Copperhead OS - bezpečná distribuce Androida

Vyšla první alfa verze bezpečné distribuce Androida založené na CyanogenModu: Copperhead OS. Copperhead OS staví bezpečnost na první místo, je nezávislý na Google službách, má hardened kernel i userspace (PaX, ASLR, hardened Bionic libc, atd.), bude poskytovat pravidelné a rychlé bezpečnostní OTA updaty, podporuje secure boot s dm-verity, odděluje šifrovací heslo od hesla zámku obrazovky. Z telefonů je zatím podporován Google Nexus 5 a Samsung Galaxy S4.

23.8.2015 11:03 | xm | Zajímavý projekt

Komentáře

[Fluttershy, yay!]

Skloňování podle vzoru „pán“, nikoliv „hrad“?

I, for one, welcome our new Android overlords.

[L_l]

Taky mě to praštilo do očí.

[Atom321]

Android bez androida jako sněhulák bez sněhuláka

[Petr Tomášek]

Raději bez Androidu.

Sněhulák mi nevadí...

[bezradná]

debil bez debila,že ?

[xm]

Android je rod mužský životný, viz Jazyková poradna ÚJČ AV ČR, takže to mám správně :-P A je to naprosto přirozené, skloňovat to podle vzoru hrad mi přijde (jako člověku odchovanému science fiction ) naprosto mimo.

[tom]

Android ve smyslu SW se sklonuje nezivotne. Podobnych slov mame vic, treba ucha vs. usi.

[vitekpin]

uši jsou duál, pozůstatek staré češtiny, stejně jako oči atp... to nemá s životností nic společného

[L_l]

Díky za odkaz. Ten druhý pád jsem měl opravdu špatně. Nečekal jsem, že Android je rod životný.

[finn]

Pozor na to, android není totéž co Android. Takže já bych psal android bez androida, ale Android bez Androidu.

[Petr Tomášek]

To, že něco píše jakási jazyková poradna, ještě neznamená, že je to „správně“...

[Spike]

Naproti tomu linuxové portály jsou plné odborníků a autorit na jazyk, politiku, UX design...

Jakási Jazyková poradna je oficiální projekt ÚJČ AV. Mimochodem, ÚJČ se snaží popisovat jazyk tak, jak se používá, jen mu dává nějaký rámec a jakous takous konsistenci.

[pavlix]

ÚJČ se snaží popisovat jazyk tak, jak se používá

Přesně tak, pouze se snaží, a taky se snaží alespoň částečně určovat, jak se používat má.

[Spike]

Ano, slovo snaží jsem použil záměrně.

[Petr Tomášek]

Kdyby se „ústav“ snažil pouze popisovat jazyk, jak by se na dobré jazykozpytce slušelo, pak bych neřekl ani ḥ. Ale že se snaží hrát si na boha a vnucovat lidem, jak mají psát/mluvit, to nemá s jazykovědou (a s žádnou vědou) vůbec nic společného...

[Spike]

Čím podle tebe vnucuje lidem, jak mají psát/mluvit? Vydáváním slovníků a příruček? Nevšiml jsem si, že by se konal nějaký hon na někoho, kdo mluví „jinak“ (tedy kromě toho, že někteří laici vedou hospodské tlachy o tom, že středočeské nářečí je „pražština“, „správně“ se mluví na Moravě a podobné nesmysly), nebo by bylo zákonem vynucováno se řídit doporučeními ÚJČ AV.

Řekl bych, že preskriptivní lingvistika tu má své místo stejně jako ta deskriptivní. Proč to podle tebe nemá s (jazyko)vědou nic společného?

[Petr Tomášek]

Řekl bych, že preskriptivní lingvistika tu má své místo stejně jako ta deskriptivní. Proč to podle tebe nemá s (jazyko)vědou nic společného?

Nedá se falzifikovat. A mimoto je to píčovina někomu přikazovat jak má či nemá psát (mluvit)...

[mica]

Když někdo soudí, že přikazovat, jak se má psát a mluvit, je píčovina, nelze se pak divit, že se sám vyjadřuje jako píča. (Pardon za ty výrazy.) A vůbec, pište k věci.

[Spike]

Ach tak… Skutečně nedá? Platí to pro všechny podobory lingvistiky? Platí to pro všechny humanitní vědy? Zatím se zdá, že převažující názor je, že o vědy jde. Chápu, že lidé z přírodních/technických oborů, navíc pokud mají nějaku formu ASD, to třeba vidí jinak…

Přikazovat někomu, jak má, či nemá mluvit, třeba píčovina je. Naštěstí to u nás nikdo (natožpak ÚJČ AV) nikomu nepřikazuje (na rozdíl od jiných států nemáme jazykový zákon).

