Dotaz: Prístup ku súborom Android 11

[Vlado99]

Prešiel som z Androidu 8.1 na Android 11. Mám zálohovanie riešené skriptami cez ssh a rsync. Na Androide spúšťam SSHelper. Po prechode na Android 11 SSHelper, resp. utility, ktoré používa, nemajú prístup do niektorých častí súborového systému, napr. /storage/emulated/0/Android/obb/. Podobne sa správa napr. aj Termux. Ale napr. taký Total Commander sa do obb dostane, dokonca tam môže aj zapisovať. P. lutus, autor SSHelper-a, píše niečo o tom, že "...some changes have been made in Android 10 that will destroy the fundamental principles on which this application is built...", a v podobnom zmysle, že sa jedná o neprekonateľnú prekážku, sa vyjadril aj niekto za Termux. Ja vnútornostiam Androidu moc nerozumiem. Mohol by mi, prosím, niekto vysvetliť, prečo majú problém SSHelper a Termux, ale Total Commander normálne funguje?

P.S.: Existuje iná aplikácia, ktorá poskytuje SSH a rsync a nie je obmedzená na Andriode 11? (Hľadal som, ale nenašiel).

Odpovědi

[X]

Od Android 11 uz to proste nejde:

Apps that target Android 11 (API level 30) and use Storage Access Framework will no longer be able to grant access to directories, such as the root directory of the SD card and the Download directory. Regardless of target SDK, Storage Access Framework on Android 11 cannot be used to gain access to Android/data and Android/obb directories.

source

[Vlado99]

Zjavne to nejako ide, keď to Total Commander dokáže. Alebo mi niečo uniká?

[jiwopene]

Je tam napsáno „Apps that target…“, tzn. mají v manifestu target API ≥30. Systém by měl aplikaci přístup k FS umožnit, pokud má target API nižší. Na Androidu je to způsob jak donutit vývojáře přestat používat stará API a i tak zachovat kompatibilitu – „přestanete přistupovat k FS nebo Vám nedáme přístup k novému API“ (ono to tedy jde, ale komplikovaněji).

[Vlado99]

< manifest xmlns:android="http://schemas.android.com/apk/res/android" android:compileSdkVersion="29" android:compileSdkVersionCodename="10" android:installLocation="auto" android:label="@string/app_name" package="com.ghisler.android.TotalCommander" platformBuildVersionCode="29" platformBuildVersionName="10">

a

< manifest xmlns:android="http://schemas.android.com/apk/res/android" android:compileSdkVersion="28" android:compileSdkVersionCodename="9" package="com.arachnoid.sshelper" platformBuildVersionCode="28" platformBuildVersionName="9">

[jiwopene]

Nabízí se jedna zjevná možnost: Rootnutý telefon.

[k3dAR]

S rootnotim, resp. pak s jeho moznostma to asi zacne/zacina byt komplikovanejsi...
Vcera sem aktualizoval Magisk na 24(.1) a zjistil sem ze zmizela cast MagiskHide, zmizela podpora (hledat/instalace/aktualizace) Magisks modulu z repositare...
a co sem pak k tomu nasel bylo to ze autor Magisk to odstranil, a i kdyz psal ze ne, tak to nejspis souvisi s tim ze zacal pracovat v Google v oddeleni zabezpeceni Androidu, kde mimo jine resi ochranu/detekci rootovani
sice prichazi 21.x s Zygist a Dennylist ktere jestli chapu je mozna nahrada MagiskHide, ale bud tim ze je to zatim beta, nebo nevim, zapnout v seznamu vse a GooglePay treba stale hlasi ze je rootnotu a nepujde...

[Petr Fiedler]

... ze zacal pracovat v Google v oddeleni zabezpeceni Androidu, kde mimo jine resi ochranu/detekci rootovani

[Jendа]

Mně to přijde úplně neuvěřitelné a nevím kde hledat dokumentaci jak to funguje, můžeš zkusit shrnout (třeba odkazy) jak funguje "rootnutí", jeho detekce, a proč je takový problém tu detekci ošálit?

[X]

Trolling? https://en.wikipedia.org/wiki/Rooting_(Android)

[Jendа]

Tam není technický popis, řekněme cílený na pokročilého sysadmina normálního Linuxu který ale nemá žádné zkušenosti s Androidem.

