nemo333 wrote:mp107 wrote:Nieprawda. Po to istnieją aplikacje zarządzające dostępem do praw roota, aby nie miała do tego nieskrępowanego dostępu każda zainstalowana aplikacja, a jedynie te, którym sami wyrazimy na to zgodę.
No, tylko jaką masz pewność że te aplikacje mają w pełni kontrolę nad tym co się dzieje w systemie?
A jaką mamy pewność, że w fabrycznym systemie nie dzieje się nic niepożądanego? Nieraz czytałem o odkryciu w fabrycznym oprogramowaniu funkcji niepożądanych, od "zbyt obfitego" raportowania działań użytkownika, po pełnoprawne malware. To są na szczęście nieczęste sytuacje, ale pozostaje nam wierzyć tylko na słowo. W przypadku nieoficjalnego oprogramowania (custom ROM-ów), o ile mamy niezbędne umiejętności, to mamy większe możliwości sprawdzenia, co się tam w rzeczywistości dzieje. Oczywiście raczej nie zobaczymy wszystkiego (np. baseband pracuje niezależnie od Androida i może wpływać na działanie tego drugiego), ale na pewno możemy więcej.
nemo333 wrote:Android już fabrycznie ma mnóstwo dziur w zabezpieczeniach, już sama łatwość pokonania FRP czy zrobienia roota na większości urządzeń udowadnia jak słabo zabezpieczony to jest system.
Nie jestem fanboyem Androida i nie pisałem tylko w odniesieniu do tego systemu, ale nie zaprzeczę, że Android ma tu trochę do nadrobienia, chociaż nie jestem pewien, czy te obejścia FRP nie wynikają raczej z tego, jak swoją część pracy "odrobili" producenci smartfonów lub samych komponentów sprzętowych (np. układu SoC). A kwestia zrobienia roota bez odblokowania bootloadera to, o ile się nie mylę, kwestia wykorzystania obecności luk w oprogramowaniu od producenta urządzenia (nie wypuścił aktualizacji na konkretne urządzenie) lub od producenta układu SoC (nie wypuścił aktualizacji lub nie została ona dołączona do oprogramowania przez producenta urządzenia).
Niestety, tutaj mamy do czynienia z jedną z (moim zdaniem nielicznych) wad "otwartości" - jak widać mamy wiele czynników (komponentów, firm), które muszą razem współgrać, aby osiągnąć określony cel. Czasami wystarczy, że jeden z nich zawiedzie (brak aktualizacji i wiedza o błędzie) i luka gotowa.
nemo333 wrote:Oczywiście, jest to tylko teoretyzowanie, bo łatwiej zrobić kasę stawiając fałszywy sklep czy rozsyłając SMS "paczka wymaga dezynfekcji, dopłać złotówkę przez fałszywy DotPAY", ale to nie zmienia faktu że jest taki atak możliwy i root znacząco go ułatwia.
Tu się zgodzę.
Z rootem dochodzą kolejne możliwości nieuprawnionego dostępu, szczególnie gdy masz wgrane customowe recovery, które chyba jest już obowiązkowe do zrootowania każdego telefonu. Co wtedy za problem żeby podmienić aplikację na swoją, która ukrywa działania jakich nie powinien widzieć użytkownik?
Wtedy "na drodze" stoi szyfrowanie danych na partycjach. Ale jak ktoś "dobrał się" aż tak fizycznie do urządzenia, to tak czy siak już raczej "pozamiatane".
nemo333 wrote:mp107 wrote:To bardziej kwestia natury prawnej, niż faktycznego wymagania. Faktem jest, że z rootem łatwiej jest narobić szkód w systemie, o ile osoba nie zdaje sobie sprawy ze skutków podejmowanych decyzji lub popełni w tym względzie błąd.
mp107 wrote:I dla wyjaśnienia - nie twierdzę, że każdy, bezwzględnie powinien mieć dostęp do praw roota. Google podjęło taką, a nie inną decyzję właśnie ze względu na bezpieczeństwo, bazując na tym, że większość osób jednak nie interesuje się tak mocno (nazwijmy to ogólnie) techniką i nie ma większej wiedzy na ten temat. Wykorzystując tą niewiedzę złośliwa aplikacja mogłaby nakłonić nieświadomego użytkownika do przydzielenia jej pełni kontroli nad systemem. I z tą decyzją zasadniczo się zgadzam.
