Архив метки: Android

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком

Немного про возможности разблокировки смартфонов на примере кейса с пенсильванским стрелком.

🔹 Bloomberg сообщает, что у него была новая модель Samsung, работающая под Android.

🔹 Для разблокировки использовалось ПО компании Cellebrite. Это израильская компания разрабатывает инструменты для сбора, проверки, анализа и управления цифровыми данными. Компания довольно известная. Несколько лет назад наделала много шума их пикировка с разработчиками мессенджера Signal (обе компании обвиняли друг друга в небезопасности продуктов). 🍿😏

🔹 Эксплуатировалась ли 0day уязвимость для получения доступа к устройству? Непонятно. Но есть признаки, что, возможно, и да. Bloomberg пишет, что ПО Cellebrite для разблокировки смартфонов, которое было в распоряжении ФБР, с задачей не справилось. Но эксперты Cellebrite оказали расширенную поддержку и предоставили некоторое новое ПО, которое всё ещё находится в разработке. 🤔

В итоге разблокировка заняла всего 40 минут. 🤷‍♂️

Вчерашнюю статью про "сравнительно более безопасную" Apple iOS обновили

Вчерашнюю статью про "сравнительно более безопасную" Apple iOS обновили. Пассаж про "сравнительно более безопасную" убрали вовсе. Добавили тезисы, чтобы "расставить однозначные акценты":

1. Нет сомнений в необходимости отказа от использования устройств Apple в госсекторе и на объектах критической информационной инфраструктуры и в связи компании Apple с разведсообществом США.
2. Apple и Google нарушают собственные политики сбора данных и конфиденциальности.
3. Выход из ситуации - переход на российские устройства с сертифицированными российскими мобильными ОС.
4. Российские устройства и мобильные ОС (например «Аврора») готовы для решения базовых задач бизнеса и позволяют заменить иностранные устройства и ОС.

Имхо, стало лучше. 👍🙂

Вышла занимательная статья про то, что переход с iPhone на китайские Android-смартфоны это так себе идея с точки зрения безопасности

Вышла занимательная статья про то, что переход с iPhone на китайские Android-смартфоны это так себе идея с точки зрения безопасности

Вышла занимательная статья про то, что переход с iPhone на китайские Android-смартфоны это так себе идея с точки зрения безопасности. Если резюмировать написанное, то там про то, что у Apple всё централизовано, а у китайских производителей смартфонов сплошной разброд и шатание:

1. Уязвимости они закрывают хуже и медленнее.
2. Телеметрии и персональных данных собирают больше.
3. В магазинах приложений там всякие "фонарики" со зловредной функциональностью.
4. APK-шки разрешают ставить скаченные непонятно откуда.
5. Иногда могут предустановленные на заводе бэкдоры содержать.
6. Разнообразных драйверов больше, соответственно уязвимостей в них больше.
7. Для Android сформировался чёрный рынок малварей.

В целом, со всем можно согласиться, но есть 2 передёргивания:

1. Игнорируется тот факт, что Apple обвинили в намеренном внесении бэкдора. После этого называть Apple iOS "сравнительно более безопасной мобильной ОС" это такоё себе. Ну правда, о какой безопасности говорить, если вендор специально бэкдоры вставляет, которые используются в таргетированных атаках.
2. Сравнивать надо сравнимое. Устройства на Apple iOS надо сравнивать с устройствами какого-то конкретного вендора, а не с условным китайским ноунейм вендором Android-смартфонов, навешивая на него проблемы из всех кейсов за последние 15 лет. Если брать топовых вендоров, таких как Xiaomi и Huawei, и их актуальные модели, то там с безопасностью всё совсем не так плохо.

Хотя с тем, что от регуляторов желательно было бы видеть не только рекомендацию отказываться от устройств Apple, но и рекомендацию переходить "на российские мобильные устройства и операционные системы", я полностью согласен. Было бы также здорово, если бы эти устройства появились уже в свободной продаже для физиков.

