News Apps aus unbekannten Quellen: Google nennt neue Anforderungen für Android-Sideloading

[Kesandal]

Sideloading ist halt ein Sicherheitsrisiko. Sieht Google inzwischen halt auch so. Daher müssen Apps eben mindestens mal signiert sein, egal aus welcher Quelle sie installiert werden. Finde ich vollkommen richtig.
Für Entwickler oder ich sag mal technisch-versierte Personen gibt es ja nach wie vor Möglichkeiten genau diesen zusätzlichen Schutzmechanismus zu umgehen. Ist doch alles fein.

D.h. fürs Testing kann ich das Ding mit meinem Code Signing Cert (von eigener CA) signieren, die CA auf das Android Gerät importieren und dann ist alles wie gehabt ohne das man "verifizierter" Entwickler sein muss?

 

[prayhe]

Und gerade beim Neueinrichten eines Geräts lade ich sehr viele Apps und alle ohne Google Play Store, den ich wie anderen Googlekrams regelmäßig deaktivere oder, sofern möglich, deinstalliere.

Wäre für dich dann ein Googlefreies Custom ROM nicht eher was? Da bist du dann auch gar nicht erst von dieser Sperre betroffen (bzw. gehe ich mal von schwer aus Projekte wie Graphene werden einem da keine Steine in den Weg legen)

 

[Wilson_Fisk]

Das nutzen Leute noch, obwohl mal seit Android 9 oder so einfach nativ einen DNS-Anbieter mit Werbeblocker einstellen kann? (DNS over TLS)

genau, dnsforge.de als privates DNS einstellen und schon hat man keine Werbeunterbrechungen mehr in Apps.

 

[DonDonat]

Sideloading ist halt ein Sicherheitsrisiko.

Du meinst wohl Laden von Apps ist immer ein Sicherheitsrisiko, sowohl weil du nie Weißt wer die App wie baut (Notepad++ lässt grüßen!) aber auch weil die verwendeten Libs mit hoher Sicherheit immer offene Vulnerabilities haben.

"Walled Garden"/ Goldener Käfig ist hier kein Schutz sondern nur eine reine Illusion punkt. Und es brauch hier auch keine tiefe Recherche um rauszufinden, dass es sowohl im Playstore als auch im IOS Store massenhaft Apps gibt, die aus der Kategorie Spam/Scam/Crawler etc. kommen...

Sieht Google inzwischen halt auch so.

Nein. Google sieht es inzwischen wie Apple dass sie Angst haben das 0,X% Profit der Apps die nicht durch den Play-Store kommen zu verlieren, da das Wachstum dort langsam gen Ende geht.

Sicherheit ist weder Google noch Apple irgendwie relevant. Es geht nur darum die Kontrolle zu behalten/erzwingen weil Profit > Nutzer > Sicherheit > Freiheit > Eigentum. Wer hier wirklich anderes behauptet, der ist hat aus den Eskapaden die Apple rund um die Öffnung des IOS Store veranstaltet nichts gelernt.


Oder wie hier geschrieben:

Dieser Begriff "Sideloading" ist doch sowieso so bescheuertes Framing der Walled-Garden-Betreiber.

Fakt.


Linux wäre der gleichen Argumentation von von dir @kachiri ja die unsicherste Plattform überhaupt, weil quasi ALLES "Sideloading" ist... Aber ups. Die Realität ist eine andere, in der quasi alle Server auf Linux Derivaten laufen, alle Sicherheitsforscher Linux verwenden und in der man sich wahrscheinlich weniger häufig Viren etc. einfängt weil Linux selbst einfach relativ sicher gebaut ist.

Fast so, als ob massiv viel wichtiger als "Sideloading" ein sicheres OS ist und Bildung der Nutzer die Kern-Rolle spielt... Hmm...

 

[jonderson]

Wäre für dich dann ein Googlefreies Custom ROM nicht eher was? Da bist du dann auch gar nicht erst von dieser Sperre betroffen (bzw. gehe ich mal von schwer aus Projekte wie Graphene werden einem da keine Steine in den Weg legen)

Wäre das nicht klasse, wenn jeder seinen Windows PC neu installieren müsste, damit er andere Apps als aus dem Windows Store installieren kann?

 

[Zoba]

Also ich nenne Sideloading einfach nur Software installieren. Diese verseuchten Begriffe von Apple und Google sollten wir uns gar nicht erst angewöhnen. Das ist mein Gerät und damit mache ich was ich will. Nicht was irgendwer in Palo Alto oder Cuppertino entscheidet.

