LINUX.ORG.RU

LineageOS 19

 


3

3

26 апреля вышла девятнадцатая версия LineageOS — операционной системы на базе Android для энтузиастов. Система свободна за исключением некоторых компонентов, необходимых для работы оборудования, и является преемницей CyanogenMod. Новая версия основывается на кодовой базе Android 12.

Основные изменения:

  • обновления безопасности с марта 2021 по апрель 2022;
  • переработана панель регулировки громкости (доставшаяся от Android 12);
  • сборки Android TV теперь содержат загрузчик без рекламы;
  • утилиты извлечения блобов теперь могут работать с большей частью заводских и упакованных OTA-образов;
  • в SDK добавлена поддержка high-touch polling rate;
  • теперь для компиляции ядер по умолчанию используется AOSP Clang;
  • темный режим включен по умолчанию;
  • новый мастер установки с новыми анимациями, иконками, и множеством страниц конфигурации из Andorid 12;
  • встроенный межсетевой экран и ограниченный сетевой режим переписаны для учета новых требований AOSP с BPF;
  • исправления ошибок в прикладном ПО.

>>> Подробности

★★★★★

Проверено: hobbit ()

Ответ на: комментарий от Croco

Если какой-то кусок софта на устройстве дыряв, то причина наличия этой дыры уж точно не в отсутствии обновлений

Ругательства в адрес авторов софта никак не помогут исправить уязвимость, в отличие от обновлений безопасности.

она в том, что у создателя этого софта (плюс к тому у создателей системы) руки из задницы.

🤦 Вот когда @Croco напишет ОС общего назначения с миллионами строчек кода и миллиардами пользователей, в которой не было бы ни единой уязвимости, тогда пусть и делает такие утверждения.

Проверка подписи тут не решает вообще ничего. У кого-то есть ключ от этой подписи, и этот кто-то доверия не заслуживает точно так же, как и любой другой васян (не говоря уже о том, что ключ и стырить можно).

Впрочем, оговорку про «иначе как с физических носителей по явному указанию пользователя» ты предпочёл не заметить или действительно не заметил?

Проверка подписи решает вполне конкретные задачи: 1) доверие к установленной на данный момент версии ⇒ доверие к новой версии 2) канал получения новой версии не имеет значения. А если и к теущей версии прошивки и её автору доверия нет, то отказываться от обновлений бессмысленно. Слив ключей — это риск, да. Но далеко не факт, что больший, чем риск пострадать от неисправленной уязвимости.

То, что обновления ставятся «не автоматически», обычно означает только возможность нажать на кнопочку вроде «не сейчас», кнопку «отстань от меня навсегда со своими дурацкими обновлениями»

Нет. Тем более если речь идёт о LineageOS.

Дыру от васяна, во-первых, надо ещё найти, во-вторых, надо ещё отэксплойтить (нет, совсем не любой васян способен воспользоваться даже готовым эксплойтом)

CVE в публичном доступе находятся, так что ими могут воспользоваться гораздо больше злоумышленников, чем «бэкдорами»

ручную установку обновлений из скачанных архивов

Это ничем принципиально не отличается от того, как обновления устанавливаются в свободных системах. Делание руками того, что сейчас делается полуавтоматически, вообще ни от каких потенциальных уязвимостей уберечь не способно (ибо действия математически эквивалентны).

что крайне важно

Нет, при использовании подписей канал получения данных не имеет значения, для этого их и придумали.

sudopacman ★★★★★ ()
Ответ на: комментарий от sudopacman

Вот когда @Croco напишет ОС общего назначения с миллионами строчек кода и миллиардами пользователей, в которой не было бы ни единой уязвимости, тогда пусть и делает такие утверждения.

С миллиардами пользователей? Сейчас такая вроде только винда, но она под остальное не подходит. Ладно, фигня война. Не так чтобы я что-то такое написал или иным способом сделал, конечно, но есть такая штука Openwall GNU/*/Linux (см. https://www.openwall.com/Owl/). Точнее, сейчас уже, наверное, правильно говорить «была». Не так чтобы там не было уязвимостей, но большая часть уязвимостей стороннего софта под этой штуковиной тупо не эксплойтилась. У меня личные сервера до сих пор под ней живут, на серверах куча софта в статусе EOL (т.е. end of life), толпа всяких программ чуть ли не 20-летней давности, но сломать меня вроде ещё никто не сподобился.

Самое интересное, что я к этой сове чуток таки лапы приложить успел – там мой инсталлятор :-) Но это как раз неважно. Важно, что нормальная система может работать полтора десятка лет без обновлений (каковых там, естественно, отродясь не было, только если руками пакеты заменять) и не превратиться в решето.

  1. доверие к установленной на данный момент версии ⇒ доверие к новой версии 2) канал получения новой версии не имеет значения. А если и к теущей версии прошивки и её автору доверия нет, то отказываться от обновлений бессмысленно.

