News Apps aus unbekannten Quellen: Google nennt neue Anforderungen für Android-Sideloading

[prayhe]

@jonderson Die Garantie hast du auch nicht mehr wenn du dein Stock ROM komplett degooglest. Stichwort Play Integrity.

 

[jonderson]

@prayhe von degooglen war nie die Rede.

 

[prayhe]

@jonderson Doch, genau darum ging es hier:

Und gerade beim Neueinrichten eines Geräts lade ich sehr viele Apps und alle ohne Google Play Store, den ich wie anderen Googlekrams regelmäßig deaktivere oder, sofern möglich, deinstalliere.

 

[Randnotiz]

von degooglen war nie die Rede.

Ist doch so erstmal Standard bei allen custom ROMs.

Maximal kommen die bekannten wenn mit microg und man muss sich selbst um den Google Kram kümmern.

 

[Der Nachbar]

Als Android ein Before war und auf einem HTC HD2 laufen musste, weil sogar die Google Smartphones Müll waren. Man sieht, wo Marktmacht hin führt und Google verkauft sich noch, als hätten die ohne XDA Developers und Co einen mit vollen Funktionsumfang laufenden Androiden gebaut. Android war nie frei, denn das war schon immer ein Google Projekt, wo Entwickler und Kundschaft mit Süßigkeiten gelockt wurden, die man nun weg nimmt.

Wer auf den Vorwand der Sicherheit bei Android reinfällt, dem ist nicht zu helfen. Android war nie sicher und wäre es vom Konzept her sicher gewesen, hätte der Google Zuckershop keine 1 Million Apps als Meilenstein gefeiert. Für jede Radiostation auf der Welt eine Client App, die nur zum Server verbindet?

Die Zeiten waren noch frei mit *.CAB. Da gab es sogar noch GoogleMaps.CAB.😁

 

[Kuristina]

Für die restlichen paar Apps verschmerze ich persönlich gerne den kurzen Zeitraum, wenn dadurch vielen anderen geholfen wird.

Weiß ich nicht. Das sind ja vorwiegend erwachsene Menschen, die auch gerne selber die Verantwortung für ihr eigenes Handeln tragen dürfen. Es wird immer Leute geben, die irgendwie unvorsichtig sind oder unbeholfen, wenn man das dann immer zum Anlass nimmt, für alle anderen auch Dinge einzuschränken, dann bleibt irgendwann nur noch ein ganz schmaler Korridor übrig. Oder gar keiner mehr. Ich zumindest möchte installieren können, was ich will, ohne erst Steine in den Weg gelegt zu bekommen. Mein Smartphone, meine Entscheidung.

 

[Krik]

2FA Apps fürs Banking. Kann man dann die Apps über GAPPS installieren oder welche Aternativen gibt es sonst?

Da viele Leute Online-Banking auf dem Handy machen und gleichzeitig das Handy als zweiten Faktor verwenden (was das ganze Sicherheitsprinzip auf den Müll wirft), empfehle ich immer einen Offline-TAN-Generator als 2. FA.
Das Vorgehen bewirkt auch, dass man über seine Überweisung nochmal nachdenkt, bevor man sie tatsächlich autorisiert.

Sollte bestimmt Drittanbieter-Apps heißen oder?

Nö, da es im Text darüber auch ein zunächst und zweitens gibt.

 

[Der Puritaner]

Sideloading war schon immer gefährlich. Deswegen wurden von Google schon 1,5 Millionen Apps aus dem Store gefeuert, es sind aber immer noch 1,8 Millionen verfügbar.

Wenn die Apps im Store waren, dann war es auch kein Sideloading, sondern eine stinknormale App!

 

[prayhe]

Android war nie sicher

Schwachsinn. Vom Grundprinzip her ist Android ziemlich sicher, vor allem im Vergleich zu den meisten Desktopbetriebssystemen. Stichwort Sandboxing bei Apps, Zugriff auf gewisse Hardware nur durch APIs etc.

Ich zumindest möchte installieren können, was ich will, ohne erst Steine in den Weg gelegt zu bekommen. Mein Smartphone, meine Entscheidung.