In den letzten Jahren war Google eigentlich immer gut, wenn es darum ging einem da Freiheiten zu lassen. Auf den letzten 2 Geräten brauchte ich nicht einmal root um mich wohl zu fühlen. Mal sehen, wohin die Reise geht. Ich kann Google's Interesse am Schutz vor Scammern schon verstehen. Das damit gepatchte Youtube-Apps zufällig auch schwerer werden ist sicher nur ein Kollateralschaden. Aber mit der Lösung könnte ich noch Leben, auch wenn es doof als Entwickler ist. Gerade hier war Android sehr viel angenehmer als iOS.

 

[prayhe]

@jonderson es ging hier um die Ersteinrichtung eines neuen Geräts.

 

[Magellan]

Schwieriges Thema, als Poweruser will man natürlich die maximale Freiheit haben, umgekehrt verstehe ich aber auch dass Google die DAUs etwas einbremsen möchte - wenn bei mir Geräte gelandet sind weil laufend ungefragt Werbung aufpopt oder sie sonstirgendwie offensichtlich infiziert waren dann war fast immer nachvollziehbar dass einer der Nutzer halt explizit die Installation aus unbekannten Quellen erlaubt und sich die Malware selbst installiert hatte... Die ganzen Warnungen und Berechtigungsabfragen jucken halt sehr viele Nutzer nicht, die wollen sich irgendein Spiel installieren und nicken einfach alles ab ohne den Kopf einzuschalten.

 

[jonderson]

@jonderson es ging hier um die Ersteinrichtung eines neuen Geräts.

Ja darum geht es mir auch.

BTW: Geht es hier nicht nur um "neue" Geräte...
Das Update wird garantiert auch "gebrauchte" Geräte betreffen.

 

[aLanaMiau]

Android ist der Standard für die Leute, die einfach ein günstiges Smartphone für den Alltag brauchen. Die kennen sich nicht aus und wissen nicht, was das für Optionen sind aber wenn der nette Techniker am Telefon sagt, dass ich da drauf klicken muss, wird das schon stimmen.

Ah - ja, genau. Die unerfahrenen User, die ihre Cryptowallets einfach in Textdateien auf dem Smartphone speichern, keine Ahnung haben was sie überhaupt installieren und dann auf den "Ich bin von der Polizei"-Scam reinfallen. /s

Die Leute von denen du redest haben nicht mal Onlinebanking - was möchte man da mit Scam-Apps ergaunern? Urlaubsfotos und Facebook Memes? Das eingeschränkte Sideloading hilft kein Stück dagegen wenn Oma durch Scammer zur Bank gelockt wird.

die ihr neues Gerät sofort innerhalb von 24h in Betrieb nehmen müssen

Wenn ich mir ein neues Smartphone kaufe und es nicht innerhalb von 24 Stunden uneingeschränkt nutzen kann, geht es innerhalb von 24 Stunden zurück zum Hersteller. Irgendwo hörts dann auch einfach auf und spätestens ab diesem Punkt ist es für mich das falsche Produkt. So wie z.B. Chrome mit Manifest V3.

genau, dnsforge.de als privates DNS einstellen und schon hat man keine Werbeunterbrechungen mehr in Apps.

Keine Angst, Google arbeitet da bestimmt auch schon an einer Lösung um DNS-Hijacking zuverlässig zu erkennen: "Google Defender AI" mit täglichen Updates wäre doch ein tolles Produkt?

 

[mischaef]

Zumindest installiere ich auch auf einem Windows Gerät nicht blind Software und wenn hier SmartScreen anspringt, schaue ich dann schon noch einmal genauer nach.

Und das machen Android-Nutzer nicht? Schön, dass ich hier immer wieder neues über mich erfahre...

 

[Randnotiz]

Android ist der Standard für die Leute, die einfach ein günstiges Smartphone für den Alltag brauchen. Die kennen sich nicht aus und wissen nicht, was das für Optionen sind aber wenn der nette Techniker am Telefon sagt, dass ich da drauf klicken muss, wird das schon stimmen.

In meinem Umfeld kenne ich keine Person, welche ich gleichermaßen zu den Durchschnittsnutzern zählen kann, die sich dann ebenso bei F-Droid umsehen und APKs blind aus dem Netz ziehen.

 

[prayhe]

@jonderson Dann macht dein Vergleich halt 0 Sinn. In seinem Fall ging es darum sein neues Gerät googlefrei zu halten. Da macht es offensichtlich mehr Sinn direkt auf ein entsprechendes ROM zu setzen mit dem netten Bonus, dass die Wartezeit beim Sideloaden wegfällt.

 

[mischaef]

Nein, du musst das nur ein einziges mal machen und nicht bei jeder App-Installation separat.