[jiwopene]

Zkráceně a trochu zjednodušeně:

Soubory a aplikace na Androidu stručně: Pod Androidem aplikace běží každá pod svým uživatelským účtem (tj. má své UID, účty se jmenují nějak jako u0_a42 – uživ. 0, aplikace 42). Je používán SELinux (snad od Androidu verze cca 4.4) pro omezení přístupu aplikací k HW, souborům jiných aplikací, zápisu do „externího“/sdíleného/„/sdcard“ úložiště (dnes ne nutně SD karta – prostě FS, kam mají aplikace přístup) atd. „Správné“ rozhraní pro meziprocesovou komunikaci je skrz Javovské API – intenty (tj. co spustit + parametry) apod. Klasické Linuxové rozhraní funguje, s tím, že někde od Androidu 5 existuje Storage Access Framework (SAF), který poskytuje abstrakci nad FS – něco a způsob GVfs (soubory nejsou nutně na zařízení, jiná aplikace může obstarávat přístup).

Do /data a podadresářů jsou přimountovány FS pro jednotlivé aplikace – /data/data/org.example.app (private data aplikace), /data/app/… (balíčky), /data/local/tmp (systémové tmp).

Pak máme sdílená úložiště – interní (překvapivě /sdcard, dnes spíše /storage/emulated/0) a další přimountované typicky někam do /storage. Tam mají aplikace read-only přístup (do Androidu 11?) bez jakýchkoliv oprávnění (nikoliv ta linuxová, ta jsou určena manifestem, u novějších systémů aplikace nemusí mít všechny od instalace a žádá až za běhu). Pro zápis je nutné oprávnění (tj. schválí uživatel při instalaci nebo za běhu). V podadresáři Android/ mají aplikace další podadresáře pro data, kam mohou aplikace vzájemně přistupovat. Aplikace má přístup pro zápis do svého podadresáře. Pak je Android/obb/, kam se mohou dostáhnout další bloby z Google Play při instalaci (až 2 na aplikaci), které jsou oddělené od balíčku (APK).

Proč „rootovat“? Uživatel nemá na Androidu přístup ke všemu – se systémem muže interagovat jenom prostřednictvím aplikací, které nemohou všude. Snad největší možnosti má uživatel s ADB (Android Debugging Bridge, zpravidla po USB kabelu), kdy může běžet pod uživatelem shell (dříve i pod rootem), ale i ten nesmí moc sahat na systém (read-only až žádný přístup) a nemá přístup k /data/data (privátní data aplikací), pokud aplikace není verze k debugování. Do Androidu 10 bylo možné vytvořit zálohu včetně privátních dat přes ADB, teď už ne. Rootnutí znamená zjednodušeně to, že uživatel dostane přístup k rootovským oprávněním (přes ADB, nebo se nainstaluje su, které umožní aplikaci spouštět příkazy pod rootem, zpravidla se souhlasem uživatele – à la kdesu). Zpravidla tu trochu zavází SELinux. Možností je několik – zranitelnosti SW (tj. z user-spacu), nahrání vlastního systému bootloaderem nebo úprava systému přes ADB sideload (to dělá recovery, tedy program, který je možné spustit při bootování nebo přes ADB a umožňuje například smazat data nebo přeinstalovat systém) nebo i výměna bootloaderu. Ne každý výrobce to chce uživateli zrovna usnadnit – někde můžete „odemknout bootloader“ (umožnit instalaci nepodepsaného SW) přes USB kabel, jinde chce telefon heslo (pro každý kus samozřejmě jiné) nebo někde je propojka na desce. Často, zejména u starších verzí, pomůžou neopravené chyby v OS. Dříve to bývalo snazší – uživatel měl rootovská oprávnění s ADB už od výroby.

[Jendа]

OK, díky, dost z toho už jsem tak nějak tušil, ale dobře to ujasnilo. Nicméně mi není jasné, jak fungují ty tanečky kolem skrývání rootnutí před aplikacemi - ty věci kolem Magisku a tak. Chápu, že aplikace se může zeptat nějakého API (to jí ale bude lhát), nebo může hledat na filesystému suidnutou binárku su (to ale jednak moc nesouhlasí s popsaným izolováním aplikací, jednak jí to můžu tak jako tak skrýt, ať už dočasným odlitím někam jinam, nebo v nejhorším hooknutím syscallů na čtení adresářů).