Один очень популярный западный мессенджер заблокировал возможность делать голосовые вызовы

Один очень популярный западный мессенджер заблокировал возможность делать голосовые вызовы
Один очень популярный западный мессенджер заблокировал возможность делать голосовые вызовы

Один очень популярный западный мессенджер заблокировал возможность делать голосовые вызовы. Пишет, что ему нужно выдать дополнительные права, чтобы совершать телефонные звонки и управлять ими. 🤨 А с чего бы это вдруг? И нафига?

Ну вот вы знаете, вдруг вы будете по телефону говорить, а мы вас голосовым звонком из мессенджера побеспокоим в этот момент, не хорошо же будет, да? Что? Вам пофиг и пусть себе беспокоит? Нет-нет, это не опционально и не обсуждается. Права нужно выдать обязательно, без этого мы больше не разрешаем делать голосовые вызовы. Эти права нужны нам исключительно для того, чтобы мы могли сделать вам удобнее, верьте нам!

Нда, активное развитие ОС Аврора ожидать теперь не стоит

Нда, активное развитие ОС Аврора ожидать теперь не стоит.

Ъ пишет: "Минцифры исключило средства в размере 22 млрд руб., которые планировалось направить на развитие ОС «Аврора» в ближайшие два года, из своей программы цифровой трансформации. Средства предназначались на субсидирование разработки приложений для ОС и адаптации под нее мобильных устройств, но в правительстве решили, что это нецелесообразно." До этого также срезали финансирование разработки и производства устройств.

Печально. Поглядим конечно, что теперь выйдет из РосАндройда. Но вряд ли что-то путное и вряд ли что-то безопасное.

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина. "Все успешные операционные системы, которые существуют сейчас, разрабатывались без участия государств. Они завоевали рынок именно потому, что коммерческие компании были кровно в этом заинтересованы."

Если убрать за скобки действительно спорный контекст с выделением 480 млрд рублей Ростелекому, а рассмотреть написанное по существу, то можно отметить следующее:

1. "Все успешные операционные системы, которые существуют сейчас", если брать десктопы и смартфоны, произведены 3 американскими компаниями: Microsoft, Google, Apple. Как же так получилось, что компании все американские, и занимают большую часть рынка во всех странах мира. За небольшим исключением - мобильные ОС на основе AOSP в Китае и Red Star OS в Северной Корее. Такое положение американских компаний вызвано конкуренцией на свободном рынке? Или все же имеет место разумная политика протекционизма?
2. "Разрабатывались без участия государств". Если государственных денег на первый взгляд не видно это не значит, что их нет. Вливание миллиардов долларов в Microsoft через Department of Defence, например, видно вполне отчётливо (первая попавшаяся ссылка "Microsoft wins $10 billion US Department of Defense JEDI cloud contract"), часть этих средств безусловно идёт на разработку Windows. Будет неправдой сказать, что бизнес американского бигтеха строится на прямых вливаниях из американского бюджета, но и говорить, что американское государство в деятельности этих компаний не участвует и материально не поддерживает тоже нельзя.
3. Факт зависимости РФ от продуктов американских компаний на лицо. Сама собой ситуация не изменится. Альтернативные десктопные и мобильные операционные системы в мире есть, но значительную доли рынка они самостоятельно занять не могут и видимо не смогут. Если брать мобильные ОС, то кого реально интересуют Sailfish, PureOS, postmarketOS и т.п. кроме горстки гиков (я среди них)?
4. Теперь вопрос: а насколько это критично? Если это вопрос государственной безопасности (а мне кажется это так и есть), то нужно принимать чрезвычайные меры, чтобы ситуация конкретно в России изменилась. Чтобы у нас вдруг стало не так как во всем мире. Для этого колоссальные усилия нужно предпринять. В том числе и в законодательной плоскости, и в сфере регуляторики. Сделать разумный протекционизм, как в Штатах, но располагая гораздо меньшими ресурсами. Это не просто кому-то денег дать. И результат совсем не гарантирован. Если же для государства засилье американских операционных систем это в целом норм, то тогда конечно можно оставить все как есть. Но ожидать, что ситуация сама изменится в силу самозародившейся конкуренции на локальном российском рынке, как мне кажется, не стоит.

