Pull to refresh

Comments 118

Тут главный вопрос в скорости выпуска заплаток: если уязвимость известна и доступна неделями — это большая проблема, а если она исправляется через несколько часов — уже не так критично.
Опять же многие ломают ios, что в свою очередь тоже может создавать проблемы (в то время как ломать Андройд смысла нет).
> Тут главный вопрос в скорости выпуска заплаток

Это да… Смотрю сейчас на свой SGS+ с андроид 2.3.6 на борту, и таки уже почти созрел накатить на него CM.
Молодец, чо. То есть по вашему в вашей 2.3.6 нет дырок? Сомневаюсь ( www.securelist.com/ru/analysis/208050773/Razvitie_informatsionnykh_ugroz_v_tretem_kvartale_2012_goda «Как мы видим, диаграммы значительно отличаются: в 48% случаев жертвами злоумышленников стали пользователи версии 2.3.6 Gingerbread»). Используя старую систему вы сами отдаете себе отчет какое решето используете.
Так блин а я про что говорю?
Это хорошо если для вашего телефона есть новая версия… У меня у девушки HTC Desire S с какой-то старой версией андройда, но с Sence на борту. Русский сайт htc предлагает мне загрузить www.htc.com/ru/support/news.aspx?p_id=391&p_name=htc-desire-s ничего. Наверное на него можно поставить новую версию ведра, но уже без интерфейса от htc.
А я не зря изначально про 2.3.6 написал — за все время жизни аппарата, если мне память не изменяет, вендор выкатил только 1 апдейт, 2.3.5 -> 2.3.6. Хотя, железо вполне позволяет пользоваться 4.1.
Предыдущий телефон у меня был от HTC — ситуация примерно аналогична — через полгода-год после выпуска аппарата для него перестают делать апдейты.
И так у большинства крупных производителей. Исключения разве что сам Гугл и Sony.
Ну или вариант — накатывать кастомные прошивки, те же CM, MIUI etc.
Как то странно на счет Сони… Даже сейчас Сони выпускает Флагман на старой версии ОС, а многие модели конца прошлого года до сих пор не получили Андроид 4.1. Тут скорее Самсунг лучший среди производителей
Так вроде же везде пишут, что Сони вон постоянно, даже для моделей 2011 года, выкатывает обновления. Кому верить? Я уж было приценивался к их аппаратам…

А по поводу Самсунга — нууу… Я очень долго ждал апдейта для p6800 (при том, что он был официально объявлен и даже выпущен, но не для всех стран), официальным способом так и не дождался, но помог небольшой хак. В итоге обновил до штатной 4.0.4. А 4.1 для него даже не обещают :( Читал многочисленные ветки на форумах ATT, Verizon, Самсунга — пользователи везде негодуют и просят апдейтов.