Verstehe ich auch den Standpunkt. Mich persönlich stört es schlicht nicht genug weshalb ich den Kompromiss gerne eingehe, aber das empfindet natürlich jeder anders.

 

[updater14]

Sideloading ist halt ein Sicherheitsrisiko. Sieht Google inzwischen halt auch so.

Warum?
Sideloading ist im Standard deaktiviert und mir wäre nicht bekannt, dass man ohne Zugriff auf das Gerät zu haben Sideloading aktivieren kann.
Entsprechend muss der/ein Benutzer dies aktivieren.

Natürlich lässt das Raum für eine persönliche Betrugsmasche, von wegen "ich muss da mal eben eine App installieren", aber vielleicht hätte man die Freigabe des Entwicklermodus einfach mit einer zusätzlichen Autorisierung erweitern müssen, statt nun künstlich mit Wartezeiten etc. zu agieren.

Ist doch jeder für sein Gerät verantwortlich und wer sowas nicht will, der sollte sich ein iPhone zulegen.

 

[karamba]

Ich glaube, ich werde mir früher oder später ein zweites Smartphone zulegen. Sodass ich dann ein verdongeltes mit Google/Apple Diensten für Online Banking und so habe, das ich dann nur bei Bedarf anstelle und auch nicht ständig dabei haben muss. Und eines ohne Google Dienste, das mein Hauptgerät sein wird.

 

[Der Nachbar]

@prayhe
Bei mir lief im QNX Hypervisor Android selbst in der Sandbox und Google frei. Hat Google nicht gefallen und dem Hersteller das Android Forking verboten, wer als Hersteller Android nutzen will. Vor der endgültigen EU Fork Entscheidung. Android war nie sicher, weil bevor ich ein Android in Benutzung hatte, landete ich als Kontakt auf den Google Servern durch andere Android Nutzer im Bekanntenkreis. Google kann das Personennetzwerk und die Daten auswerten. Google Android mit Google Android Apps ist von Haus aus eine gewollte Datenkrake, denn dadurch verdient Google sein Geld. Es ist weltweit akzeptierte und vorinstallierte Malware. Selbst die eigentliche Nachrichten App ist eine Google Chat App, wo ich erst auf SMS umstellen musste und bei der neuen App habe ich tiefer nach SMS suchen müssen. Eine SMS geht nämlich nicht über die Google Server, sondern ist ein Mobilfunkdienst. Ich nutze ein Smart-Phone, also will ich nicht die grundlegenden Mobilfunkfunktionen nach der Erstinstallation freischalten, weil mir womöglich reine Datendienste untergejubelt werden.

Die Google Searchbar ist mit modernen Assistenten ersetzt worden. Bei mir alles deaktiviert. Ist noch die systemweite Google Tastatur das Problem.

 

[prayhe]

@Der Nachbar Du sprichst hier von Google Apps und Google Diensten, welche aber kein fester Bestandteil von Android sind. Das AOSP ist wie der Name schon verrät komplett quelloffen und frei von sowas. Daraus entstehen dann durchaus großartige Custom ROM Projekte, die eben keine Datenkrake sind und keinerlei proprietäre Google Komponenten enthalten.

 

[scryed]

Sideloading war schon immer gefährlich. Deswegen wurden von Google schon 1,5 Millionen Apps aus dem Store gefeuert, es sind aber immer noch 1,8 Millionen verfügbar

Verstehe ich nicht .... Müll Apps im Google Play Store haben nichts mit sideloading zu tun , deine Gedanken ist an der Sache vorbei ....

Ich besorge mir gerne Apps aus alternativen Quellen oder direkt die apk von der Entwickler Seite

Ergänzung (Heute um 13:57)

Sideloading war schon immer gefährlich

PS ja dann hoffentlich installierst du nichts am Rechner da ist alles sideloading

Weiss nicht warum das am Handy so verteufelt wird ... Es ist kein Muss sondern ein kann .... Keiner muss aus anderen Quellen was laden aber wenn ich will dann kann ich das ist kundenfreundlich

 

[aLanaMiau]

Da viele Leute Online-Banking auf dem Handy machen und gleichzeitig das Handy als zweiten Faktor verwenden (was das ganze Sicherheitsprinzip auf den Müll wirft)

Das ist halt einfach falsch, das Sicherheitskonzept bleibt erhalten und ist technisch sogar sicherer als z.B. SMS+Desktop.

