht, der sich sonst auch so auf auf Brain 2.0 beruft

 

[Gaspedal]

Android ist kein reines OpenSource Projekt von Google! Android ist de facto ein In-house-Produkt, dessen Releases samt Source Code veröffentlicht werden. Google wählte für die Veröffentlichung die Apache License , die es Benutzern erlaubt, Closed-Source-Anwendungen auf der Open-Source-Basis von Android aufzubauen.

Wie dem auch sei, ob closed oder open, Sicherheitslücken werden beide haben. Windows ist auch closed-source aber vor Hacker schützt es auch nicht. Und wer ein iPhone mit Jailbreak hat, ist auch ein iOS nicht mehr sicher da alle "unsichere" Cydia Anwednungen root Rechte haben und man nicht weiß was die im Hintergrund so alles ausspionieren. Gilt auch für ein Android mit Root Rechte. Wenn Du sicher gehen willst: kein Jailbreak, kein Android-Root.
Bei Android hast Du vor der Installation einer App wenigstens die Möglichkeit zu sehen, auf welche Rechte ein App zugreifen will.

 

[jancb11]

Eigentlich drückst du dich ja klar aus, aber dennoch zur Sicherheit nochmal gespiegelt: Android selbst als Betriebssystem ist zumindest letztenendes quelloffen aber die Apps nicht? Das ist ein Muss? Oder ein Kann? Es spricht doch vermutlich nichts dagegen, dass auch offene Apps programmiert werden?
Aber wieso ist die Aussage dann falsch, dass Android selbst quelloffen ist? (vgl auch WP)

Was genau ist In-House, ich kann nichts vernünftiges ergooglen?

Und im Gegensatz zu was kann ich bei Android zzgl Apps wenigstens noch froh sein, dass mir Rechte angezeigt werden?

btw: Das "Schlimme" in Foren wie diesen ist es wohl, dass man nur schwarz-weiße Probleme haben und nicht grauzonig-neugierig sein darf, um Sachen zu verstehen. Ich habe weder gesagt noch gemeint, dass ich ganz sicher gehen will. Ich will halt manchmal nur nur haargenau wissen, was ich eigentlich tue, auch bei der Nutzung meines Smartphones.

 

[N2k1]

Ich versuche es mal anders zu formulieren.
ANDROID gehört GOOGLE. GOOGLE hat beschlossen, daß sie selbst die meisten Sourcen im AOSP eben offenlegen.
Einzelheiten dazu kann man hier nachlesen: http://source.android.com/about/index.html
Das bedeutet eben auch, daß eine Firma XY den Quell-Code nehmen kann, um eine eigene Oberfläche zu basteln (TouchWiz, Sense etc.)
Eigene Entwicklungen - also Veränderungen des eigentlichen Betriebssystems - werden (logischerweise) nicht vom Support durch GOOGLE abgedeckt.
Die eigenen Entwicklungen darf man auch schützen - also den Quellcode für sich behalten.
Das hat eben nun aber Vor- und Nachteile.

Nun zu den APPs.
Hier gibt es - durchaus gewollt - mehrere Varianten.
Hier kann man sich bei GOOGLE als Entwickler registrieren und APPs im Playstore anbieten.
Alternativ kann man aber APPs aus "unsicheren Quellen" installieren. (Hier unterscheidet sich ANDOID dann eben von iOS)

Nun zu den Quellen von APPs:
Generell kann man APPs decompilieren. (Sonst könnte ja auch GOOGLE nicht verifizieren, ob eine APP schädlich ist)
Eine APK ist letztlich (vereinfacht) ein ZIP-Container, der die Bilder, compilierten JAVA-Code und XML-Files enthält.
Es existieren genügend Tools, um eine APK wieder in ein editierbares Format zu bringen.
Bei Systemdateien ist es etwas komplexer, da man hier sogenannte ODEX-Dateien erstellen kann, die optimiert sind, um schneller geladen und abgearbeitet zu werden - aber eben letztlich schlechter editierbar (bzw. modifizierbar) sind.

Zum ROOT unter ANDROID habe ich eine etwas andere Meinung als Gaspedal. Es ist eben auch hier Fluch und Segen vereint.
Zuerst muß man zwischen zwei Varianten unterscheiden.
ROOT in der ADB Shell und ROOT im System.
In der ADB Shell ist es ein mächtiges Tool, was mir sehr viele (verborgene) Einstellungen erlaubt - aber es gefährdet die Sicherheit in sofern, als daß ich zum Beispiel die LockScreen-Sperre umgehen kann und auch Zugriff auf die SD-Karte (etc.) erhalte.
Andererseits kann ich so - oder eben über ein CustomRecovery (mit ROOT-Shell) nahezu jedes Gerät wiederbeleben.

Auch beim ROOT im System sieht es letztlich nicht anders aus.
Wenn ich ein gerootetes System habe, so kann ich (z.B.) nachträglich Rechte anderer APPs ändern (oder eben nur eine Firewall etc. installieren, ADD-Blocker integrieren ...)
Wenn ich aber blind irgendwelchen APPs ROOT-Rechte gebe, dann steht meine Haustür wieder offen...

Es ist eben genau nie schwarz-weiß - sondern alles verschiedene Schattierungen des Grau.