Архив метки: Android

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина

Добавить комментарий

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина. "Все успешные операционные системы, которые существуют сейчас, разрабатывались без участия государств. Они завоевали рынок именно потому, что коммерческие компании были кровно в этом заинтересованы."

Если убрать за скобки действительно спорный контекст с выделением 480 млрд рублей Ростелекому, а рассмотреть написанное по существу, то можно отметить следующее:

1. "Все успешные операционные системы, которые существуют сейчас", если брать десктопы и смартфоны, произведены 3 американскими компаниями: Microsoft, Google, Apple. Как же так получилось, что компании все американские, и занимают большую часть рынка во всех странах мира. За небольшим исключением - мобильные ОС на основе AOSP в Китае и Red Star OS в Северной Корее. Такое положение американских компаний вызвано конкуренцией на свободном рынке? Или все же имеет место разумная политика протекционизма?
2. "Разрабатывались без участия государств". Если государственных денег на первый взгляд не видно это не значит, что их нет. Вливание миллиардов долларов в Microsoft через Department of Defence, например, видно вполне отчётливо (первая попавшаяся ссылка "Microsoft wins $10 billion US Department of Defense JEDI cloud contract"), часть этих средств безусловно идёт на разработку Windows. Будет неправдой сказать, что бизнес американского бигтеха строится на прямых вливаниях из американского бюджета, но и говорить, что американское государство в деятельности этих компаний не участвует и материально не поддерживает тоже нельзя.
3. Факт зависимости РФ от продуктов американских компаний на лицо. Сама собой ситуация не изменится. Альтернативные десктопные и мобильные операционные системы в мире есть, но значительную доли рынка они самостоятельно занять не могут и видимо не смогут. Если брать мобильные ОС, то кого реально интересуют Sailfish, PureOS, postmarketOS и т.п. кроме горстки гиков (я среди них)?
4. Теперь вопрос: а насколько это критично? Если это вопрос государственной безопасности (а мне кажется это так и есть), то нужно принимать чрезвычайные меры, чтобы ситуация конкретно в России изменилась. Чтобы у нас вдруг стало не так как во всем мире. Для этого колоссальные усилия нужно предпринять. В том числе и в законодательной плоскости, и в сфере регуляторики. Сделать разумный протекционизм, как в Штатах, но располагая гораздо меньшими ресурсами. Это не просто кому-то денег дать. И результат совсем не гарантирован. Если же для государства засилье американских операционных систем это в целом норм, то тогда конечно можно оставить все как есть. Но ожидать, что ситуация сама изменится в силу самозародившейся конкуренции на локальном российском рынке, как мне кажется, не стоит.

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры"

2 комментария

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры". Неплохая раскладка про Android. Выделил тезисы:

