F-Droid 1.0 (diskuse)

[uzivatelmiru]

Nedavno jsem nekde cetl, ze takoveto android story jsou plne malware. Jak je to v tomto pripade? Chapu argument open source, nicmene nekdo to musi overit. Pouziva f-droid nejaky duveryhodny zpusob buildovani ci prispivani aplikacema?

[Cabrón]

Je tam větší důraz na odpovědnost a due dilligence obou uživatelů.

[2017]

F-Droid pry lpi na overitelnych/reprodukovatelnych buildech. I kvuli tomu nebyl/neni v jejich repozitarich napr. Signal, ktery ac opensource, zavisi na Google binarnich knihovnach (ted z hlavy nevim presny detail - myslim ze to bylo komunikacni API pres store/play nebo co).

Samozrejme tezko overite strukturu tymu za FDroid, tezko overite zabezpeceni jejich systemu buildu, distribuce a uchovani soukromych klicu. Nadruhou stranu, o tom kdo ma pristup ke klicum u Google/M$/Apple/[pick_your_poison] vime take prd.

[hydrandt]

Ne, tam byl problem s zadosti autoru, aby build Signalu z F-Droidu stahli. Nelibi se jim, ze uzivatele fdroidu musi povolit instalaci apk z neoverenych zdroju, a nemoznost vynutit aktualizaci. Coz je sice pro me k nasrani, vzhledem k cilove skupine uzivatelu fdroidu, na druhou stranu vidim, ceho se snazi dosahnout (opravdu bezpecna platforma), tak to dovedu pochopit...

Drive Signal vyzadoval Google Cloud Messaging, ted uz funguje i bez nej.

[Mike]

F-Droid není o nic méně důvěryhodný, než třeba repozitáře Debianu.

[Peter Golis]

Ak sa smiem spýtať, kde to písali? Alebo to len tak?

[OldFrog {Ondra Nemecek}]

Pro šíření malware by to asi nebyla moc efektivní platforma, vzhledem k menší rozšířenosti. Pokud navíc dělá F-Droid reprodukovatelné buildy, pak jediná šance, jak tam nějaký malware distat, je udělat to veřejně, tj. kdokoli by kouknul do zdrojáku by ho mohl vystopovat (což ale nemusí býl triviální).

Takže z principu existují spíš důvody F-Droidu důvěřovqt, než naopak. Ideální by ale byl samozřejmě nějaký nezávislý audit

[Kate]

Jediný možný problém který vidím je, že uživatel musí zapnout instalaci z neověřených zdrojů. Což je v pohodě pro majoritu uživatelů f-droid, ale dělá to z něj ne zcela vhodnou platformu pro laiky - ne kvůli f-droidu jako takovému, ale laik má pak větší šanci „nechtěně“ nainstalovat nějakou breberku která na něj vyskočí někde na webu.

[Jezekus]

Na to je dobré F-Droid Privileged Extension, pak je možné vypnout instalaci z neznámých zdrojů a zároveň zapnout automatické aktualizace.

Bohužel není pro BFU bez možnosti flashe.