Das stimmt so nicht, es kommt auch auf den Hersteller an. Beim Android direkt von Google muss man es deaktivieren, wobei man es danach wieder einschalten sollte. Bei anderen Herstellern wird man teilweise auch gefragt, ob das Aktivieren generell oder nur für die jetzige Installation gelten soll.

 

[jonderson]

@jonderson Dann macht dein Vergleich halt 0 Sinn. In seinem Fall ging es darum sein neues Gerät googlefrei zu halten. Da macht es offensichtlich mehr Sinn direkt auf ein entsprechendes ROM zu setzen mit dem netten Bonus, dass die Wartezeit beim Sideloaden wegfällt.

Hast du dich schon mal damit beschäftigt wie viel Arbeit ein CustomRom macht?

 

[Zemblanity]

Wäre für dich dann ein Googlefreies Custom ROM nicht eher was? Da bist du dann auch gar nicht erst von dieser Sperre betroffen (bzw. gehe ich mal von schwer aus Projekte wie Graphene werden einem da keine Steine in den Weg legen)

Im Prinzip ja, in praxi nein, weil ich keine Lust habe, bestimmte Geräte zu kaufen, mit denen dann ein Custom ROM funktioniert. Ein Versuch, ein GSI auf ein Gerät mit Android 13 zu installieren, für das es kein Custon ROM zu geben scheint, hatte jedenfalls nicht funktioniert, das hatte ich mehrfach mit verschiedenen Ansätzen probiert, immerhin konnte ich problemlos die Herstellerfirmware zurückflashen.
Aber das wäre eh ein anderes Thema.

 

[prayhe]

Beim Android direkt von Google muss man es deaktivieren, wobei man es danach wieder einschalten sollte

Warum sollte man das tun? Mit der Einstellung ist man im Endeffekt doch nur wieder auf dem jetzigen Stand.

Hast du dich schon mal damit beschäftigt wie viel Arbeit ein CustomRom macht?

Klar, ich habe schon zu Zeiten von Android 2 mit Custom ROMs gespielt und habe hier ein Pixel mit GrapheneOS. Das Vorgehen dafür ist heute so leicht wie nie.

 

[Bierliebhaber]

Dieser Begriff "Sideloading" ist doch sowieso so bescheuertes Framing der Walled-Garden-Betreiber. Es geht einfach nur um die ganz banale Tätigkeit, Software auf einem Gerät zu installieren!

Jap, und deshalb werden "Smart"phones, auf denen ich nicht mal so simple Dinge machen kann wie Software frei installieren, nie richtige Smartphones sein. Früher waren Smartphones Geräte mit Betriebssystemen, die man völlig frei erweitern konnte, sobald es irgendwo die Software gab konnte man sie installieren. Mit dem iPhone ging es dann den Bach runter...

Natürlich ist Android aktuell noch nicht so schlimm wie iOS, aber auch nicht so frei wie es Symbian oder Windows Mobile bis 6.5 waren. Wenn Android auch immer öfter den Appleweg geht wird halt mal eine Alternative ausprobiert.

Wenn ich kein Adguard mehr auf mein Handy bekomme, dann kann ich auch ein iPhone kaufen.

Du hast bei einigen Androiden immerhin die Wahl des OS. Ironischerweise gibt's da für Googles Smartphones immer noch das beste Angebot... wer weg von Google will ist bei Googles Hardware am besten aufgehoben.

 

[Randnotiz]

Klar, ich habe schon zu Zeiten von Android 2 mit Custom ROMs gespielt und habe hier ein Pixel mit GrapheneOS.

Es gibt tatsächlich halt auch Geräte, wie eben die Pixels mit Graphene oder /e/, welches es auch offiziell fürs Fairphone gibt, da gibt es auch Webinstaller.
Selbes für Ubuntu Phone.

Ist halt leider nur die Minderheit und bis Motorola ihr Gerät in Partnerschaft mit Graphene bringt, dauert es noch.

Es gab vor einer Woche dazu einen ganz interessanten C't Uplink:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[jonderson]

Klar, ich habe schon zu Zeiten von Android 2 mit Custom ROMs gespielt und habe hier ein Pixel mit GrapheneOS. Das Vorgehen dafür ist heute so leicht wie nie.

Ja, ALLE Apps funktionieren ohne Probleme und ohne Nacharbeiten?
Du hast nicht ein ständiges Katz und Maus Spiel und riskierst nicht keinen Zugriff mehr auf dein Bankkonto zu haben weil es eine neue Anforderung von der Bank gibt, die du erst mal faken musst?