Kritische Sicherheitslücke gefährdet Galaxy S3 und Note 2

das tue ich, ich möchte nur von div. forumstrollen hier wissen, warum das nun nicht mit dem zusammen passt, was sie dauernd zu jedem artikel wo es um smartphones gibt posten.

vielleicht sollten die applefans die androidtrolle und die androidfans die appletrolle einfach ignorieren, denn es gibt eh unmengen von beiden.

Dann erklär mal, was ein Samsung-Kernel mit Android zu tun hat?

oh, da bin ich ja offensichtlich eh schon an einen dieser trolle geraten! wenn nicht: sie wissen mit sicherheit wie ich das gemeint habe. denn hier sieht man, dass es absolut keinen unterschied macht ob es ein closed source os wie ios oder ein (angeblich) open source os wie android ist - in der realität laufen 99% (wenn's reicht) aller "android"-smartphones wie ein closed source system. und der endkunde hat genau gar nix davon dass android selbst open source ist. das ist der punkt.

naja, getrollt hat er nicht wirklich, aber er hat einen punkt getroffen: der linux kernel ist unter der GPL lizensiert, dadurch muss samsung den eigenen, modifizierten kernel ebenfalls unter der GPL veroeffentlichen und das hat das finden der luecke ermoeglicht/vereinfacht. so gesehen hat der endkunde schon etwas davon, auch wenn man ewig darueber diskutieren koennte ob es nun gut ist, wenn jeder der lust hat sicherheitsluecken im quellcode suchen kann.

Dann gibt es so gesehen überhaupt keine Open Source.
Denn irgendwo gibt es immer einen Punkt wo man auf Closed Source trifft.

meiner meinung nach ist das verkaufte endprodukt "android-smartphone" nicht mehr und nicht weniger open source wie ein rechner mit mac os x. da ist auch der unterbau open source (darwin), sogar etliche treiber (siehe opensource.apple.com), aber niemand käme auf die idee zu behaupten, der endnutzer von mac os x hat ein open source system mit allen seinen vorteilen. und ich sags hier, damit es nicht falsch verstanden wird: android und die android-smartphones sind klasse, und ich hab absolut nichts dagegen, ganz im gegenteil.

wobei da schon ein unterschied zwischen osx und darwin ist, also es kann keiner hergehen und sich selbst ein osx mit graphischer oberfaleche und allem drum und dran zusammenkompilieren, nur weil ihm fad ist und auch die kompatibilitaet von programmen zwischen darwin und osx ist nicht immer und in jede richtung gegeben.

und das geht halt bei android schon, weil eben opensource. ob die mehrheit der leute einen nutzen draus hat ist fraglich und natuerlich ist es "open source" alleine kein argument fuer android (man stelle sich vor, microsoft wuerde windows me ploetzlich unter die gpl stellen...) aber es ist halt eine nette draufgabe und 1.5 bis 3 millionen nutzer von beispielsweise cyanogenmod sind zwar nur ein winziger teil aller androiduser, aber jetzt auch nicht so wenige (http://stats.cyanogenmod.com/)

ich spreche android ja nicht seine "open-source-ität" ab. wie oft hört man "das iphone ist gacki weil mein samsung ist open-source" (vereinfacht, bevor ich jetzt wieder gesteinig werde weil ich ja angeblich nicht weiß was "open-source" bedeutet)? das ist einfach kein argument, solche bugs können jedem hersteller passieren (siehe pdf-safari-lücke bei ios, mit dem man gleich den jailbreak einspielen konnte). aber wenn mir wer verkaufen will, dass ein galaxy so sicher ist weil android open source ist dann ist das einfach totaler mist - wie man ja am beispiel hier fein sieht.

ps: wer da rot strichelt hat auch ordentlich einen an der waffeln. endlich mal vernünftig diskutieren und dann
gibt einer rot...

das rot kommt immer so in wellen daher hab ich den eindruck, vermutlich dauert das aus-/einloggen in den zweitaccount ein bisschen...

natuerlich passieren solche bugs jedem hersteller, wobei der um's den hier geht wirklich eine ziemliche dummheit war, und open oder closed source aendert da nichts dran. worueber man diskutieren kann ist die frage ob es besser ist wenn sicherheitsluecken von jedem gefunden werden koennen (oss) oder nur vom hersteller/bzw. mit mehr aufwand (closed source). ich halte oss in dem fall fuer besser, und finde der endkunde hat auch einen nutzen davon, weil fehler zumindest bekannt gemacht werden, aber das ist nur meine meinung.

sonst: trolle sind halt trolle, da vernunft reinbringen zu wollen bringt nicht viel :)

Jetzt sind ma aber schon wieder bei einem anderen Thema was mit der derzeitigen Problematik nichts zu tun hat.