 

[Krik]

@aLanaMiau
Und das kannst du auch begründen? Wie soll ein Faktor (ein Handy) sicherer sein als zwei physisch voneinander unabhängige Faktoren (z. B. Handy + TAN-Generator)?

 

[jonderson]

Das ist halt einfach falsch, das Sicherheitskonzept bleibt erhalten und ist technisch sogar sicherer als z.B. SMS+Desktop.

¯\(ツ)/¯ Sehen Sicherheitsforscher anders, aber du kannst das sicher gut begründen.
(Nein Sandboxing alleine reicht nicht)

 

[frank00000]

@Moep89 Die Anzahl an Leuten, die ihr neues Gerät sofort innerhalb von 24h in Betrieb nehmen müssen und dann noch zusätzlich auf eine rein durch Sideloading verfügbare App angewiesen sind, ist wohl verschwindend gering.

Und das ist das eigentliche Problem.

Ein neues Phone sollte niemals ohne ordentliche Firewall und ordentlichen Spionage Schutz im Netz sein.

Bei vielen Android Phones ist es nämlich nicht möglich für jede App den Netzzugang zu kappen.

Viele vor allem auch Systemapps benötigen nämlich eigentlich keinen Netzzugang um ordnungsgemäß zu funktionieren.

Bei den meisten Apps ist der Netzzugang nur gut um Daten abzugreifen und da sollte es eigentlich Standard sein das man nach dem ersten anschalten nur den Apps Netzzugang zu gewähren die diesen nicht für Daten Spionage benötigen.

Auf keinen Fall sollte man eine App aus dem Playstore installieren ohne Firewall.

Hier mal ein Beispiel ist übrigens eine App die bezahlt wurde um Werbung und Tracker zu entfernen.

Da muss man trotz bezahlen unzähligen Spionage Mist sperren und nur zwei wichtige Verbindungen erlauben und man sehe und staune die App funktioniert perfekt denn der Rest wird benötigt.

Und das ist bei so Gut wie jeder App aus dem Playstore so ob Free oder gekauft.

Also um sein neues Phone sicher zu nutzen müsste man erst 1 Tag warten.

 

[DavidXanatos]

Also Developer Mode und Reboot ist akzeptabel.
Aber der Timer ist eine Frechheit, das gehört von de EU verboten!

 

[aLanaMiau]

@aLanaMiau
Und das kannst du auch begründen? Wie soll ein Faktor (ein Handy) sicherer sein als zwei physisch voneinander unabhängige Faktoren (z. B. Handy + TAN-Generator)?

Weil der 2. Faktor das Wissen ist, ob du es auf deinem Smartphone oder PC eintippst macht keinen Unterschied: User/Passwort/Pin/Bankdaten.
Selbst wenn du Zugriff auf das Gerät hast, hast du keinen Zugriff auf das benötige Wissen. Banking-Apps müssen verschlüsselt und passwortgeschützt sein, "mal eben" eine Smartphone Sandbox überwinden wird auch der beste Trojaner nicht schaffen. (Googles Bugbounty wäre leichteres Geld.)

SMS gilt schon lange als unsicher, weil man mit deinen Bankdaten einfach eine 2. Sim auf deinen Namen bestellen kann und die Codes dann doppelt verschickt werden - der 2. Faktor entfällt. So wie es schon mehrfach durchgeführt wurde.

¯\(ツ)/¯ Sehen Sicherheitsforscher anders, aber du kannst das sicher gut begründen.
(Nein Sandboxing alleine reicht nicht)

Kannst scheinbar nicht lesen ¯\(ツ)/¯ aber hier - deine Quelle:

Einen Artikel von 2018 zu verlinken ist schon ganz schön frech.