Was ist Root? - Was, wie, warum, für wen: Root unter Android

[frank_m]

Im Grunde sagt der Artikel aber auch nichts anderes aus, als unsere Feststellungen: man soll aufpassen, welchen Apps man welche Rechte einräumt. Und das ist am Ende immer noch eine Sache des gesunden Menschenverstandes.

Übrigens: das war eine Urheberrechtsverletzung, und zwar eine krasse.

 

[Thyrion]

Das gibt es doch nicht??!! Das war ein sehr kurzer Abschnitt aus dem c't

Der Heise Verlag hat mit 100%iger Sicherheit nichts dagegeben, dass dieser kleine Abschnitt hier als JPEG gescannt wurde. Das geht noch unter "Fair Use" und Zitat...

Dann lies mal den fett gedruckten Teil beim Impressum unten auf Seite 14, beginnend mit "Kein Teil darf" über "ohne ausdrückliche [...] Genehmigung" zu "reproduziert [...] verarbeitet, vervielfältigt oder verbreitet werden." (c't 02/2011, Seite 14)
EDIT: Wenn du die Genehmigung hast und vorlegen kannst, dann nehme ich den Link wieder rein.

Und "Fair Use" gibt es soweit ich weiß nur in den USA (Fair Use ? Wikipedia)

... der auf Seite 3 eines root-kritischen Threads gepostet wurde, den du mit ziemlicher Sicherheit nur deshalb gesehen hast, weil wir ihn extra in ein auffälligeres Forum verschoben haben.

Hat er nicht, ich habe den Beitrag hier rein verschoben. Er hatte einen neuen aufgemacht

 

[google-loves-data]

Übrigens: das war eine Urheberrechtsverletzung, und zwar eine krasse.

Disclaimer: IANAL (https://secure.wikimedia.org/wikipedia/en/wiki/IANAL)

1) der Ausschnitt wurde auf einem Bildhoster gespeichert und hierher nur verlinkt. Rechtlich kann android-hilfe.de nicht belangt werden (höchstens ich als Person und/oder der amerikanische Bilderhoster)

2) findet man die ganzen c't auf diversen Piraten Seiten (als eBook, kostenlos)

3) ist das Werbung für das c't. Wie man vielen Threads entnehmen kann lesen hier viele User die populistische Konkurrenz zu c't. Das wird einige Leser dazu bewegen in c't zu schnuppern und eventuell das Chip/PCWelt, ComputerBild ... Abo zu kündigen.

4) lebe ich in der Schweiz, was die Situation rechtlich nicht vereinfacht.

5) habe ich eine Rechtsschutz-Versicherung

6) berichtet die c't regelmässig kritisch über die Fehler der Film- und Musikindustrie (und allgemein Content-Mafia). Sie werden kaum dieselben Fehler machen.

7) werden in der c't öfters illegale Downloads beworben (oder zumindest aus Sicht der Content-Mafia illegal): z.B Usenet, One-Click-Hoster, Online-Streaming,..

Also ich würde vorschlagen wir fügen das Bild wieder ein.

 

[Thyrion]

Disclaimer: Ich auch nicht - und diese Diskussion wird hier Offtopic.

1) Doch - AH kann belangt werden, da wir auch für verlinkten Inhalt verantwortlich sind, wenn dort Rechtsverstöße vorliegen und wir davon Kenntnis haben. (siehe auch u.a. c't 24/2010, Seite 158)

2) Das macht es nicht legal.

3) Möglich, aber das macht es nicht legal.

4) Die Situation ist erstmal, das AH (in diesem Fall also ses) zur Verantwortung gezogen wird, dieser lebt in D und muss sich auch an die hier geltenden Gesetze halten. Ob du dann als Verursacher verfolgt wirst, steht auf einem ganz anderen Blatt

5) Schön für dich, macht die Aktion aber auch nicht legal

6) So what? Dadurch werden doch ihre Rechte in keiner Weise eingeschränkt.

7) Das Usenet, die One-Click-Hoster und Online-Streaming sind per se nicht illegal - also wo bewirbt die c't denn illegale Downloads?

Und nun: zurück zum Thema, bitte.

 

[bur]

Im Anfangspost wird ja geschrieben, dass Anwendungen nur dann Root-Rechte bekommen, wenn sie durch die su-app gewährt wurden. D.h. auch auf einem gerooteten Telefon arbeite ich die meiste Zeit nicht als Root, denn ich habe ja nur die Rechte der jeweils laufenden App. Stimmt das? Das wäre ja dann fast wie auf einem normalen Linux. Wenn ein Programm Adminrechte braucht, kann es die mittels su bekommen.