Какой-то бессмысленный набор слов. Ну или, во всяком случае, ты кое-чего не учитываешь. А именно: когда обновление или вообще любой софт выкладывается (публикуется) без понимания, кто (вот лично, персонально, такой-то и такой-то) его скачает и будет использовать, внедрять в него закладки – это риск высокий (особенно при открытых исходниках), а толку никакого; но если на том конце, откуда берётся обновление (или, опять же, любой другой софт) точно знают, кто (опять же, лично-персонально) его качает, то подсунуть ему личную персональную бяку может оказаться вполне осмысленно, если это внезапно окажется именно тот, кто кому-то, мало ли кому и по какой причине, «нужен». Риска обнаружения на много порядков меньше (её ведь не неопределённый круг юзеров получит, а только один юзер, который вряд ли полезет в потроха), а профит от таргетированной атаки может быть намного выше, чем от пальбы по площадям.

Это ничем принципиально не отличается от того, как обновления устанавливаются в свободных системах.

Вот именно что отличается – отсутствием непосредственной двухсторонней связи между целевой машиной и источником обновлений. А наличие этой связи – прямой путь к деанонимизации целевой машины со всеми вытекающими, и, увы, свободность системы никоим образом не страховка от этого. Хотя, конечно, в свободных системах риски намного ниже, тут я полностью согласен.

при использовании подписей канал

Подписи тут вообще ни при чём. Пока на сервере, откуда я тот же линукс качаю, не знают, что это я, я им и без подписи доверяю. А когда узнают – мой уровень доверия тут же слетит до нуля, и никакие подписи его обратно не поднимут.

Croco ★★ ()
Ответ на: комментарий от Aceler

Официально нет. Если только для совсем старых аппаратов.

Создаем e-mail на имя получателя: mobile@huawei.com

В письме указываем следующие данные:
Serial Number( Настройки>О телефоне>Общая информация - предпоследний пункт (16 букв и цифр)): XXXXXXXXXXXX
IMEI («Телефон» > *#06#): XXXXXXXXXXXX
Product ID: XXXXXXXXXXXX ( чтобы узнать, наберите в номеронабиратели *#*#1357946#*#*)
Model (ваша модель): HUAWEI XXXXXXXXXXXX

В ответ приходит код разблокировки. Все официально.

Xintrea ★★★★★ ()
Ответ на: комментарий от Croco

толпа всяких программ чуть ли не 20-летней давности, но сломать меня вроде ещё никто не сподобился

Смахивает на неуловимого Джо. Поэтому и было сказано про миллиарды пользователей. С появлением широкого интереса ко взлому в системе сразу начинают находиться уязвимости.

точно знают, кто (опять же, лично-персонально) его качает, то подсунуть ему личную персональную бяку может оказаться вполне осмысленно, если это внезапно окажется именно тот, кто кому-то, мало ли кому и по какой причине, «нужен».

Вот именно что отличается – отсутствием непосредственной двухсторонней связи между целевой машиной и источником обновлений. А наличие этой связи – прямой путь к деанонимизации целевой машины со всеми вытекающими

Во-первых, непонятно, как сервер должен идентифицировать конкретное устройство и уж тем более личность пользователя. С точки зрения сервера есть только запросы на скачивание архивов с разных IP-адресов. При этом устройство может менять адреса, а одним адресом могут пользоваться несколько устройств.

Во-вторых, было сказано, что сама возможность ставить обновления является гигантской уязвимостью, а не пользование ей. Но ведь боящиеся персонализированной атаки могут ей не пользоваться.

sudopacman ★★★★★ ()
Ответ на: комментарий от sudopacman

Если ты знаешь, как воспрепятствовать сливу биллинга и персональных данных сотрудником опсоса, то поделись, будь ласка. Как показывает практика, от такого даже ФСБшники не защищены.

cocucka ★★★★★ ()
Ответ на: комментарий от cocucka

Ну, например, можно не покупать симки на своё имя. Но вообще-то мною здесь продвигаются принципы минимизации в противовес хатосжигательской пропаганде. Можно как минимум сделать так, чтобы персональные данные нельзя было связать с информацией о твоём любимом виде сосисок.

sudopacman ★★★★★ ()
Ответ на: комментарий от sudopacman

Ну, например, можно не покупать симки на своё имя.

В большинстве стран мира опсосы клиентов не идентифицируют, сим-карты продаются уже активированными. Как показывает практика, это ни от чего толком не защищало даже в досмартфонную эпоху, человека можно идентифицировать просто по его набору социальных связей, в данном случае – по тому, кому звонит он и кто звонит ему. Ну а с учётом анальных зондов, сливающих со смартфона записнушки и вообще что ни попадя, по-моему вся эта паспортная идентификация абонентов GSM попросту бессмысленна, всё и так понятно. Самое поганое, что меры, принятые лично мной, ни от чего меня не спасут, пока я всех своих контактов не убедю выбросить смартфоны (то есть никогда).

Croco ★★ ()
Ответ на: комментарий от cocucka

Как показывает практика, от такого даже ФСБшники не защищены.

Конкретно эти просто оказались профнепригодны (там одного пропалили на том, что он, будучи на задании, на минутку включил личный смартфон, хотя это было запрещено инструкцией – видимо, хотел в записнушку заглянуть или что-то вроде того; и всё у них так).