Dass "open source" nichts mit Sicherheit zu tun hat, sollte klar sein.

neinnein! ueber die frage ob und wenn ja was open source mit sicherheit (nicht unbedingt bei der entwicklung selbst, aber beim finden moeglicher fehlerquellen) zu tun hat, laesst sich hervorragend streiten :)

Nur das dieses Beispiel mMn nichts damit zu tun hat wie weit Android jetzt Open Source ist oder nicht.

Denn es wird ja wohl keiner Behaupten das Linux plötzlich nicht mehr Open Source ist, nur weil z.B. Nvidia mit seinen Grafikkartentreibern irgendeine Sicherheitslücke produziert und die dann nur von Nvidia per Update geschlossen werden kann.

.. wie kann sich der konsument, bis es einen bugfix gibt, schützen?

ist es nun noch sicher, mit der kreditkarte im playstore einzukaufen oder seine emails zu checken? oder gar seinen passwortmanager aufzurufen?

was kann man tun um sicher zu gehen, dass hier nix passiert?

gerät verschlüsseln? derweil keine neuen apps installieren?

"die frage ist nun... wie kann sich der konsument, bis es einen bugfix gibt, schützen?"

Indem er endlich lesen lernt???
Beispielsweise den eigentlich eh kurzen und sehr simplen Artikel, unter dem er postet?

"Mit dem Programm "Voodoo Anti ExynosMemAbuse" lässt sich nicht nur checken, ob das eigene Gerät betroffen ist, wer will kann die Lücke - zumindest teilweise - abdichten, Modifikationen am System sind dabei ebenso wenig notwendig wie Root-Rechte."

besitze ich ein 104€ Wert Smartphone von Samsung und incl mitn nem propertären Prozessor von Broadcom (bcm21553, bei xda-dev gibts schon unterstützung seitens Broadcom)

Da kann nicht vieles passieren (außer dass z.B. Galaxy y oder Galaxy ACE i-Modell kein gscheites AOSP habn)

Aber die Rechtschreibhilfe auf deinem Samsung baut offenbar nur Müll...

das es die unschuldsvermutung samsung verbrochen hat, ist es kein problem, denn samsung ist gut und darf fehler machen und die leute die 400-600euro (bei 32gb geraeten mehr) fuer ihre samsung geraete aussgegeben haben haben kein anrecht auf ein perfekt funktionierendes bug- und sicherheitsfehlerfreies geraet u. "freiheit" ohne rooten zu muessen, das gilt nur fuer "dumme fanboys"

und bei samsung wird man auch nicht nach gutem verschwoerungstheorieprinzip annehmen, dass man diese luecke irgendwie aus unlauteren gruenden zuliess, wie z.b. ihre benutzer auszuspionieren, wie man es bei apple bei irgenwelchen sicherheitsluecken immer annimmt

von nur ueblichen 1/10 aufgeregten kommentare im vergleich zu einem applebugs

beruhig dich wieder. niemand verteidigt samsung für diesen pfusch.

ob man bei lächerlichen 600 eur für etwas so komplexes schon anrecht auf ein "perfektes" system hat, sei dahingestellt. geschafft hat es jedenfalls noch niemand.
nicht google, nicht samsung und erst recht nicht apple.

sind fuer einen androidenfan 600euro laecherlich? man kann kaum ueber apple lesen, ohne dass die artikel mit "apple shice und zu teuer und android/samsung supi da billiger und nicht shice" zugemuellt wird

fuer mich, wie bestimmt fuer viele andere sind 400+ fuer ein smartphone viel geld und dafuer erwarte ich mir, dass die herrsteller dafuer sorge tragen, dass mein geraet(e system) nicht offen fuer alle steht und keine grobe luecken hat

mir ist es wurscht ob apple auch sicherheitsluecken hatte, wenn ich ein android habe - und ich habe volles recht darauf herumzuraunzen, wenn ich sehe, dass samsung einfach auf seine kunden s...sst, denn dieses desaster ist nicht das erste mal, wo samsung grob fahrlaessig ist bei seinen HOCHpreisgeraeten!

kennst preise für zumindest zu 99% fehlerfreie software? offenbar nicht.

was man den ganzen buden vorwerfen kann, ist das sie nicht offen und ehrlich auf die packungen schreiben: läuft großteils, mehr aber auch schon nicht.

denn wirklich sichere und fehlerfreie systeme kosten mehr geld als sich dauerraunzer so vorstellen können. geld das niemand bereit ist zu bezahlen.

