Wie sicher ist LineageOS?

[WH95]

Hallo!

Wie sicher ist LineageOS, wenn es offiziell für ein Gerät unterstützt wird?

Wenn ich es richtig verstehe, dann werden die Pakete von anonymen Privatpersonen entgeldfrei für die jeweiligen Geräte angepasst. (Quasi als Hobby) Dabei wäre es theoretisch denkbar, dass der Entwickler auch Spyware oder sonstige Viren einbauen könnte. Wird das von Lineage irgendwie überprüft? (Wo liegt sonst der Unterschied zu inoffiziellen Paketen?)

Lineage ist ja quelloffen. Theoretisch könnte man es selbst checken. Ich glaube aber, dass die Schnittmenge von Leuten, die es können und denen die es auch wirklich tun, nicht besonderes hoch ist.

Über eine Einordnung durch User, die Ahnung von der Thematik haben, würde ich mich freuen!

Grüße

 

[Lord_Dragon]

Die Frage kannst du auf jedes Custom ROM 1:1 übertragen.

Ich hab in der Vergangenheit schon einige probiert und ich habe zu keinem irgendwie etwas in die Richtung, Lücke, Schädling oä. gehört.

 

[Genius]

Wenn es um deine Daten geht, dann auf jeden Fall sicher! Die Datenkraken von den Herstellern sind da eben nicht miteingebaut.
Ich nutze LineageOS auf einen OnePlus 8 Pro und bin sehr zufrieden. Ich habe dazu noch die AFWall Firewall installiert und Blokada 5 gegen Tracking.

 

[Lord_Dragon]

Ich denke mal dann aber aus dem F-Droid Store, oder?

 

[Emanon]

Ich nutze LineageOS für mein Xiaomi. Das gute daran ist, dass es komplett "ent-googled" ist und ich nur alternative Apps installieren kann. OsmAnd für Navi, FDroid und AuroraStore um doch mal anonym auf den Google Store zuzugreifen.
Damit verzichte ich zwar auf die "Schwarmintelligenz", aber das ist ja gewollt.
Ich kann bestimmen was auf meinem Handy läuft - und meiner Erfahrung nach ist das auch das Ziel der Anbieter. Da in der Regel einiges an Wissen Voraussetzung ist (z.B. bootlock) und wie man alles installiert, ist für mich das positive Feedback für die einzelnen Angebote in der Community auschlaggebend. Es gibt hier doch eine recht große Auswahl an Installierbaren Alternativen.

Ich würde persönlich eher davon ausgehen, das auf meinem Xiaomi ein Chip sitzt der nicht ganz kosher ist .

 

[SirKhan]

Lineage ist ja quelloffen. Theoretisch könnte man es selbst checken.

Ja und nein.
Wenn danach ein fertig gebautes Firmware-Image verwendet wird (was ja fast immer der Fall ist), kannst du ja nicht sicherstellen, dass derjenige der es gebaut hat, nicht schnell noch ein paar Patches (Trojaner, etc.) mit einkompiliert hat. Also selbst wenn der Source gut ist, heißt das nicht, dass das Image auch noch gut ist.

100%ig sicher geht nur, wenn es 1) komplett selbst aus den Quellen gebaut wird und 2) diese Quellen natürlich Zeile für Zeile geprüft und verstanden wurden. Letzteres ist halt so gut wie unmöglich.

Ist halt, wie quasi jede Software die man installiert, eine Vertrauenssache.
Normalerweise sind diese Images sicher, aber man kann es nicht garantieren. Ich würde mir aber keine allzu großen Sorgen machen.

 

[GrumpyCat]

Die offiziellen Images werden auf einem Build-Server gebaut (nicht von Einzelpersonen auf eigenen Rechnern). Dass dieser Server irgendwie Schmu macht, kann vermutlich eher ausgeschlossen werden.

 

[SirKhan]

Zugegeben, bei LineageOS sieht schon alles ziemlich sicher aus.