1. Android не всегда был лидирующей мобильной ОС. В 2007 70% рынка было у Symbian. В 2009 появился Android, в 2013 его доля выросла до 50%, а о Symbian уже никто не вспоминал.
2. На рынке настольных ОС существует массовая Microsoft Windows, нишевая Mac OS и множество вариантов Unix-подобных систем. На мобильном рынке олигополия, т.к. мобильные ОС сильнее интегрированы с аппаратным обеспечением, имеют более высокие требования к оптимизации процессов системы для обеспечения долгого времени работы устройства от аккумулятора.
3. Основной бизнес Google – не разработка программного обеспечения, а реклама и аналитика данных пользователей. Продукты и сервисы это инструмент доступа к пользователям и их данным.
4. Первая бесплатная и открытая мобильная ОС - уникальный маркетинговый ход Google, который сработал.
5. Архитектура ранних версий Android была достаточно простой. Архитектурно драйверы не были изолированы от основных компонентов ОС (до HAL).
6. В первых версиях все приложения Google поставлялись с открытым исходным кодом и входили в состав операционной системы. Спустя пару лет их убрали в лицензируемый набор сервисов, API и приложений Google Mobile Services (GMS).
7. Android не является «честным» ПО с открытым исходным кодом. Google публикует исходный код Android после завершения разработки каждой версии. Драйверы аппаратного обеспечения в виде исходных кодов в полном объёме отсутствуют. Размер исходного кода современного Android (150 млн строк) не предполагает, что кто-то с ним будет по-настоящему разбираться. Ежегодно меняется несколько млн строк. Лицензия SDK Android Studio не является свободной (только для разработки совместимого ПО).
8. «Настоящий» Android на всех рынках, кроме китайского — это не AOSP, а сертифицированные Google телефоны с проприетарным GMS.
9. Производители Android-устройств с сервисами Google (Open Handset Alliance) связаны конфиденциальными юридическими соглашениями. Запрет на производство устройств на базе "несовместимых" форков исходного кода Android. Mobile Application Distribution Agreement обязывает производителей устанавливать единственный поиск по умолчанию и выносить приложения Google на первые экраны.
10. Через эти ограничения остановили, например, проект Яндекс.Кит. «Яндекс» договорился о выпуске телефонов: вышли ограниченным тиражом Huawei Honor 3 Yandex и Explay Flame; затем вмешался Google – Fly и Prestigio были вынуждены свернуть выпуск моделей, а затем и Explay оказался в такой же ситуации.
11. Google никогда не пытались сертифицировать свои системы (в отличие от той же Microsoft). При использовании Android с GMS невозможно полностью исключить блокировку всего устройства или части функционала, дистанционное удаление всех данных или несанкционированный доступ к информации со стороны производителя или третьей стороны, например государственных органов страны, в которой зарегистрирован производитель ОС или устройства. Только в случае правильно выбранного производителя устройства с AOSP заказчик может существенно снизить эти риски. Вероятность наличия недокументированных и бэкдоров функций в формально открытом коде довольно низкая, но полноценный независимый аудит безопасности AOSP не проводился.
12.С 2015 года Google выпускает ежемесячные обновления безопасности. Сейчас обновления выпускаются лишь для версий 10–13. До 2017 года Android обновлялся через полную замену прошивки. В Android 8 Google начал переход к модульным обновлениям «нижних слоёв» ОС, выделив полноценный слой аппаратной абстракции (в рамках Project Treble), разделив обновления фреймворков Android и драйверов «железа». Google ввёл новую формулу для сертифицированных телефонов «два релиза ОС, три года обновлений». Но по факту следуют ей далеко не все производители телефонов с GMS. Обновления же Android в варианте AOSP лежат на совести каждого производителя устройств и разработчика форка.

Прочитал статью в Ъ, что некий консорциум из российского бигтеха будет развивать "мобильную операционную систему для широкого потребителя"

3 комментария

Прочитал статью в Ъ, что некий консорциум из российского бигтеха будет развивать "мобильную операционную систему для широкого потребителя". Т.е. фактически возьмут гугловый AOSP, запилят свой аналог Google Mobile Services и такое поделье в духе хуавеевской Harmony станет нашей новой отечественной мобильной ОС. И эта ОС видимо будет дальше продвигаться для установки на отечественные же устройства.

А что же в таком случае будет с Авророй? "Будет использоваться в корпоративном и государственном секторе для работы с чувствительными данными". Т.е. останется нишевым решением поддерживаемым за счёт регуляторных требований и без особых перспектив роста. 🙁

Если и правда так будет, то это жесть. Хитрым способом получили контроль над единственным в мире полноценным мобильным Linux-ом, чудом нарастили экспертизу, чтобы оно как-то работало и развивалось. И вместо того чтобы продвигать сейчас своё родное по максимуму, опять будут брать готовый американский код, который не контролируют вообще никак. И все для того, чтобы бигтеху свои уникальные Java-приложеньки не переписывать. Офигеть теперь. Ну не хотите переписывать, ну развивайте эмулятор в Авроре. Sailfish OS позволяет запускать Android приложения, в Авроре тоже не должно быть принципиальных проблем с этим. Но нет. Лучше по пути наименьшего сопротивления.