Je kodifikovaný nějaký spisovný jazyk, ten se učí na školách jako společný dorozumívací prostředek, mají jej používat úřady v oficiální komunikaci, aby si všichni rozuměli, ale nepřijde mi, že by někdo perzekvoval nějakého hypotetického dědu, kteří přijde na úřad v cizím městě a spustí svým nářečím z druhého konce republiky. Rád si ale o nějakých případech přečtu.

Tuším, že v tomhle se příliš nelišíme od Německa, kde také kdekdo bez problémů soukromě mluví svým rodným nářečím, ale zároveň se učí a používá Hochdeutsch (resp. Standarddeutsch).

[Petr Tomášek]

Ach tak… Skutečně nedá?

Ne, skutečně. „Předepisovat“ nebo „kodifikovat“ je dle běžných definicí vědy čiností zhola nevědeckou.

Platí to pro všechny podobory lingvistiky?

Ovšemže.

Platí to pro všechny humanitní vědy?

Pochopitelně. Platí to dokonce (navzdory rozšířeným předsudkům) i o takové teologii.

Zatím se zdá, že převažující názor je, že o vědy jde.

Dokud se drží svého kopyta (popisovat, interpretovat a diskutovat), tak to vědy jsou. Jakmile začnou „předepisovat“, stávají se z nich automaticky pseudovědy.

Chápu, že lidé z přírodních/technických oborů, navíc pokud mají nějaku formu ASD, to třeba vidí jinak…

Tvoje předpoklady jsou mylné.

Přikazovat někomu, jak má, či nemá mluvit, třeba píčovina je. Naštěstí to u nás nikdo (natožpak ÚJČ AV) nikomu nepřikazuje (na rozdíl od jiných států nemáme jazykový zákon).

Ve svém důsledku je to jedno. „Ústav“ si hraje na to, že spolknul všechnu moudrost a snaží se všem „předepisovat, co je správně“. Jediné, k čemu jsou „pravidla“ jakž takž dobrá, je jako pedagogická pomůcka. Ale je bláhové se domnívat, že by se bez nich (a bez škol) lidi nedokázali domluvit.

Je kodifikovaný nějaký spisovný jazyk, ten se učí na školách jako společný dorozumívací prostředek, mají jej používat úřady v oficiální komunikaci, aby si všichni rozuměli,

Což je pěkná blbost, protože oni by si lidi rozumněli i bez jakýchkoliv „pravidel“ a jakýchkoliv „ústavů“. Jen by jazyková realita byla o trošku pestřejší. Ale oni už v jazyce / ve společnosti / v mozku existují přirozené mechanismy, díky nimž se lidi vždy naučí dorozumnět, když je to potřeba. Bez žádných hloupých oficiálních „pravidel“.

ale nepřijde mi, že by někdo perzekvoval nějakého hypotetického dědu, kteří přijde na úřad v cizím městě a spustí svým nářečím z druhého konce republiky. Rád si ale o nějakých případech přečtu.Tuším, že v tomhle se příliš nelišíme od Německa, kde také kdekdo bez problémů soukromě mluví svým rodným nářečím, ale zároveň se učí a používá Hochdeutsch (resp. Standarddeutsch).

Právě to zrovna není pravda. V Německu jsou oblasti, kde se v minulé a předminulé generaci některé dialekty téměř vytratily, protože existoval tak velký sociální nátlak na jejich mluvčí (byli považování za méněcenné). Teprve v posledních tak ca. 20-25 letech existuje snaha tyto dialekty rehabilitovat - např. pořádáním divadla či bohoslužeb nebo vydáváním knih (ano, a přitom pro tyto dialekty neexistují žádná státem vynucená „pravidla pravopisu“ a přitom není problém vydávat knihy a pro lidi není problém tyto knihy číst a rozumnět jim!)

[pavlix]

Pokud si dobře pamatuju, tak stejná jazyková poradna, která má životného Androida, trvala na neživotných klientech, není to přinejmenším nekonzistentní?

[pavlix]

Teď jsem si rozklikl odkaz a o skloňování Androida tam vůbec nic není, pouze androida, tudíž tvrzení, že je to podložené ÚJČ byl kec.

[bezradná]

nikoli,podle vzoru kuře

[Ilfirin]

Vždycky žeru, jak nejvíce podporované modely jsou ty, jejichž majitelé touží po alternativních ROM nejméně.

[xm]

Já bych to viděl jinak - pokud budu chtít bezpečný smartphone, prostě si pořídím takový, který je podporovaný Copperhead OS.