 

[netzgestaltung]

Ich nutze Lineage ohne Gapps mit F-Droid. Die Sicherheit ist mwn so mittel. Es gibt oder gab auch Custom Roms die sich im Vergleich mit Lineage dafür rühmen wirklich alle Google Abfragen entfernt zu haben (DNS, Telefonbuch Internetsuche, und einige mehr)

 

[DatAres]

Im Vergleich zu ROMs wie CalyxOS oder Graphene ist Lineage nicht ganz so sicher. Beispielsweise gibt es keinen gesperrten Bootloader, der verhindert, dass das System mit Schadcode startet, die Builds haben aktivierte Debug-Funktionen, die theoretisch den Vektor für Attacken erhöhen, es gibt keine Rollback Protection usw.

Wie relevant das jetzt für einen ist, muss jeder selbst entscheiden.

 

[abcddcba]

Es geht dem TE bei der Frage eher nicht nach Sicherheit von außen, sondern dass das ganze anonyme Personen freiwillig machen und im Code theoretisch beliebige Dinge tun könnten, die wohl den wenigsten auffallen würden.

Kurzum, das ganze funktioniert halt auf Vertrauensbasis. Niemand wird den gesamten custom code kuratiert haben

 

[Gray_]

Ich habe hier ein altes "Moto Z Play", das noch mit Android 8 läuft und schon lange keine Sicherheitsupdates mehr bekommt.
Seit kurzem gibt es einen Android 12 LineageOS-Rom für das Gerät mit Sicherheitslevel von Anfang des Jahres.

Jetzt die Frage des Standpunktes:
Was ist jetzt potentiell gefährlicher:
Ein uraltes Hersteller-Patchstand oder ein (minimalst durch pöse Builds) gefährdetes Custom-ROM?

Da das Handy mein Onkel bekommen soll, habe ich LineageOS drauf gemacht.
So hat er einen aktuelles Patchlevel und Android12.


Zum Thema Sicherheit von Open-Source-Software generell (was vermutlich die Frage des TE ist):
Wenn man so denkt, dürfte man ja auch nicht Firefox, VLC und Co nutzen.
da ist es nämlich überall das Gleiche...
Aber lieber eine Software bei denen es auffallen kann, wenn jemand böses im Schilde führe, als closed-Source-Software, bei denen Bugs unt Hintertüren per se unentdeckt bleiben (und dann oft nicht gepatcht werden)

 

[Tzk]

Die Frage kannst du auf jedes Custom ROM 1:1 übertragen.

Nicht nur Custom... Im Prinzip kann man diese Frage für jedes ROM (auch direkt vom Hersteller des Smartphones) und jede App aus dem jeweiligen Store anwenden. Letztendlich sind das alles "anonyme" Personen, die Roms und Apps bereitstellen.

Ist halt immer die Frage inwieweit man das Fass für sich selbst öffnen möchte und wie paranoid man ist

 

[WH95]

Es geht dem TE bei der Frage eher nicht nach Sicherheit von außen, sondern dass das ganze anonyme Personen freiwillig machen und im Code theoretisch beliebige Dinge tun könnten, die wohl den wenigsten auffallen würden.

Kurzum, das ganze funktioniert halt auf Vertrauensbasis. Niemand wird den gesamten custom code kuratiert haben

Genau das war meine Frage. So wirklich beantwortet ist die nicht. Vermutlich wird man diese aber nicht besser beantworten können, als du sie beantwortet hast.

Zum Thema Sicherheit von Open-Source-Software generell (was vermutlich die Frage des TE ist):
Wenn man so denkt, dürfte man ja auch nicht Firefox, VLC und Co nutzen.
da ist es nämlich überall das Gleiche...

Firefox wird aber nicht von einer anonymen Person final angepasst. Da sehe ich schon einen Unterschied.

Nicht nur Custom... Im Prinzip kann man diese Frage für jedes ROM (auch direkt vom Hersteller des Smartphones) und jede App aus dem jeweiligen Store anwenden. Letztendlich sind das alles "anonyme" Personen, die Roms und Apps bereitstellen.