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры"

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры". Неплохая раскладка про Android. Выделил тезисы:

1. Android не всегда был лидирующей мобильной ОС. В 2007 70% рынка было у Symbian. В 2009 появился Android, в 2013 его доля выросла до 50%, а о Symbian уже никто не вспоминал.
2. На рынке настольных ОС существует массовая Microsoft Windows, нишевая Mac OS и множество вариантов Unix-подобных систем. На мобильном рынке олигополия, т.к. мобильные ОС сильнее интегрированы с аппаратным обеспечением, имеют более высокие требования к оптимизации процессов системы для обеспечения долгого времени работы устройства от аккумулятора.
3. Основной бизнес Google – не разработка программного обеспечения, а реклама и аналитика данных пользователей. Продукты и сервисы это инструмент доступа к пользователям и их данным.
4. Первая бесплатная и открытая мобильная ОС - уникальный маркетинговый ход Google, который сработал.
5. Архитектура ранних версий Android была достаточно простой. Архитектурно драйверы не были изолированы от основных компонентов ОС (до HAL).
6. В первых версиях все приложения Google поставлялись с открытым исходным кодом и входили в состав операционной системы. Спустя пару лет их убрали в лицензируемый набор сервисов, API и приложений Google Mobile Services (GMS).
7. Android не является «честным» ПО с открытым исходным кодом. Google публикует исходный код Android после завершения разработки каждой версии. Драйверы аппаратного обеспечения в виде исходных кодов в полном объёме отсутствуют. Размер исходного кода современного Android (150 млн строк) не предполагает, что кто-то с ним будет по-настоящему разбираться. Ежегодно меняется несколько млн строк. Лицензия SDK Android Studio не является свободной (только для разработки совместимого ПО).
8. «Настоящий» Android на всех рынках, кроме китайского — это не AOSP, а сертифицированные Google телефоны с проприетарным GMS.
9. Производители Android-устройств с сервисами Google (Open Handset Alliance) связаны конфиденциальными юридическими соглашениями. Запрет на производство устройств на базе "несовместимых" форков исходного кода Android. Mobile Application Distribution Agreement обязывает производителей устанавливать единственный поиск по умолчанию и выносить приложения Google на первые экраны.
10. Через эти ограничения остановили, например, проект Яндекс.Кит. «Яндекс» договорился о выпуске телефонов: вышли ограниченным тиражом Huawei Honor 3 Yandex и Explay Flame; затем вмешался Google – Fly и Prestigio были вынуждены свернуть выпуск моделей, а затем и Explay оказался в такой же ситуации.
11. Google никогда не пытались сертифицировать свои системы (в отличие от той же Microsoft). При использовании Android с GMS невозможно полностью исключить блокировку всего устройства или части функционала, дистанционное удаление всех данных или несанкционированный доступ к информации со стороны производителя или третьей стороны, например государственных органов страны, в которой зарегистрирован производитель ОС или устройства. Только в случае правильно выбранного производителя устройства с AOSP заказчик может существенно снизить эти риски. Вероятность наличия недокументированных и бэкдоров функций в формально открытом коде довольно низкая, но полноценный независимый аудит безопасности AOSP не проводился.
12.С 2015 года Google выпускает ежемесячные обновления безопасности. Сейчас обновления выпускаются лишь для версий 10–13. До 2017 года Android обновлялся через полную замену прошивки. В Android 8 Google начал переход к модульным обновлениям «нижних слоёв» ОС, выделив полноценный слой аппаратной абстракции (в рамках Project Treble), разделив обновления фреймворков Android и драйверов «железа». Google ввёл новую формулу для сертифицированных телефонов «два релиза ОС, три года обновлений». Но по факту следуют ей далеко не все производители телефонов с GMS. Обновления же Android в варианте AOSP лежат на совести каждого производителя устройств и разработчика форка.