Упомянутый выше SGS+ — так и не дождался апдейтов до ICS, хотя пользователи слезно просили Самсунг выкатить его по всем форумам. По железу аппарат, как я уже говорил, подходит (Сони для аналогичных по железу аппаратов давно уже выкатила ICS).
Например для двухъядерников 2012 года — Xperia U и Sola — отказались выкатывать 4.1
Так вроде же обещали для P, U и, по-моему, как раз Sola в конце марта 4.2 начать выкатывать. Или у меня устаревшая информация? Про 4.1 для них дествительно не слышала.
4.2? Мечты, мечты. :)
Ни разу не слышал такой информации.
линейку 2011-го тоже до сих пор обновляют (Arc/Ray/Neo и прочие-прочие клоны)
Пусть и на 4.0.4, но обновляют, это да
Если правильно помню, то они отдали это на откуп комьюнити и многое повыкладывали в гитхаб
Пока нету. До релиза CM9.1. Ну или, как минимум, до релиза 4.1 для P.
Да нет, к сожалению. Как начнётся апдейт хоть в одной стране — тут появится. Вообще, помнится, речь шла о конце марта, но по срокам Sony уже никто не верит, 4.0 тоже не раз и не два откладывали.
Самсунг как-то тоже подорвал мое доверие с этим апдейтом p6800, слишком долго они его делали (год или что-то вроде того), в итоге таки поставил CM и пользуюсь им. Уж лучше бы отдавали свои драйвера на опенсорс — гораздо быстрее можно было бы запилить кастомную сборку.
Модели 2011-го года, кроме специфичного Play, были обновлены до ICS. Модели 2012-го года в большинстве своём были/будут обновлены до 4.1, но некоторые останутся на 4.0. В целом, я бы охарактеризовал политику Sony в отношении обновлений как весьма заторможенную. Скажем, Xperia S/P/U/Sola вышли через полгода после выхода ICS и всё ещё имели 2.3, обновление же до ICS пошло только осенью, практически через год после его релиза.
В пользу Sony говорит активная опенсорс-деятельность (что несколько непривычно для них). Пожалуй, к разработчикам они относятся лучше, чем к пользователям.
Вообще, я имел ввиду, что допустим в 2.3.6 известно условно Х уязвимостей, и вам придется ними смириться потому, что более новой версии для вашего аппарата вендор не выпустил. Не будет для вас никакой заплатки. Пока сами не обновитесь на что-то более защищенное. То есть время реакции на вашу уязвимость стремиться к нескольким месяцам, переходя в никогда (собственно до момента наступления конце самому телефону).
У apple ситуация в целом аналогична: если у вас не топ аппарат, то вам доступны лишь более старые версии ios, которые не обновляются. Но тот вы уж никак не сможете поставить более новую прошивку на старый аппарат.
Не совсем аналогична, до сих пор выходят обновления для iPhone3GS, вышедшего в июне 2009. С тех пор было уже 3 новых «топ» аппарата. www.iossupportmatrix.com
Вот кстати да. Я пытался найти такую информацию, но в вики не нашел. Опять же 4, 4S не полностью заброшены хотя и отстают уже на 1-2 поколения.
Они вообще ни капельки не заброшены, в том числе и разработчиками. Если 3GS некоторыми программами уже может не поддерживаться, то на iPhone 4 точно все ставится и работает.
У меня есть антикварный ipod touch 1, и я уже отчаялся на него что-то новое поставить — просто не захожу в appstore потому что приложения для ios3 почти нет. :)
Вся скорость фикса багов в Андроид упирается в вендоров :(
А Apple же, насколько я слышал, позволяет апдейтить старые аппараты (вплоть до 3GS, емнип) до последней версии iOS?
Это мажорная версия. Вендоры и операторы выпускают maintenance и security updates, которые фиксят баги и закрывают дырки без обновления самой версии Android. Но всё равно это очень медленно.
Вот о них я и говорил.
Например mac os выпускает обновления безопасности без обновлений самой версии mac os. В windows насколько я помню так же есть критические обновления, которые не являются sp и на номер версии ос не влияют.
Я два года назад купил HTC Legend с 2.2, через какое-то время выкатился OTA 2.3.3, потом отдал телефон в ремонт (полетел тачскрин), по возвращении из ремонта на телефоне стоял 2.2 (не знаю, почему), и на 2.3.3 уже не обновлялся — говорил, нет апдейтов.