Nur dass der Rootzugang nicht passwortgeschützt ist - also ist es vermutlich schon machbar, dass eine App Root bekommt ohne dass der Nutzer es bemerkt. Kann man den Rootzugriff per Passwort schützen?

Soweit ich gelesen habe, nein. Also bleibt als Frage eigentlich, wie sicher ist die su-app. Kann man der App nicht vorgaukeln, der Nutzer hätte auf Erlauben geklickt?

 

[Wild Bill Kelso]

bei vielen anwendungen, die root brauchen wird ebenfalls eine vorhandene busybox verlangt.

ist die in manchen programmen, die root eingriff gewähren, enthalten oder muss man die nachinstallieren ? gibt es verschiedene für verschiedene android-versionen ? wo gibt es die und gibt es gute und weniger gute ?

 

[email.filtering]

Wenn eine entsprechende, mit Root-Rechten ausgestattete App das tut, kann diese grundsätzlich auch der SuperUser-App Deinen Zustimmungsklick vorgaukeln. Doch dazu musst Du erst mal dieser bösen App Deine Zustimmung zur Erteilung von Root-Rechten durch die SuperUser-App erteilen. Wie und an jedem Sicherheitskonzept ist der menschliche Part das schwächste Glied in der ganzen Kette! Und das bist daher potenziell DU an Deinem Gerät ...

 

[bur]

Ich dachte eher, dass eine App eine Lücke ausnutzt und so ohne Root an SU vorbeikommt. Aber dann hilft ein Passwort auch nicht, denn das könnte genauso umgangen werden wie der Klick auf "Erlauben".

Dann ist das Arbeiten mit einem gerooteten Gerät also prinzipiell erstmal nicht riskanter als ohne, würde ich sagen. Nur wenn man zu vielen oder unbekannteren Apps Root erlaubt, kann es riskant werden.

 

[email.filtering]

Dann ist das Arbeiten mit einem gerooteten Gerät also prinzipiell erst mal nicht riskanter als ohne.

Genau so ist es!

Nur wenn man zu vielen oder unbekannteren Apps Root erlaubt, kann es riskant werden.

Wird wohl kaum vorkommen, denn viel mehr als ein "Root-fähigen" Explorer, ein besseres Backup-Programm und eine BusyBox werden Dir im durchschnittlichen Anwenderszenario kaum unter kommen.

 

[muesli]

Und nun: zurück zum Thema, bitte.

Mal eine ganz konkrete Frage, auf die ich keine Antwort (aber bei der Suche diesen Thread) gefunden habe: Wenn ich einer App Root-Rechte gib, bezieht sich das nur auf den Dateisystem-Zugriff, richtig? D.h. wenn die App nicht zusätzlich für mich sichtbar Internet-Zugang anfordert, kann sie nicht die Daten auf die sie zugreifen kann verschicken, kann auch keine Premium-SMS verschicken (wenn nicht der SMS-Versand explizit als Berechtigung gewährt wird) etc. Sehe ich das richtig oder bedeutet es, einer App Rootrechte zu geben, dass sie in allen Belangen "Narrenfreiheit" hat? Würde mich über eine kurze Aufklärung sehr freuen!

Danke und Grüße, Müsli

P.S.: Hier ganz legal besagter c't-Artikel. Allerdings hab ich beim Überfliegen den hier erwähnten Kommentar, den ich schon in der Printausgabe gelesen hab, nicht gefunden.

 

[Kranki]

Mal eine ganz konkrete Frage, auf die ich keine Antwort (aber bei der Suche diesen Thread) gefunden habe: Wenn ich einer App Root-Rechte gib, bezieht sich das nur auf den Dateisystem-Zugriff, richtig? D.h. wenn die App nicht zusätzlich für mich sichtbar Internet-Zugang anfordert, kann sie nicht die Daten auf die sie zugreifen kann verschicken, kann auch keine Premium-SMS verschicken (wenn nicht der SMS-Versand explizit als Berechtigung gewährt wird) etc. Sehe ich das richtig oder bedeutet es, einer App Rootrechte zu geben, dass sie in allen Belangen "Narrenfreiheit" hat? Würde mich über eine kurze Aufklärung sehr freuen!

Danke und Grüße, Müsli

P.S.: Hier ganz legal besagter c't-Artikel. Allerdings hab ich beim Überfliegen den hier erwähnten Kommentar, den ich schon in der Printausgabe gelesen hab, nicht gefunden.