Důvod proč jsou zatím podporované jen Nexus 5 a Galaxy S4 je jednoduchý - jsou to jediné dva telefony, pro které vývojáři portovali PaX na jejich device-specific kernely. Ono to je přímo gargantuovské úsilí, přečtěte si ty linkované blogposty, vývojáři Copperhead OS jsou fakt machři a mají mou obrovskou úctu.

[Petr Tomášek]

Já bych to viděl jinak - pokud budu chtít bezpečný smartphone, prostě si pořídím takový, který je podporovaný Copperhead OS.

Pokud budu chtít bezpečný smartfoun, taxi hlavně pořídím takový, o kterém vím, co je uvnitř a můžu si na něj nainstalovat, co chci. Takže kdyby GTv05 nebylo tak příšerně drahý a zastaralý, taxi pořídím to...

[Vantomas]

Mě už třeba jiná zařízení než Nexus do baráku nesmí a beztak používám alternativní ROM protože jsou prostě nějaké věci, které v čistém Androidu chybí a složitě se dohackovávají... A teď jsem třeba dvoum uživatelům Samsungu flashoval Cyanogenmod protože Samsung dofušoval Exchange services a jako bonus jim ty omalovánky vůbec nechybí.

[L_l]

Jenom jestli není Replicant lepší...

[xm]

Replicant není nijak hardened, tam je bezpečnost prakticky stejná jako na AOSP (minus některé proprietární drivery, atp.). Autoři Copperhead OS investovali do jeho hardeningu (má to slovo nějaký vhodný český ekvivalent?) naprosto _gigantické_ úsilí. Stačí si přečíst ty linkované blogposty, portovat GRSecurity/PaX na Android není žádná sranda (plus ty úpravy Bionic libc, vylepšení SELinux policy, atp.).

Další obrovské plus je že Copperhead OS staví na CyanogenModu a ne přímo na čistém AOSP. Spousta vylepšení v CyanogenModu stojí opravdu za to (plus často CM opravuje security bugy rychleji než originální AOSP).

[xm]

Navíc Replicant zaspal tuším na předpotopní verzi 4.2, ta je dnes už zastaralá až běda, to už i výrobci zprznění Androidi jsou dnes modernější Security vylepšení v Androidu 4.4, 5.0 a pak 5.1 jsou opravdu hodně významná (SELinux, PIE, atd.). A Copperhead OS (tak jako CyanogenMod) je na nejnovější verzí 5.1.1.

[L_l]

Díky za vysvětlení. Stejně si všímám, že fully free distra (mobily, desktopy) jedou povětšinou na nějakém tom starším základu.

Ale SELinux je opravdu taková výhra? Co je mi známo, tak jej využívá jen několik GNU/linuxových distribucí jako třeba Red Hat/Cent OS a Korora.

[xm]

Ano, je to velká výhra. V okamžiku, kdy už nějaký exploit dokáže probít hardening v podobě GRSecurity/PaXu a dalších vylepšení, tak je pořád velká šance, že přes (dobře nakonfigurovaný) SELinux se útočník nedostane. Nemusí to tedy nutně být SELinux, klidně i jiný MAC (např. v GRSecurity obsažený RBAC), ale SELinux je asi nejvíc flexibilní a hlavně v Androidu je (hlavně od verze 5.0) již velmi solidně integrovaný.

[Adam Pribyl]

Ano, ono skrz selinux se mnohdy nedostane clovek ani kdyz potrebuje a muze...

[pavele]

Proto také všechny návody začínají:

1. Vypněte selinux

2. .......

[pk]

Pripada mi to jako zbytecna prace, kdyz v podstate vsem telefonum vladne jejich baseband os.

[xm]

Zdaleka ne u všech smartphonů má baseband firmware DMA přístup do paměti hlavního OS. Pravda netuším jak je to zrovna v případě Nexus 5 a Galaxy S4 (zkusím někde zjistit).

Dále také faktem je, že ke zneužití baseband firmwaru má přístup možná tak NSA (a tuto schopnost si chrání). Podle všeho co se ví, tak i třeba FBI (a policejní složky různých států) je nucená zneužívat klasické exploity, do basebandu se nedostanou.

[xm]

A třeba známý "baseband backdoor" v Samsung telefonech ve skutečnosti nebyl přímo v basebandu, ale v proprietárním programu, který běžel pod Androidem a obstarával komunikaci s modemem. Bez tohoto programu se útočník skrz baseband nikam nedostal. Viz: Replicant developers find and close Samsung Galaxy backdoor

[pk]

Zdaleka ne u všech smartphonů má baseband firmware DMA přístup do paměti hlavního OS. Pravda netuším jak je to zrovna v případě Nexus 5 a Galaxy S4 (zkusím někde zjistit).