Сейчас я прошился в CM9.1 (unofficial, т.к. официально для Легенды ничего выше второго андроида — т.е. CM7.1 — не доступно), работает всё прекрасно.
Сам вот на Samsung Galaxy Ace сегодня поставил 4.2.2 CM10 летает, все работает кроме радио, но там надо понять, может какая то прога заработает, хотя сомнения по этому поводу. В остальном замечательно. А вот сам Samsung выдал последнюю прошивку 2.3.7 и все, под предлогом что 4.0 впринципе этот аппарат не потянет. 2 года телефон не обновлялся и думал пора менять. А тут раз и посмотрел на 4пда, а там свеженький 4.2.2. Что доказывает, что самсунг впринципе мудаками являются.
Подскажите, батарея быстрее разряжается с этой прошивкой?
пока не понял, ну вот утром установил, с вайфай весь день 1,5ч дисплей и все помер звонков 10 минут было
Батарея (субъективно) быстрее умирает. Но вот со звонками стало всё получше. 2,3,7 в загруженном состоянии способен был ненадолго «подвесить» входящий звонок, в 4,2,2 такой проблемы ни разу не возникало.
Я использую его не часто, 2 дня живёт
древняя это 2.3.6?
официальная прошивка на Desire S с Android 4 уже давным давно есть, искать нужно тут www.htcdev.com/devcenter/downloads
Нет. Кто из обычных пользователей (уровня «моя бабушка») знает об этом сайте? Почему я должен ставить не русскую версию? Почему я должен заморачиваться с процессом установки рискуя потерять все данные? Это какое-то Средневековье.
в этом я с вами согласен. почему именно этот апдейт сделали не по воздуху, мне не известно

а версия там русская
Жесть какая.
Выбрал в фильтре Desire S — пусто
Дабликнул в какую-то кнопку/ссылку и
>> You have exceeded the allowed page load frequency.
И все, больше не пускает на сайт (
ломать андройд смысла нет

почему?
Вот что вас заставляет ломать Андройд?
Необходимость получения рута, например для установки DroidWall, для управления инетом.
Возможность ставить любые оболочки, не всегда мне нравятся фирменные.
Ломать для рута ничего не надо обычно, максимум зайти на сайт производителя и получить код разблокировки бута. Ну разве что моторола вредители.
Получение рута и разблокировка бута — это разные вещи.
Рут нужен для специальных рутовых приложений, а открытый бут больше для загрузки своих прошивок и такого плана. Можно сделать себе одно без другого.
Если бут залочен и стоит штука типа S-OFF, то фигу вам, а не рута, так как доступа к разделу /system нет и доступа к chmod/chown тоже нет. Вариантов сделать su/sudo просто нет, прошить что-либо через фирменное рекавери без подписи производителя тоже невозможно. Полный чёрный ящик.

И да, новые S-OFF — хардварные, срабатывают ДО загрузки CPU.
Обычно в таких случаях ищутся уязвимости в системе. Например, z4root так делал в свое время и другие рутеры. Каждый под свою версию ОС или даже аппарата.
Разблокировка бута просто облегчает рут. Например, после рута можно бут заблокировать обратно и рут останется.
Но зачем искать, когда можно сделать анлок и не мучаться?

Кстати, S-OFF для HTC One X в версии с Tegra 3 до сих пор нет и, судя по всему, никогда не будет.
Если смотреть с точки зрения злоумышленника, то штвтных возможностей более чам достаточно для совершения мошеннических и прочих вредоносных действий. Распространяй троянов хоть через сайты (НОВАЯ ВЕРСИЯ OPERA MINI! Скачать бесплатно без СМС!), хоть прям в google play размещай. Нет смысла глубоко копаться в кишочках системы. В случае с iOS — есть, иначе очень трудно «заразить» девайс. Хотя большинство уязвимостей iOS найдены с целью сделать джейл, а не заражать устройства.
> Опять же многие ломают ios, что в свою очередь тоже может создавать проблемы

Думаю устройства, сбежавшие из тюрьмы, не учитываются в данном анализе.
Дико извиняюсь, но напомнило фразу, которую как-то слышал: "… программа неправильно считает, потому что возможно виндовс пиратский..."
Если я ничего не путаю, то взлом ios является причиной для отказа в гарантийном обслуживании.
Вероятнее всего да, взломанные телефоны не учитывались, но в статья об этом ни слова.
>Тут главный вопрос в скорости выпуска заплаток: если уязвимость известна и доступна неделями — это большая проблема, а если она исправляется через несколько часов — уже не так критично.

Как насчёт уязвимости, которая была известна и доступна на протяжении восьми месяцев, причём известна не просто так, а с конкретными сценариями использования?