Croco ★★ ()
Ответ на: комментарий от sudopacman

Даже если ты оформишь симку на бомжа, это тебя от деанона по номеру не спасёт. Купишь билет на своё имя, указав этот номер как контактный, закажешь доставку, ну или тупо твой кореш сольёт свою адресную книгу в гетконтакт.

Единственный способ избежать этого – купить левый паспорт и регать всё на него.

cocucka ★★★★★ ()
Ответ на: комментарий от Croco

Там всё ФСБ профнепригодно. Паспорта выдают с номерами подряд, служебные машины зарегистрированы по адресу в/ч, бухгалтерия требует квитанции за поездки на такси на заданиях и т.д.

cocucka ★★★★★ ()
Ответ на: комментарий от sudopacman

Смахивает на неуловимого Джо.

Ага, конечно. То-то мне пришходится то и дело ssh на другой порт перевешивать, иначе в логах сплошное тырканье на подбор пароля, иногда одновременно с нескольких десятков ipшников. Ей-богу, вот это вот «тебя не сломали, потому что ты никому не нужен» ещё в середине девяностых превратилось в гнилую тыкву. Сейчас взломщикам нужны поголовно все, лишь бы проломилось.

непонятно, как сервер должен идентифицировать

При работе по http(s) – по кукам и прочим заголовкам http-запроса, при работе по ftp – по паролю для анонимуса.

Несомненно, когда исходники всего открыты, можно туда залезть и посмотреть, что ничего подобного местный пакетный менеджер не делает. Когда система закрытая – идентификацию можно рассматривать как свершившийся факт.

боящиеся персонализированной атаки могут

С одной стороны, как было сказано выше, «боящиеся» – это категорически неверный эпитет. Лично я персональной атаки не «боюсь», я принимаю во внимание её возможность и возможные последствия.

С другой стороны, если есть «боящиеся», но при этом возможность установки обновлений всё же существует – то, значит, есть и те, кто ею пользуются, то есть такие отмороженные чуваки, которые реально не боятся персональной атаки (и, скорее всего, вообще каких бы то ни было атак). Ты понимаешь, что эти люди опасны для окружающих? Или это надо объяснять?

(ну да, таких людей абсолютное большинство. тем хуже)

Croco ★★ ()
Ответ на: комментарий от cocucka

Там всё ФСБ профнепригодно.

Ну, я очень на это надеюсь :-)

Croco ★★ ()
Ответ на: комментарий от cocucka

нет, я просто смотрю, ты так осведомлен о их внутренней работе, и охотно делишься этой инфой на ЛОР. Так что если бы ты был сотрудник, это вторило бы твоему тезису о «там все профнепригодные».

seiken ★★★★★ ()
Ответ на: комментарий от seiken

Ну я-то делюсь общедоступной инфой, которая и появилась в общем доступе благодаря их профнепригодности.

cocucka ★★★★★ ()
Ответ на: комментарий от cocucka

Ну я-то делюсь общедоступной инфой, которая и появилась в общем доступе благодаря их профнепригодности.

ах, т.е. «профнепригодные» они, потому что инфа якобы о них появилась в сети, а появилась она в сети, потому что они «профнепригодные». Аргументация 999 левела.

seiken ★★★★★ ()
Ответ на: комментарий от Croco

То-то мне пришходится то и дело ssh на другой порт перевешивать, иначе в логах сплошное тырканье на подбор пароля

Вот именно что ломятся по общим каналам, а не в конкретную ОС, учитывая её особенности.

Несомненно, когда исходники всего открыты, можно туда залезть и посмотреть, что ничего подобного местный пакетный менеджер не делает

Про открытые и речь.

Лично я персональной атаки не «боюсь», я принимаю во внимание её возможность и возможные последствия.

А я принимаю во внимание её если не нулевую, то невероятно близкую к нулю в силу целого ряда факторов вероятность. И для большинства эта вероятность будет ещё ниже. Так что ненадо тут людей отмороженными обзывать почём зря.

sudopacman ★★★★★ ()

Вопрос пользователям, а там запись входящих звонков не ограничена? Можно записывать, без всяких сигналов в линию?
Я так понял у многих вендоров запись доступна только в некоторых регионах, типа если ставишь Израиль то в том же Samsung должна была бы появиться запись разговоров, только там замена региона требует сброса телефона. Как с этим у lineage?

Aber ★★★★☆ ()
Последнее исправление: Aber (всего исправлений: 1)
Ответ на: комментарий от pavel_l

Да гитхаб никто и не трогал. Там и от древних мамонтов много чего лежит. Сами готовые сборки образов и рекавери потерли. Теперь только собирать)

SprainBrains ()
Ответ на: комментарий от Parthen

У меня android 12 на samsung пришел, вроде там поддержку записи разговоров в сторонних тулзах выпилили (я так понял на уровне api и доступа к соответствующим устройствам).

Сейчас гнялул «Phone Recorder» в f-droid, в описании прграммы написано:

Most phones does not support call recroding. Blame Google or your phone manufacturer not me!

Aber ★★★★☆ ()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)