[jiwopene]

Můžete to různě schovávat.

Aplikace může, (nepletu-li se, bez jakéhokoliv oprávnění) získat seznam jiných aplikací, do /system/bin vidí. SUIDnutá binárka su tam je snad i v běžné instalaci Androidu, ale SELinux její spuštění neumožní, nebo tak nějak. (Pak máme ještě run-as, který slouží ke spuštění pod UID jiné aplikace, ale ten sám o sobě má omezení jen na debugovatelné aplikace.) U typického rootnutí máte k su ještě aplikace pro nastavování apod.

[marbu]

Takže je to tak, že "rootnutí androidu" ve výsledku nainstaluje vlastní verzi su a pak aplikace, které pro určitou funkcionalitu vyžadují root oprávnění, prostě čekají že je přes su dostanou?

[jiwopene]

Ano. (Pak je možnost mít přístup na roota jen přes ADB, takže aplikace su nepoužívají, ale je možné spustit přes USB kabel shell pod rootem, např. pro zálohování.)

[jiwopene]

Kromě vhodné SUID binárky jde také o vypnutí/přenastavení SELinuxu, protože pokud by běžel tak, jak je nakonfigurován na Androidu, spustit něco pod rootem by Vám moc nepomohlo.

[Petr Fiedler]

... a proč je takový problém tu detekci ošálit?

Nevím, co má tazatel za mobil, ale já jsem byl před pár dny v SAMSUNGU a prodavač mi tam řekl, že pokud rootnu nový model, tak se v něm přepálí nějaký drátek v něčem někde, nebo tak něco a v servisu to potom poznají. Samozřejmě i to by šlo řešit, ale už to vyžaduje nějaké znalosti, zkušenosti a vybavení.

Jo a další problém je, že ten telefon je slisovaný, takže si ani nevyměníš baterii. Pokud bys jej nějak rozdělal, abys řešil ten drátek, tak by pak byl docela problém jej znovu spojit tak, aby to v servisu nepoznali.

[billgates]

Ten "drotik" je eFuse priamo v procesore a pri kazdom update firmwaru sa prepaluje dalsi a dalsi, aby sa nebolo mozne vratit k starsej verzii firmwaru, ktora ma napriklad zname zranitelnosti. Rovnako to funguje uz velmi dlho na hernych konzolach a inej technike. Proste updatnes firmware na istu verziu (napriklad 5.x), tak sa prepali 5 "drotikov" a uz do zariadenia nedas starsiu verziu nez 5 (duckduckgo "firmware fuse"). Rovnako nabootujes do systemu bez digitalneho podpisu, tak sa prepali eFuse a uz sa to neda zvratit. Kazdy uvidi, ze si kriminalnik :)

Tych eFuse moze byt priamo v procesore alebo akomkolvek inom IC kludne stovky a vsetky mozu mat iny vyznam. Napriklad moze byt eFuse, ktora sa prepali, ak interna vlhkost presiahne 90% alebo okamzite zrychlenie presiahne 50 G.

[Petr Fiedler]

VELICE děkuji za vysvětlení. Podívám se na to.

Jsem rád, že taky používáš DuckDuckGO.

[Vlado99]

Root teraz nepripadá do úvahy, je to fungl nový telefón, nechcem prísť o záruku.

[Michal]

S Androidem to jde s kopce už ani svoje data nevlastní člověk. Snad se pro nás Linuxáky doladi Pine Phone apod. Ani me nebude vadit, že toho nebude tolik umět. Hlavně, když nebude omezený jako Android a iOS.

[Jendа]

Jenže ty nepotřebuješ alternativu (už teď můžeš nosit nějaký subnotebook s normálním Linuxem a na volání mít tlačítkovou Nokii), ty potřebuješ specificky Android, protože čím dál tím víc služeb ve světě je podmíněno spouštěním Android/iOS-only aplikace.

[Petr Fiedler]

Přesně. Proto si teď budu kupovat další mobil. Na stávajícím mám LineageOS. Z něj budu volat, psát sms, mít v něm data atp. Ten druhý mobil budu používat tam, kde to bude nezbytné. Zatím to vidím tak, že bude ležet doma a ty věci budu řešit z domu. Pokud se časem ukáže, že jej budu potřebovat mít u sebe, tak holt budu nosit 2 founy. Co naděláš?