Implicazioni sulla sicurezza del rooting di Android

Opinione non professionale qui (non un addetto alla sicurezza, più uno sviluppatore di software), ma direi nelle mani giuste: più sicuro, considerando quanti produttori di telefoni emettono non critici aggiornamenti al sistema operativo Android e quanti telefoni sono in giro con enormi exploit in essi.

Anche il codice sorgente è disponibile, tu, per quanto ne so, puoi compilarlo da solo (scarica da Google, prendi i driver per il tuo telefono da uno dei vari progetti che forniscono questi driver, rivedi / compili insieme) se veramente paranoico.

Inoltre, la gente che mette gli hack nel tuo software open source è molto più difficile, dato che hai più occhi sul codice, e chiunque può parlare e riferirsi al codice che ha biforcuto (da qui i ragazzi originali non posso smetterla), e sarebbe praticamente la fine della carriera professionale di quei ragazzi.

Modifica:

HBoot non è open source, tuttavia hanno bootloader open source alternativi insieme ai progetti che analizzano hboot:

link

Comprendo questa interessante domanda per avere 3 parti principali

1. Lo stato di avere il root fornisce al tuo dispositivo un valore positivo per la sicurezza?
2. È il modo per ottenere questo root priveledges qualcosa che mette a repentaglio la sicurezza (ad esempio perché il modo di fare il rooting implica codice non attendibile)
3. I rischi di (2.) possono essere prevenuti o mitigati?

Riguardo a (1.) la mia convinzione è che per avere in ultima analisi la responsabilità per il tuo dispositivo, richiede il controllo assoluto, che per quanto riguarda il kernel OS sottostante (linux) significa privilegi di root. In nessun modo l'accesso di root implica l'uso improprio, anche se spesso viene definito "il dispositivo è radicato", ma non implica che ora ogni cosa (ogni app) abbia root e anche meno debba avere root privilegi. Considerando la sfida e il problema di sicurezza degli aggiornamenti spesso ritardati / lenti del sistema operativo Android, è ragionevole usare root per regolare manualmente il sistema aggiungendo updates in precedenza. Anche l'uso di root power consentirebbe di ridurre il tcb (codice attendibile di base) quando vengono rimossi bloatware e spyware.

Il punto successivo e uno molto valido nella domanda riguarda gli aspetti di sicurezza del modo per ottenere un accesso del root del tuo dispositivo desiderabile. I produttori sono per lo più sconsiderati nel limitare ciò che gli utenti possono fare con le loro proprietà, e percepiscono il prodotto come ancora loro che li fa usare i bootloader bloccati e impediscono loro l'accesso ai dispositivi del ramo. La prima cosa da considerare (in termini di sicurezza) è che in nessun modo è desiderabile utilizzare un prodotto che non ti autorizza a vedere il più possibile. L'argomento secondo cui l'utente deve essere protetto dalla propria stupidità non può superare l'aspetto che essenzialmente non ha root che consente fin dall'inizio l'imbroglio dai lati del costruttore. "L'acquisto di dispositivi che non possono essere radicati implica principalmente l'acquisto di un dispositivo che non può essere controllato proberamente".

La linea di fondo al punto 2 è che con un po 'di buon senso si può preferire acquistare dispositivi che consentano root senza la necessità di software non affidabile per raggiungere tale obiettivo.

Per quanto riguarda il terzo e ultimo aspetto derivato della domanda, vorrei suggerire il apktool software che potrebbe aiutare a supporta il modo in cui era già stato definito nella domanda, ovvero per esaminare l'apk utilizzato per ottenere l'accesso come root.

Acquistando una root di potenza che garantisce l'aspetto della sicurezza è molto aiutato. Imposta un ancoraggio di fiducia / segnale per me se il produttore consente la visualizzazione più trasparente del tcb e consente di utilizzare il codice del software libero dell'utente / regolato dall'utente. Se per errore è stato acquistato un dispositivo i cui produttori sminuiscono gli utenti ad accettare una prigione, è preferibile uno strumento di jailbreak che sia open source. Alla fine root priveledges può essere utilizzato per il bene e il male, ovvero non garantisce una maggiore sicurezza. Ma senza root l'accesso al dispositivo d'altra parte è garantito che nessuna modifica della sicurezza è possibile in primo luogo.

L'unica cosa che mi rende prudente in questa situazione è che la rivoluzione è una fonte chiusa. Tanto più che può accedere al tuo spazio di archiviazione flash NAND senza restrizioni e alla luce di questo che sa davvero cosa sta facendo.

Ora puoi anche guardarlo attraverso un obiettivo diverso. ClockWork è una versione meno popolare di Android. Con una versione meno popolare, è meno probabile che cada vittima di un attacco mirato. Al contrario, potrebbe esserci uno 0-day con CWM che nessuno [beneveolent] ha trovato e segnalato.

Alla fine, penso che dipenda dall'uso dell'educazione. Ci preoccupiamo di mantenere i nostri telefoni cellulari senza virus; ma il passo più realistico che puoi fare è monitorare ed essere vigile con le autorizzazioni dell'applicazione scaricate dal Play Store.