Du kannst davon ausgehen, dass eine App mit root absolute Narrenfreiheit hat. Die API-Zugriffe sind zwar noch an das Permssion-System gebunden, aber die App braucht sich ja nicht auf die API beschränken. Es kann zum Beispiel auf den meisten Geräten problemlos eine App, die dann Premium-SMS verschickt, auf der System-Partition platziert werden oder Dateien über eine Konsolen-Binary hochgeladen werden.

 

[ALF-Berlin]

Ich fände ein bißchen mehr Aufklärung über die Sicherheit des Rootens und des Handys schon sinnvoll.

Also ich habe mein Handy mit dem Windows-Tool, das ich über xda Developers bei shortfuse.org gefunden habe gerootet.

Aber woher weiß ich, dass mein Superuser und meine wenigen Anwendungen mit Root-Rechten harmlos sind?

Mein Superuser und Titanium Backup haben Internet-Rechte, die ich ihnen mit DroidWall entzogen habe.

Aber nützt DroidWall wirklich was gegen den Superuser oder eine andere Anwendung mit Root und Internet-Rechten?

Mein Handy und Meine Daten sind aber auch ohne Root sehr gefährdet:

1. Durch Apps, die gleichzeitig auf wichtige Daten und Funktionen und aufs Internet zugreifen können.

2. Durch Diebstahl: Ich kann mein Handy ohne SIM bis zum Launcher und allen Apps und Daten durchstarten. Die Bidschirmsperre verschwindet mit 15 Minuten Neustarten und Rumhacken auf den Tasten. Den Rest erledigen dann WLAN und USB, falls ich als Dieb nicht schon mit den vorgefundenen Daten zufrieden bin. Und die Daten auf der SD-Karte sind sowieso überwiegend unverschlüsselt.

Kennt jemand 1. eine vernünftige Überwachungsmöglichkeit der App-Aktivitäten und 2. eine sichere PIN-Sperre des Handys gegen Starten und 3. Verschlüsselungsmöglichkeiten für die SD-Karte, sowas wie Truecrypt?

 

[Sin-H]

Kennt jemand 1. eine vernünftige Überwachungsmöglichkeit der App-Aktivitäten und 2. eine sichere PIN-Sperre des Handys gegen Starten und 3. Verschlüsselungsmöglichkeiten für die SD-Karte, sowas wie Truecrypt?

2. das konnte ich mal bei meinem Custom ROM auswählen, ob es ohne SIM-Karte überhaupt verwendbar sein soll. Wie das allgemein geht, keine Ahnung. Ich glaub die Funktion hieß "Provisionned"

3. ich hatte ja schon Probleme, eine auf extX formatierte SD Karte überhaupt zu verwenden, da wüsste ich nicht, wie das auch noch verschlüsselt gehen soll.

 

[Infostudent]

Alle fleissig Mails an die Entwickler von True Crypt schreiben, damit irgendwann eine Android-Version in Angriff genommen wird! Ich habe das schon gemacht; leider kam keine Antwort. Die CPU des AGS dürfte aber doch nicht das Problem darstellen, oder?

Auf manchem Handy liegen sicherlich mehr sensible Daten als auf dem PC desjenigen. Allein die Positionsdaten von Politikern und Wirtschaftsbossen könnten für Terroristen sehr wertvoll sein.

Unterm Strich geht es hier natürlich vorallem ums Vertrauen. Ohne den Quellcode Zeile für Zeile durchzugehen, kannst du niemals vollkommen sicher sein. Ich installiere deshalb auch nicht jede App. Bisher kam ich auch sehr gut ohne Rootrechte aus. Und von Custom-ROMs lasse ich mal grundsätzlich die Finger, das ist ein bisschen wie beim Übertakten. Um sicherzugehen, dass alles wirklich sicher und einwandfrei läuft müsste man eigentlich wochenlang testen. Dazu fehlt sowohl den Entciklern als auch mir die Zeit.

So lache ich mir immer einen ab, wenn sich hier jemand beschwert, dass er mit dem ROM xyz nicht mehr Telefonieren oder simsen kann.

Einen Tipp noch für dich: In der Zeitschrift werden regelmäßig Apps vorgestellt (in jedem der letzten Hefte war ein Artikel über Apps für bestimmte Zwecke). Und bei der c't achten sie auch immer auf die Sicherheit und untersuchen mittels Wireshark ob die App "nach Hause telefoniert".