Apple finally turns HTTPS on for the App Store, fixing a lot of vulnerabilities

Обнаружена и обнародована в начале июля 2012-го года. Закрыта в начале марта 2013-го.
Это всего за время существования. Закрываются они очень оперативно.
Если сравнить тут — cve.mitre.org/cgi-bin/cvekey.cgi?keyword=blackberry то находится больше чем 11 для BlackBerry (для других платформ тоже не сходится цифры). Может автор исследования как-то выбирал уязвимости (по приоритету например)…
Как по мне огромное преимущество Android в том что система открыта и заплатки клепают зачастую те кто находит уязвимости. Преимущество Windows в плане уязвимостей скорее всего в том что система относительно молода и пока еще не слишком распространена.
Это исследование включает 2007-й, так что речь не о только о новой платформе
Не спорю. Но я не думаю что тех людей которые ищут уязвимости интересуют старые или мало используемые платформы.
Как по мне огромное преимущество Android в том что система открыта и заплатки клепают зачастую те кто находит уязвимости.
Это «огромное преимущество» сводится на нет стараниями сотовых операторов и производителей устройств, которые не спешат выпускать апдейты.
Никто не мешает Вам поставить кастомную прошивку желаемой версии) Благо их превеликое множество.
Второй вариант — выбирать тех производителей которые поддерживают старые модели(a.g. Google, Sony).
У меня телефон который давно перестали поддерживать, но я выбрал 1-й вариант и не жалею.
Мешает производитель зашифровав загрузчик и угрожая лишить гарантии.
Мешает государство поставив джейлбрекинг вне закона.
Никто не мешает Вам поставить кастомную прошивку желаемой версии

Ага, а модули для BT, NFC, видеоускорителя и т.п. самим прикажете писать? Хорошо, если вендор разродится бинарниками, но часто и их нет. Выложат ядро, которое ничего не даёт, и парьтесь, как хотите. Это если ещё загрузчик дадут открыть, и то радость.

Так что только Nexus, только хардкор!
Как по мне огромное преимущество Android в том что система открыта и заплатки клепают зачастую те кто находит уязвимости.

И что Гугл патчи у всех принимает? Что-то в это очень тяжело верится. Плюс в Гугловой версии андройда достаточно closed source компонентов.
Ничего не уточняют по поводу уязвимостей, поэтому трудно делать выводы. Показатели по Windows удивили, так как в посте написано, что учитывается вся линейка. Android быстро находит и устраняет уязвимости, так как, кроме всего прочего, устанавливает денежные вознаграждения за их обнаружения.
А в итоге до конечного пользователя не все заплатки доходят
Осталось заставить вендоров хоть иногда обновлять дивайсы.
Мне кажется, именно в этом и есть основная проблема андроида.
Зачем? Мы все прекрасно знаем о линейке, которая всегда обновляется самой Google.
Вывод прост: не стоит покупать девайсы, на которые производитель забивает болт через пару месяцев после выпуска.
Понятно что iPhone ассоциируется с iOS, устройства BlackBerry с их BlackBerry OS(тут уж вообще одинаковые названия, не придраться), но всегла мысленно спотыкался, когда говорят о операционных системах(Android, Windows Phone) и телефонах(iPhone, BlackBerry) как о чем-то одинаковом. В голове всегда представляется что-то вроде «Сравнительный обзор операционных систем Windows, Linux и Macbook».
Раньше iOS называлась iPhone OS %) Наверное, у кого-то закрепилось в голове.
Аналитики… проанализировали уязвимости… за 25 лет.
У Android 24 уязвимости