Niestety, ludzi głupich jest więcej niż mądrych, a dla dużej części użytkowników root to tylko konieczna procedura do wgrania GCama albo podgłośnienia tej pierdziawki do wydawania dźwięku połączenia. Małą grupę ludzi obchodzi co tak naprawdę kryje się pod pojęciem "dostęp do roota" i mało kto jest świadomy jak odpowiedzialnie zadbać o bezpieczeństwo swoich danych. Daleko mi do psychofana zabezpieczeń z pilnie strzeżonym plikiem kluczy fizycznych do autoryzacji każdego gównologinu, ale jak widzę że kogoś okradli bo zrobił zakupy w fikcyjnym sklepie internetowym bo tam było 50 zł taniej, albo stracił wszystko z konta bankowego bo przestraszył się niedopłaconej złotówki do paczki to jednak mam wrażenie że z ewolucją coś poszło nie tak, i większość nie dorosła do swobodnego decydowania o swoim życiu, skoro nie zaświeca im się lampka w głowie z podpisem "coś może być nie tak, zastanów się czy to na pewno jest bezpieczne i nie lepiej poszukać informacji albo spytać kogoś doświadczonego w tym temacie"
Dlatego wszelkie ograniczanie działania "wrażliwych" aplikacji na zrootowanych urządzeniach uważam za jak najbardziej słuszne.
Dlatego, paradoksalnie, wiele etapów - rootowanie, odblokowanie bootloadera i wiążące się z tym z utrata gwarancji i skomplikowanie procesu wydaje mi się dość skutecznym "straszakiem" dla osób kompletnie niezdecydowanych i niezorientowanych w temacie.
Z drugiej strony, nie lubię, jeśli taką możliwość całkowicie mi się odbiera (jak w Huawei, Honor, BlackBerry i chyba w większości Nokii z Androidem). To przesada w drugą stronę.
Myślę, że sporo osób zrezygnowałoby z tego typu modyfikacji, gdyby producenci smartfonów z Androidem dostarczali aktualizacje przez większość "użytecznego" czasu życia urządzenia, a nie te 2, góra 3 lata. Po tym czasie wiele osób sprzedaje urządzenie innym osobom, a potem, przez kolejne kilka lat, przechodzi ono jeszcze przez kilka rąk, mając na końcu te 6-8 lat i dopiero wtedy staje się w używalne tylko do dzwonienia i SMS-owania (albo i do tego nie). A aktualizacje po drodze się szybko "urywają" i ludzi niejako zmusza się do "kombinowania". Można kupić nowe urządzenie, ale wraz - stare zazwyczaj dalej bywa dalej używane przez kogoś.
Mam nadzieję, że Google w końcu na szeroką skalę wprowadzi aktualizacje systemu niezwiązane z konkretnym urządzeniem. Od tego ostatniego zależałyby tylko te "najniższe" warstwy oprogramowania - jądro, itp. - bo tego uniknąć się nie da. Czemu teraz nawet "głupiej" listy wbudowanych stref czasowych (tzdata) nie da się w większości urządzeń zaktualizować bez konieczności ingerencji w to producenta?
Dopiero z Androidem 10/Q wprowadzono w ogóle taką możliwość.
Co do wspomnianych przez Ciebie sytuacji - nie mamy innej możliwości jak (próbować) edukować. I (a może przede wszystkim) nie bać i nie wstydzić się pytać kogoś bardziej biegłego w danej dziedzinie, jeśli nie jesteśmy pewni. Trochę to banalne, ale chyba nic innego tutaj się nie wymyśli.