Ist halt immer die Frage inwieweit man das Fass für sich selbst öffnen möchte und wie paranoid man ist

Es wäre für einen "bösen" Entwickler sicher leicht, einen Keylogger in das Rom mit einzubauen. Der Hersteller hat einen Ruf zu verlieren und kann ggf. verklagt werden. Da sehe ich schon eine gewisse "Kontrollinstanz". Beide Punkte sind für eine anonyme Person eher unwichtig, da diese im Zweifel vermutlich nicht greifbar sein wird.

Wenn es um deine Daten geht, dann auf jeden Fall sicher! Die Datenkraken von den Herstellern sind da eben nicht miteingebaut.

Ja, das wird immer gerne angeführt und ist vermutlich auch so. Wenn jedoch jemand an der Rom rumpfuschen würde, dann sind deine Daten sicher nicht mehr sicher.

 

[GuildWars3]

@WH95
Sehr unsicher. Du hast es richtig erkannt, es sind Privatpersonen. Selbst wenn sie selbst den geräteabhängigen Fork (! muss ein Fork sein, sonst musst du jede Line durchgehen weil es ja eine neue git Datei nutzt oder garkeine, wo du nicht nur Änderungen checkst), für den sie im Speziellen noch eine Version geliefert haben, auch extra, und das muss man betonen, extra veröffentlichen, dann hat man dort immernoch die nicht haftenden Lizensen offener Software und niemand prüft dir etwas und niemand gibt dir etwas.

Jede Herstellersoftware, die Telemetriedaten, pseudonymisiert und/oder sogar anonymisiert schickt ist weit sicherer, vor allem aus der Sabotagesicht, weil die Hersteller an Gesetze gebunden sind und keiner das Risiko eingeht, wegen sowas Milliardenstrafen zu zahlen.
Die meisten Idioten, die so mit ihren Customroms schreien programmieren nichts gutes selbst und kennen keine Unternehmenssicht bzgl Gesetze oder Pseudonymisierungsverfahren.

Du hast Anspruch auf Schadensersatz und Anspruch auf Datenschutz meist nur bei kommerziellen Lizensen, also geh kein Risiko ein weil Kellernerds paranoid sind und die kapitalistische Unternehmenssicht sowie das Recht nicht verstehen.

 

[WH95]

@GuildWars3 Nach dem letzten Abschnitt war ich mir nicht mehr sicher, ob du das sarkastisch meinst. Aber im Grunde sind das meine Bedenken: Nicht geprüfte Software aus unbekannter Quelle bei der niemand haftet.

Da müsste man nur ein populäres Gerät supporten, um seine Viren zu verbreiten.

 

[Zeitlupe]

Du wirst auf deine Frage keine Antwort finden, da es Vertrauenssache ist. Afaik werden Änderungen immer in Gerrit von mehreren Personen abgesegnet, aber ich bin mir nicht 100% sicher, ob das alle Änderungen betrifft.

Auf dieser Liste stehen die Kriterien, die ein LineageOS Rom erfüllen muss, bevor es offiziell wird : https://github.com/LineageOS/charter/blob/master/device-support-requirements.md

Musst du abwägen, inwiefern das für dich Vertrauenswürdig ist oder nicht.

 

[cbtestarossa]

Sicherheit <> Privacy

Bei Privacy schneidet nach Neuinstallation ohne Zusatztools angeblich /e/os am besten ab.
Ich finde aber leider die Übersicht mit den Testergebnissen nicht.

Sicherheit ist ein anderes Thema. Qualität auch.
Wenn gewisse Apps sich unbenötigte Rechte per Zustimmung des Users holen können dann hat schon das OS selbst ein Designproblem.

Grundsätzlich sollte es so sein dass die Optionen des OS immer Vorrang haben und eine App trotzdem installiert werden kann.
Ob sie dann noch 100% funktioniert ist ein anderes Kapitel.