Googlefreie Androiden: Yalp-Store als F-Droid-Ergänzung
Über meine Kurzmeldung zu
veralteter und potentiell unsicherer Software in F-Droid wurde kontrovers diskutiert. Das Thema benötigt eine genauere Betrachtung, die ich hiermit liefere.
Mittlerweile sind übrigens einige der genannten Apps aktualisiert worden. Das ändert nichts daran, dass Updates
regelmäßig und
zeitnah erscheinen sollten und nicht nur dann, wenn jemand den Finger in die Wunde legt.
Es gäbe zum Thema Smartphone-Sicherheit wesentlich mehr zu schreiben, wir betrachten hier selbstverständlich nur einen Teilaspekt. IT-Sicherheit ist ein Prozess, der weder beim App-Store beginnt, noch endet. Wenn ihr ein goooglefreies Android eingerichtet habt, habt ihr wahrscheinlich - euren Bootloader entsperrt und ein Custom-Recovery geflasht. - eine spezielle Custom-ROM geflasht. - einen Root-Manager und Apps, die Root-Rechte benötigen, installiert.
All das waren sicherheitsrelevante Entscheidungen, die ein hohes Verständnis für diese Thematik erfordern und nicht leichtfertig getroffen werden sollten.
Lesezeit: 8 MinutenF-Droid: Mythen
Open-Source-Projekte werden oft von einer kleinen Zahl von Interessierten in ihrer Freizeit betreut. So ist es wenig verwunderlich, dass F-Droid verschiedene Schwächen aufweist, die auf diesen Umstand hindeuten. Es handelt sich trotzdem unbestreitbar um ein wichtiges unterstützenswertes Projekt.
Es sind leider einige Mythen im Umlauf, die nicht der Realität entsprechen und bei einigen sogar zu idealistischem Schwarz-Weiß-Denken führen -- die gilt es zuerst zu entlarven.
Mythos 1: F-Droid-Apps werden immer direkt aus den Quellen gebaut!
Falsch. Dieser Punkt lässt sich leicht anhand der Anleitungen zum Bau von Apps für F-Droid widerlegen:
Instead of (or as well as) including binary APKs from external sources in a repository, you can build them directly from the source code. Quelle: F-Droid
Das Motto: Alles kann, nichts muss. APKs können also
- direkt aus der externen Quelle stammen.
- aus dem Quellcode gebaut werden.
- mal direkt aus der externen Quelle stammen, mal aus dem Quellcode gebaut werden.
Mythos 2: F-Droid ist sicherer, weil alle Anti-Features entfernt werden!
Falsch.
Unfreie Teile in Apps sind im Sinne von F-Droid ein inakzeptables Anti-Feature. Andere, wie Tracking und Werbung, unfreie Erweiterungen und Netzwerkdienste, bleiben in den Apps enthalten und werden nicht genauer spezifiziert.
Anti-Feature-Hinweise findet ihr bei vielen Apps, allerdings schaffen diese wenig Sicherheit. Fennec (Firefox) wird bspw. mit "diese Anwendung verfolgt und versendet ihre Aktivitäten" gekennzeichnet. Hintergrund ist der Telemetrie-Dienst von Mozilla, der allerdings in den Einstellungen deaktiviert werden kann. Erklärt wird das nicht, im Gegenteil wird Verunsicherung geschürt und Nutzer weichen im schlimmsten Fall auf IceCat aus, die trägt nämlich keinen Hinweis, ist allerdings durch eine laxe Updatepolitik unsicher und daher die schlechtere Wahl.
Ansonsten ist die "alles kann, nichts muss"- Mentalität auch hier wiederzufinden. Beim Punkt
Application Review Process wird eine "nicht vollständige Aufzählung" von Review-Schritten angegeben. Welche Schritte für eine App tatsächlich durchgeführt worden sind -- und ob überhaupt -- ist nicht überprüfbar.
Mythos 3: F-Droid ist verlässlich, weil die Entwickler ihre Apps dort selbst einstellen und pflegen!
Falsch. Viele F-Droid-Apps werden nicht vom jeweiligen Entwickler selbst gepflegt, dadurch schaffen es viele Apps in den Store, die es dort sonst nicht gäbe -- ein durchaus positiver Aspekt, der nicht frei von Problemen ist. Manchmal könnt ihr Apps über Wochen nicht updaten bzw. installieren, weil neuere Versionen bei F-Droid nicht gebaut werden können, oder der Prozess fehlerhaft war. Eine kurze unvollständige Aufzählung:
Mythos 4: Apps aus F-Droid sind automatisch sicher und privatsphärefreundlich!
Falsch. Es gibt keinen magischen Automatismus, der freie Software sicher und privat macht. Wie oben erwähnt ist Tracking in vielen F-Droid-Apps weiterhin enthalten und die fehlenden Updates können eure Apps lahmlegen oder sogar ein Sicherheitsrisiko darstellen. Selbst nach vielen Monaten ohne Update sind Apps weiterhin installierbar, einen Warnhinweis gibt es nicht.
Mehr über die Risiken nicht gewarteter Open-Source-Software, könnt ihr
beim Infosec-Handbook und im Artikel
FOSS is free as in toilet erfahren.
F-Droid: Updates
Dass Updates in F-Droid tatsächlich nicht schnell genug erscheinen, kann ich euch am Beispiel von Firefox erläutern. Schon vor einem Jahr habe ich Firefox ein paar Monate plattformübergreifend beobachtet und
über Updateprobleme berichtet. Fennec, IceCat und Firefox Klar stehen in F-Droid zum Download bereit.