То ли в Гугле молодцы — всего 24 уязвимости за 25 лет, то ли аналитики такие аналитики :)
Тоже так подумал — уткой попахивает эта аналитика =)
Они анализировали вообще все уязвимости за 25 лет, уязвимости в мобильных ОС за последние 5 лет — лишь малая часть исследования. Посмотрите отчет, ссылка на который приведена в новости.
Мы на Хабре, тут никто не читает первоисточники, они же не по-русски. :-}
-------> Это да… Смотрю сейчас на свой SGS+ с андроид 2.3.6 на борту, и таки уже почти созрел накатить на него CM.
Я накатил… на SGS3. Если возможные фризы не страшны, то вперед. А еще недавно была статья про holo тему для андройдов ниже 4 версии.
А как насчет жора батареи, неработающей камеры и артефактов в 2D?
Как я понял раз на раз не приходиться. Плюс надо учитывать возможности железа телефона. На Cyanogen Mod 9 вылетала клавиатура и вайфай. Поставил 10.1 ночную сборку. Расход батареи по ощущениям не стал выше или ниже. Камера работает. Артефактов пока не встречал но вероятно что они есть.
Плюс надо учитывать возможности железа телефона.

Речь конкретно об SGS3. Я очень люблю CM, но на SGS3 он юзабелен с серъезными оговорками.
Артефактов пока не встречал но вероятно что они есть.

В Dolphin они есть и вполне легко воспроизводятся.
Интересная статистика, но ведь она ничего не говорит о количестве уязвимостей, которые еще не обнаружены и могут быть использованы против пользователя, а значит пригодна только для экстраполяции, да?
А что конкретно вы хотите узнать об уязвимостях, которые еще не обнаружены? :)
Все. Только тут желания с возможностями не совпадают. :-)
Моё мнение — это на прямую связано с популярностью платформы, соответственно чем популярнее платформа тем больше исследований в её области. Вот и получается такая статистика.
Понятно, что в iOS обнаруживается такое количество уязвимостей в силу активного поиска оных для джейлбрейка. И они достаточно оперативно закрываются.

Другое дело, что на других платформах уязвимости не так широко освещены и потенциально могут эксплуатироваться злоумышленниками.
>Понятно, что в iOS обнаруживается такое количество уязвимостей в силу активного поиска оных для джейлбрейка. И они достаточно оперативно закрываются.

Закрываются? И джейлбрейк становится невозможен? То ли я живу в какой-то параллельной реальности, то ли что…

И насчёт «оперативности» я бы тоже не стал так категорично утверждать: habrahabr.ru/company/apps4all/blog/174401/#comment_6059875
Я написал «достаточно» оперативно. А что, в версии 6.1.3 можно сделать непривязанный джейлбрейк? Тогда это я живу в параллельной вселенной
Ну не знаю, кому как, а по мне 8 месяцев — это уж никак не «достаточно оперативно».
Использование HTTP или HTTPS — это не совсем баг. Если бы Apple разом переключила бы всех пользователей на HTTPS, то эти же самые пользователи получили бы кучу проблем, потому что HTTPS даёт дополнительную нагрузку на сервера.
Строго говоря, это не уязвимость системы, а уязвимость инфраструктуры.
Понятно, что инфраструктуры. Но если в данный отчёт включены уязвимости только самой ОСи, тогда всё ещё печальнее. Пользователю ведь совершенно по барабану, поимеют его через уязвимость ОСи или через уязвимость инфраструктуры.

>Если бы Apple разом переключила бы всех пользователей на HTTPS, то эти же самые пользователи получили бы кучу проблем, потому что HTTPS даёт дополнительную нагрузку на сервера.

Разумеется, Эппл не должны были «разом переключать всех пользователей на HTTPS». Эппл должны были использовать HTTPS с самого начала, by design.

То, что этого не было заложено изначально, полностью дискредитирует Эппл в плане обеспечения безопасности и сохранности данных. Это финиш. У меня других слов нет. Такое простительно студенческому стартапу, но не компании уровня Эппл. Да даже стартапу непростительно, авторов моментально смешали бы с говном хоть здесь, на Хабре, хоть где угодно ещё.
В 2007 году публичные незащищенные wifi сети не были так распространены, как сейчас.
Не спорю, это большой косяк со стороны Apple, но ещё раз повторюсь: https даёт ощутимо бОльшую нагрузку на сервера, к тому же скорость передачи данных падает, и всё это из-за множества мелких соединений. К тому же, дела с кэшированием обстоят хуже.
По-моему приватность данных и безопасность — это вообще не обсуждаемые вещи, это то, что должно приниматься как данность, а всё остальное — потом.