В общем, новость так себе. 😐

Занимательно порефлексировать над очередным набросом Дурова на WhatsApp

Добавить комментарий

Занимательно порефлексировать над очередным набросом Дурова на WhatsApp. Он там делает далеко идущие выводы, что очередная исправленная RCE уязвимость в WhatsApp это на самом деле умышленно добавленный бэкдор. 🙂 И что эта уязвимость давала доступ ко всем файлам на телефоне пользователей. И поэтому ради безопасности своих данных не пользуйтесь WhatsApp-ом.

Нет, ну что такая атака с использованием WhatsApp в принципе возможна, мы ещё по кейсу с Pegasus от NSO Group помним. Но не настолько же все тривиально! То, что используется в десятках таргетированных атак вряд ли будет долго и массово использоваться против простых обывателей.

С тем же успехом можно сказать, что, например, уязвимость в виндовом клиенте Telegram это тоже был бэкдор. 🙂

С другой стороны, является ли смартфон с удаленным ватсапом или даже телеграммом безопасным устройством? Нет конечно! Он как был убогой пальцетыкалкой с нелепым обрубком вместо операционной системы так и остался. Обрубком, который был вкорячен на конкретную железку матюками и грязными хаками, так что поставить туда что-то альтернативное в общем случае не получится, только попользоваться пару лет и выкинуть. На каждый чих по приложению требующему максимум прав. Дичь ведь. И всё это намертво завязано на американский бигтех и им же полность контролируется. Использовать смартфон с Android или iOS для чего-то чем вы не готовы сейчас же поделиться со всем миром это очень плохая идея. Если вы так делаете, прекращайте.

Вообще скверно у нас обстоят дела с awareness, если вчерашнее интервью Натальи Касперской выстреливает чуть ли не как федеральная новость

2 комментария

Вообще скверно у нас обстоят дела с awareness, если вчерашнее интервью Натальи Касперской выстреливает чуть ли не как федеральная новость. "Смартфоны в России могут быть заблокированы". Да неужели. Конечно могут! Странно предполагать, что если вы сами можете зайти на сайт Google или Apple, авторизоваться и заблочить свой потерянный/украденный смартфон/планшет, то вендор не сможет сделать то же самое по своему усмотрению и в любое время. Более того, если устройство стучится до каких-либо сервисов вендора (а оно стучится), это вполне может быть каналом скрытого управления и в т.ч. для блокировки. И с устройствами под Windows/MacOS та же история. Может только с Linux чуть получше, хотя относительно самых популярных и распространенных дистрибов я бы не стал утверждать с уверенностью. Даже до тех хостов, которые не в сети теоретически можно добраться через обновления и добавить зловредную функциональность с отложенной активацией а-ля олдскульный вирус «Чернобыль» (Virus.Win9x.CIH). Пади проверь, чего они там проносят в сотнях патчей каждый месяц. А уж сколько может быть закладок, через который можно будет проломить периметр организаций. Дух захватывает!

Короче, на случай серьезного кибер-конфликта, дело будет дрянь. Как минимум от краткосрочного эффекта мы все точно офигеем. То, что сейчас мы этого пока ещё не наблюдаем можно объяснить лишь тем, что эскалация не дошла до нужного уровня. Но то, что зарубежные недружественные вендоры, когда будет нужно, прогнутся и бахнут - вообще без вопросов. Поэтому обсуждение отечественных ОС, в том числе мобильных, или ОС дружественных стран конечно может восприниматься с некоторым скепсисом, но вообще это дело стратегически правильное и нужное, и респект тем, кто в разработке этих штук задействован.

Ну и само интервью кстати вполне годное. Хорошо сказано про сложность поиска закладок, про ограничения сертификации, про 30 лет всеобщего внедрения иностранного ПО, в т.ч. в образовании. А про смартфоны там буквально несколько слов в самом конце, с 14:46. 🙂