- Fennec: Als im Dezember 2017 der Buildserver von F-Droid versagte, kamen wochenlang keine Updates für Fennec (und viele andere Apps). Im Februar 2018 erschien es dann endlich, allerdings war der Browser damit trotzdem eine Version hinter dem aktuellen Release. Eine Stichprobe für das Update auf Firefox 63, das mehrere kritische Sicherheitslücken schloss, ergab, dass F-Droid sieben Tage nach Mozilla das Update ausrollte. Zeitversetzte Updates sind definitiv die Regel und keine Ausnahme, die, wie zu Jahresbeginn, nur bei technische Problemen auftritt.
- IceCat: Die GNU-Variante von Firefox steht bei mir, wegen der katastrophalen Updatepolitik, schon seit längerem in der Kritik. Die neue und auch aktuelle Version in F-Droid ist vom 5. Dezember 2018, in den sieben Monaten dazwischen sammelten sich die Sicherheitslücken förmlich. Solange nicht klar ist, ob Updates zukünftig regelmäßiger erscheinen, ist die Eiskatze nicht zu empfehlen.
- Firefox Klar: F-Droid bietet Version 6.1.1 und der Play-Store Version 7.0.13 -> ebenfalls out-of-date. Sicherheitslücken wurden nicht geschlossen, allerdings verpasst ihr ein neues Feature und einige Verbesserungen.
Der auf IT-Sicherheit spezialisierte Felix von Leitner schrieb zu diesem Thema folgendes:
Insbesondere da man heute davon ausgehen muss, dass es unter 24h dauert nach der Verfügbarkeit von einem Patch, bis der Exploit dazu reverse engineered wurde. Wenn also das Patch-Verteilen länger als 24h dauert, ist es zu langsam. Das ist eine harte Grenze. Ich würde sogar "die Welt muss die Patches innerhalb von 12h haben" sagen. Quelle: Fefes Blog
Der Schluss daraus: Sicherheitskritische Updates sollten immer so schnell wie möglich eingespielt werden.
Ein Update ist nicht zwingend sicherheitsrelevant, enthält aber Features und Verbesserungen, die sich möglicherweise auf die Stabilität eurer App auswirken. Das Ausbleiben eines solchen Updates kann, wie oben am Beispiel vom Yalp-Store beschrieben, eure App komplett lahmlegen.
Yalp-Store ≠ Google Play-Store
Wenn ihr euch die Mühe gemacht habt ein googlefreies Android einzurichten, habt ihr euch gegen Googles Geschäftspraktiken entschieden, deswegen fühlt sich die Verwendung von Apps aus dem Play-Store möglicherweise wie ein Rückschritt an. Diese Sichtweise ist nachvollziehbar, aber wenig hilfreich.
Google ist - gut aufgestellt, wenn es um eure Sicherheit geht. - schlecht aufgestellt, wenn es um eure Privatsphäre geht.
Warum macht ihr euch nicht beides zunutze?
Mit dem Verzicht auf die Google-Dienste, habt ihr euch von Googles mannigfaltigen Überwachungs- und Kontrollmaßnahmen befreit -- ein guter Schritt, der euch leider auch vom Play-Store abschneidet, der automatisch stets aktuelle, auf Schadwarefreiheit geprüfte und signierte Updates ausliefert. Die Lösung lautet Yalp-Store.
Mit dem Yalp-Store könnt ihr Apps aus dem Play-Store suchen und herunterladen, automatisch auf Updates prüfen und somit eure Apps aktuell halten. Yalp fungiert außerdem als eine Art Puffer zwischen euch und Google. Dafür nutzt es folgende Features:
- Yalp-eigene Konten für die Anmeldung bei Google Play. (Echte Google-Konten können auch genutzt werden.)
- Der Datenverkehr kann nativ mit Orbot durch Tor getunnelt werden.
- Weiße und schwarze Listen für App-Aktualisierungen, um nicht alle installierten Apps an Google zu verraten.
Darüber hinaus hilft Yalp beim Abwägen, ob ihr einer App trauen könnt, indem es - anzeigt ob Werbung enthalten ist. - anzeigt ob In-App-Käufe enthalten sind. - anzeigt ob die Google Play-Dienste benötigt werden. Googlefreie Androiden können diese Apps respektive einzelne Funktionen darin normalerweise nicht nutzen. - einen Bericht von Exodus Privacy anzeigt.
Fazit
Die Nutzung von F-Droid und Yalp-Store ist für googlefreie Android-Smartphones eine nützliche Kombination. Manche Apps gibt es nur in einem der beiden Stores und ich würde bspw. weder auf Dandelion* und Riot (F-Droid), noch auf Signal, Wire und Keybase (Google Play) und den Komfort der automatischen Update-Benachrichtigung verzichten wollen.
Durch den Artikel ist deutlich geworden, dass weder der F-Droid- noch der Google Play-Store frei von Problemen ist. Apps, von denen ihr tunlichst die Finger lassen solltet, findet ihr in beiden Quellen. Es liegt an euch zu entscheiden, welcher App ihr trauen wollt und welcher besser nicht. Die Nutzung vom Yalp-Store ist höchst sinnvoll, wahrscheinlich sogar alternativlos, wenn es um sicherheitsrelevante Apps geht.
librejoker 2018/12/10
Lizenz:
STOP stealing our stuff Kuketz!
Tags: #
android #
f-droid #
yalp #
yalp-store #
freesoftware #
foss #
free #
opensource #
maintenance #
security #
infosec #
cybersecurity #
librejoker