 

[ALF-Berlin]

Das Hauptproblem sind bestimmt nicht die Apps mit Rootrechten, obwohl ich auch da sehr skeptisch bin.

Jedes App, das gleichzeitig das Recht zum Lesen (und erst recht Schreiben) von vertraulichen Daten hat und Internet-Recht, könnte hoch gefährlich sein. Und es gibt eine Menge davon im Market, zum Beispiel eine Reihe von Passwort-Verwaltungs-Apps, die Internet-Recht haben!

Von Vertrauen halte ich bei meinen hochsensiblen Daten nichts. Ich Suche nach Möglichkeiten, etwas mehr Sicherheit zu gewinnen. Als Root habe ich die DroidWall installiert und kann einzelnen Anwendungen den Internet-Zugang entziehen. Ich suche noch eine App, die die Aktivitäten von ausgewählten Apps oder in besonders sensiblen Bereichen überwacht.

Also lieber Infostudent, ich finde Deine Bedenken am Anfang dieses Threads berechtigt. Also hier sagt keiner, weshalb man einem Tool zum Rooten vertrauen sollte oder bestimmten Anwendungen mit Root-Rechten. Durch DroidWall fühle ich mich gegenüber den normalen Anwendungen sicherer und durch SuperUser gegenüber den Anwendungen mit Root-Recht. Aber weshalb mein SuperUser Internet-Recht braucht ist unklar. Vielleicht für Updates? Im Market gibt es auch noch den kommerziellen "Superuser Elite" ohne Internet-Recht, der aber nur selten heruntergeladen wurde.

Sobald eine Anwendung, zum Beispiel DroidWall oder ClockSync root-Rechte erhält, wenn auch vom SuperUser kontrolliert vorübergehend, kann sie doch alles machen, was sie will? oder Irre ich mich da? Oder gibt es da eine Kontrolle?

 

[ALF-Berlin]

Werden die Apps nicht von Google (Oder sonstwem) geprüft, bevor sie in den Market dürfen?

Also soweit ich weiß, prüft Google die Apps nicht händisch, sondern höchstens durch Software, die die Apps und User-Rückmeldungen überwacht und verdächtige Entwicklungen meldet.

Das ist so das typische Google Vorgehen. Google macht (möglichst) nichts von Hand, sondern schreibt nur Software. Der Vorteil ist, dass die Entwicklung viel schneller geht. Man stelle sich mal vor, dass Google alle Webseiten die in der Suchmaschine erscheinen per Hand überprüft.

 

[Thyrion]

Durch DroidWall fühle ich mich gegenüber den normalen Anwendungen sicherer und durch SuperUser gegenüber den Anwendungen mit Root-Recht.

Das ist aber beides eine Scheinsicherheit.

Denn:
Droidwall regelt den Verkehr für "normale" Anwendungen.
Superuser deckt bei dir die Apps ab, die Root-Rechte haben möchten.

Jede App mit Root-Rechten kann Droidwall umgehen.

Böswillige Apps nutz(t)en einen Exploit, um sich Root-Rechte (Stichwort: Dreamdroid) zu verschaffen (am SuperUser-App vorbei) -> Du bekommst es nicht mit, wiegst dich aber in Sicherheit.

Was du letztendlich erreichst: Die braven Apps hältst du in Zaum.

EDIT: In einem hast du aber Recht - viel zu viele Apps fordern Rechte ein, die sie eigentlich gar nicht benötigen (sollten).

EDIT 2: Und, wie eigentlich bei allen "sicheren" Systemen, die größte Lücke sitzt immer ca. 30 - 50 cm vor dem Display

 

[naturelle]

3. ich hatte ja schon Probleme, eine auf extX formatierte SD Karte überhaupt zu verwenden, da wüsste ich nicht, wie das auch noch verschlüsselt gehen soll.

Nicht können ist kein wirksamer Schutz.

 

[Infostudent]

Finde es sehr schön, dass hier nun doch eine Sicherheitsdiskussion stattfindet! Firewalls haben auch am PC das große Problem, dass man sie ohne Tachwissen leicht falsch konfiguriert.

Ich wette es dauert kein Jahr mehr bis wirkliche Schädlinge für Android auftauchen! Für die "Branche" viel lukrativer als.Botnetze.

Gesendet mit der Android-Hilfe.de-App

 

[Kranki]

Die Sicherheitsdiskussion hatten wir schon hundertmal.
Im Wesentlichen läuft es jedesmal darauf hinaus, dass man hauptsächlich aufpassen kann, was man installiert.