Muzes nejake jmenovat? Co ja vim, tak se o to pokusil Freerunner GTA02,GTA04 a pry Neo900(schema jsem nestudoval). Jedno ma zabugovane OS, druhe je na me uz prilis drahe.

Bylo by hezke, kdyby muj Nexus5 mel oddeleny baseband od AP, ale kde se k takove informaci dostat?

[Petr Tomášek]

No, ono jde hlavně o to, že GTA* (Neo900 je vlastně jen varianta GTAv05) jsou tak malí, že musejí mít v telefonu samostatný GSM/3G modul. Což telefon prodražuje. Velcí hráči proto raději mají GSM/3G/LTE část integrovanou přímo do telefonu - což zvyšuje jednorázové náklady (nutnost certifikace rádiové části), ale snižuje náklady na jeden výrobek...

[pk]

Certifikovany GSM modul stoji od cca 50$. V tom bych duvod premrstene ceny nehledal.

[Petr Tomášek]

I kdyby mohli ušetřit 10$ na kusu, tak to velcí výrobci udělají...

[Václav "Darm" Novák]

Ještě PiPhone :)

[pk]

PiPhone ma jen jeden problem. Headset, resp. mikrofon a sluchatka vedou primo do GSM modulu. Tudiz je uspokojive vyresen jen pristup basebandu k ram.

Stejny problem ma i ArduinoPhone a (muj favorit) DIY Cellphone (http://diy-devices.com/devices/cellphone/).

[xm]

Jaký to má důvod? Vždyť přeci funguje u telefonů např. Bluetooth headset, tak to nemůže být nějaký pevný požadavek GSM modulů a audio in/out tam musí jít posílat i nějak nepřímo. Nebo to je prostě omezení těchto konkrétních?

Každopádně já osobně bych to řešil tak, že GSM/3G/LTE modul by byl čistě datový a telefonovalo by se jen přes VoIP. Alespoň by tam rovnou ve výchozí telefonní aplikaci mohlo být naimplementované ZRTP šifrování. Přenos hlasu mimo IP je staromódní přežitek

[xm]

Ostatně tyhle problémy s basebandem se při použití VoIP dají pak řešit pomocí security-by-isolation. Buď budu mít externí GSM/3G/LTE modem s integrovaným wifi hotspotem (např. něco takového) a k němu se budu připojovat z wifi-only tabletu se zabezpečeným Androidem, nebo k němu připojím napevno nějaký USB modem (či ho přímo integruju do nějaké společné kastle).

[pk]

Duvodem je, ze autori nejsou tak paranoidni jako mi a proste to neresi

Nosit s sebou (a napajet) dalsi krabicku? Dekuju pekne.

[Václav "Darm" Novák]

Čemu to vadí? Že je teoreticky možné odposlouchávat pres GSM modul i když se nevolá? To se dá řešit HW vypínačem u mikrofonu :)

[pk]

Ano, to se da. Jenze clovek je bytost zapometliva Radeji bych to videl resene ponekud systemoveji.

[Václav "Darm" Novák]

Co takhle propojit to se zvukovkou na desce a posílat přes ni zvuk do vstupu v modulu? :) Pokud zrovna nevolám, obslužný program ztiší mikrofonní vstup zvukovky a je po problémech.

[Fluttershy, yay!]

…nebo naopak, na vysílačce se taky obvykle musí držet/mačkat, aby vůbec šlo mluvit. (BTW PTT pro mobily tu bylo před deseti lety.)

[Jendа]

Že i když voláš přes ZRTP, modem má pořád přístup k mikrofonu. Takže spíš než vypínač chceš přepínač :)

[Jendа]

To se vyřeší USB zvukovkou. Nebo se na baseband vykašleš a budeš mít VoIP přes data, protože jiná možnost jak telefonovat šifrovaně stejně není.

Problém RPi je ale neexistující power management. Komerční uzavřená řešení s dokripleným Linuxem vydrží na 5Wh baterku klidně měsíc, ale rozumnou desku s power managementem jsem nenašel.

[xm]

Třeba v MediaTek SoC (např. MT6589/6582) je aplikační procesor nadřazen baseband procesoru a může vymezit oblasti paměti, do kterých se baseband smí dostat (mimo jiné se aplikační procesor stará i o naloadování firmwaru do baseband procesoru). Viz třeba tady.

[xm]

Dále co jsem vyčetl v některých Replicant diskuzích, tak třeba v Samsung Galaxy S2 a Google Galaxy Nexus nemá baseband přístup do hlavní paměti (s aplikačním procesorem komunikuje přes sériovou HSIC linku). Ale ověřené to odnikud nemám.