I nie nazywałbym ludzi głupimi. Oni po prostu się interesują czym innym, z innej dziedziny mają wiedzę. Tak mi się skojarzyło - ja nie wiem na przykład, jaka ziemia jest lepsza do paprotki - czy bardziej zasadowa, czy bardziej kwaśna, itp. Dobrze, że na opakowaniu było napisane, że to do paprotki.
pawelooss wrote:the_naturat_com wrote:mp107 wrote:Nieprawda. Po to istnieją aplikacje zarządzające dostępem do praw roota, aby nie miała do tego nieskrępowanego dostępu każda zainstalowana aplikacja, a jedynie te, którym sami wyrazimy na to zgodę.
To wszystko prawda. Do czasu, gdy nie ma jakiegoś 0-day'a. Przełamanie każdego poziomu zabezpieczeń zwiększa ryzyko włamania. I nie dotyczy to wyłącznie roztrzepanych gimbusów, którzy klikają we wszystko, co popadnie, ale jednak wszystkich.
W przypadku i 0-dayów, i innych mniej "nagłych" luk w oprogramowaniu tym co jest groźne jest to, że występuje tam nieraz sytuacja umożliwienia nieuprawnionego podniesienia uprawnień niezależnie od tego, jakie uprawnienia ma użytkownik. I może to mieć miejsce niezależnie od tego, czy mamy urządzenie "zrootowane", czy nie. Ofiara nie musi być ani rootem, ani nawet "zwykłym" użytkownikiem systemu - może wystarczyć sama możliwość ustanowienia połączenia sieciowego pomiędzy atakującym a ofiarą , co może skutkować tzw. zdalny, wykonaniem kodu, np.
CVE-2019-0708). Ze względu na "krytyczność" tego błędu Microsoft wypuścił łatkę do niewspieranego już XP-eka.
A przełamanie zabezpieczeń bardziej kojarzy mi się z ich obejściem, podczas, gdy ja postrzegam odblokowanie bootloadera (i rootowanie) jako tylko to, o czym napisałem - przeniesienie kolejnej "porcji" odpowiedzialności za urządzenie na barki użytkownika. Jako ustawienie ogrodzenia nie tylko dookoła podwórka, ale dookoła całego terenu. Fakt, więcej miejsca do upilnowania, ale też większe możliwości.
nemo333 wrote:I nie mów mi że można wgrywać jakieś obejścia, fixy, ukrywać Magisk, przepakowywać go na inne nazwy pakietów, bo to są sposoby dla gimbusów, żeby uruchomić apkę do McDonalda, i z takimi rzeczami to bawiłem się z 10 lat temu. Żaden poważny, myślący człowiek nie będzie używał niezabezpieczonego systemu, z dogranymi modułami od nieznanych ludzi do wykonywania chociażby przelewów.
No, chyba że na konto wpływa
Ci miesięcznie tylko zasiłek z MOPS, główną zawartością galerii są zdjęcia bombelka i nie otwierasz nic poważniejszego jak fanpage ze śmiesznymi kotami na FB. To wtedy można mieć wywalone na jakiekolwiek bezpieczeństwo. Ja niestety trzymam trochę za dużo pieniędzy na kontach, i zbyt duży limit na karcie żeby ktoś sobie poza mną z tego korzystał
Obawiam się, że ten pogrubiony wyraz w połączeniu z nastawieniem na formę "Ty" w reszcie tekstu, sprawiły, że niestety mogło to zabrzmieć jak argumenty personalne, nawet jeśli nie miałeś tego na myśli. Stąd też i moje wcześniejsze "wtrącenie".
nemo333 wrote:the_naturat_com wrote:Ja jednak nie pozwolę, by ktokolwiek odnosił się do mnie tak jak ten troglodyta, dlatego też proszę o usunięcie mojego konta.
Ja jednak bym może prosił żebyś nie używał takich słów, skoro Ciebie tak bardzo boli rzekome obrażanie, to dlaczego robisz to samo w moim kierunku?
Szkoda, że w skutek nieporozumienia tak się to skończyło.