Не, ну в самом деле: «мы решили, что вам, наши дорогие пользователи, будет лучше, если всё будет грузиться намного быстрее, ну а то, что злоумышленник может без вашего ведома перехватить пароль, установить поддельное приложение, так это мелочи, главное, чтобы всё грузилось быстрее» — вы это серьёзно, хоть на секунду?
Мне почему-то кажется, что формулировка в корне неверна. Даже в статье обозначено — злоумышленники не могут пробиться через AppStore, поэтому ищут уязвимости в самом девайсе. Скорее всего, в iPhone не больше уязвимостей, просто их найдено больше. Не поверю, что в 2009-му у Windows осталась только одна уязвимость. Просто к 2009-му Windows Mobile перестала быть хоть кому-то интересной.
Да и вообще не верю в цифру 1 уязвимость для win в году!
Интересно, а где уязвимости в windoows phone? Или они не приемственны напрямую к windows mobile?
Написано же, эта одна уязвимость для всех мобильных Windows, что явный бред.
Именно. Или же вся ос — одна большая сплошная уязвимость.
По моему выводы бредовые. Аппстор тут не причем, банально очень популярная платформа, с далекими от IT людьми. Аналогия с Windows практически прямая. В пику «линуксоидам» напомню анекдот про «неуловимого Джо»
Выводы бредовые в том еще, что андройд не надо ломать — можно просто залить очередное приложение с вирусом в google play.
Решето :) Но было-бы интересно узнать подробности.
У iPhone больше уязвимостей, чем у Android, BlackBerry и Windows Phone вместе взятых


Желтые заголовки отстой. Не фанат яббла, но в нем не «больше уязвимостей», а в нем ищут больше…
Крайне сомнительное утверждение.

От версии к версии в iOS постоянно и целенаправленно ищутся уязвимости, чтобы сделать джейлбрейк.
И по мере выхода новых версий iOS это становится всё сложнее и сложнее.
Для джейлбрейка iOS 6 была разработана очень сложная многоступенчатая процедура, эксплуатирующая цепочку локальных уязвимостей, причём от релиза iOS 6 до релиза готового продукта прошло около полугода.
Подчеркну — локальных уязвимостей. Использовать их «через интернет» невозможно. Только по кабелю, когда становится доступной часть файловой системы аппарата. Эпоха «джейлбейка на сайте» уже давно закончилась.

В настоящий момент эти уязвимости уже закрыты последним обновлением. Известных дыр попросту нет.
Только меня одного смущает, что компания SourceFire занимается защитным ПО (как и Касперский)? Что наводит на мысль, что они так же, как и Лаборатория Касперского пытаются, если не откусить кусок пирога, но хотя бы сделать так, чтобы другим его есть не захотелось.
UFO just landed and posted this here
Бред это писать — «Я верю». Верите — идите в церковь и верьте. Тут же голая статистика и четкие цифры, конкретно подтвержденные багами и тикетами.
UFO just landed and posted this here
Один из телефонов да. В остальном отдаю предпочтение андроиду
UFO just landed and posted this here
Не я, однако по мобильный платформам, iPhone у нас, лидирует по количеству багов. И еще не люблю фанатиков опирающихся на «Веру», а уж во что они верят это уже дело десятое.
UFO just landed and posted this here
Вера и Знание 2 больших разницы и это не придирки к словам, а четкое формулирование своих мыслей, что кстати важно. Пс и специально для вас
www.youtube.com/watch?v=AC2P398_goY
UFO just landed and posted this here
но я вжизни никогда не поверю, что у операционки на никсовом ядре больше дырок, чем в полусырой форточке.

Это ваша фраза, я ее понял как: «необоснованное утверждение, не имеющее под собой реальных фактов».
Sign up to leave a comment.