Ist ja auch hier eine feine Möglichkeit, das Handy zu rooten.

wenn man sich mal die erklärung genauer ansieht verliert man jeglichen respekt vor den softwareleuten bei samsung. grob fahrlässig.
da wurde anscheinend von denen selbst eine sicherheitsfunktion umgangen um sich die arbeit zu vereinfachen.

ich hoffe das wird schnellstmöglich repariert, sonst werde ich meinen odroid u2 wieder abbestellen.

bei aller zustimmung zum thema fahrlaessigkeit, aber was hat der odroid u2 mit samsung zu tun, ausser dass er halt eine exynos-cpu von samsung drinnen hat?

weil der fehler im treiber liegt und ich annehme das auch der u2 diesen treiber verwendet. habe noch keine antwort von hardkernel erhalten, aber bei denen ist wohl auch grad nacht.

eigentlich liegt der fehler nicht direkt im treiber, sondern im kernel von samsungs android-build, den koennen die odroidleute ja patchen, sofern sie ueberhaupt diese treiber brauchen und samsungs android-variante dafuer verwenden.

die antwort wuerd' mich aber auch interessieren.

habe auf g+ bei hardkernel udroid nachgefragt, wenn eine antwort kommt wird sie wohl dort öffentlich zu finden sein.

vielleicht mag's der rotstrichler erklaeren?

Also das ist ja nun wirklich keine Neuigkeit. Man weiß ja schon ewig, dass das Thema Sicherheit bei Android im Algemeinen und bei Samsung im Besonderen nicht gerade die Top-Priorität ist.

Das ist ja auch der Grund dafür, dass Android-Smartphones im Firmen-Umfeld genauso beliebt sind wie das Weihwasser beim Teufel.

Aber andererseits: jetzt versteh ich endlich, was Google mit dem Schlagwort OPEN handset alliance gemeint hat.

Dachte ja bisher, das hätte was mit Quelloffenheit zu tun, aber jetzt...

Der Treiber kommt nicht von Google...

Ist das nicht das zweite Mal, dass Samsung in letzter Zeit ziemlichen Mist gebaut hat?

da haben die fandroids jetzt wieder was zum basteln ;)

Wann wird das Märchen, dass offene Systeme anfälliger sind, endlich aussterben?

http://www.tuaw.com/2012/09/2... t-pwn2own/

Das hat ja auch niemand behauptet.

Bei mir geht das nicht, denn ich habe beide Geräte noch nicht aktiviert!

ich vertraue voll und ganz auf Samsung. Wie ich sie kenn werden sie den Fix spätestens vor 2014 behoben haben.

... weil das zu schwach für den neuen Kernel ist :)

Der war gut *ggggg*

Und die Mobilfunkpartner liefern ihn dann 2015 aus, oder wie?

Das ist kein Bug, sondern ein umfassendes Remote-Konfigurations-Tool!

hmmm... wenn diese workaround-app den fix ein- und ausschalten kann - was hindert irgendeinen exploit code dran, den fix auszuschalten?

Die üblichen Android-Sicherheitsmechanismen? Eine App hat nicht so einfach Zugriff auf andere Apps, das ist ja kein Desktop-System ;) Und solange der Fix läuft, bekommst du auch keinen Root-Zugang, über den du diese Mechanismen aushebeln kannst.

Ist natürlich möglich, dass ich etwas übersehe, insofern: Wenn du (oder wer anderer) eine Idee hat, wie dieses Ausschalten konkret umgesetzt werden soll: Bitte posten.

Wobei ich aber natürlich zustimme: Eine adäquate Lösung ist das natürlich nicht...

der chmod fix aus dem xda-thread hat das problem, dass er bei jedem booten neu ausgefuehrt werden muss und da nicht sichergestellt werden kann, dass der fix als erstes laeuft, koennte eine andere app die schwachstelle ausnuetzen, bevor der fix rennt.

dass der fix einfach so ohne neustart ein und ausgeschalten werden kann, bezweifle ich eigentlich, egal ob von der fix-app oder einer anderen, zumindest auf ungerooteten geraeten.

also in dieser "fix-app" hast eine checkbox, da steht "enable vulnerability", damit kannst den status - laut anzeige von der app halt zumindest - ein- und ausschalten. gerootet is das ding bei mir ned.

ja, die ExynosAbuse app (falls die gemeint ist), nutzt eben diesen exploit um root-zugriff zu bekommen und kann daher danach den exploit auch nach belieben de/aktivieren. andere apps koennen bei deaktiviertem exploit (deaktiviert klingt etwas bloed, zugegeben) nichts mehr machen, solang nicht neu gestartet wird.

quelle: http://forum.xda-developers.com/showthrea... ?t=2050297

Sprich wenn ich mein Handy neu starte, dann muss man zuerst die app wieder aktivieren?