Чем опасны кастомные прошивки и рут права?

Question

[rettub]

Где-то вычитал что трубки с рут правами уязвимы. С них легко украсть пароли / взломать. В частности приложение Сбербанка предупреждает перед установкой что "у вас рут права". Хочу установить менеджер паролей на трубку с кастомной прошивкой и рут-правами, боюсь. Безопасно это или нет? Что говорят специалисты? Спасибо!

Answer 1

[Smithson]

Права рута позволяют вам (именно вам и прежде всего вам) иметь полный контроль над устройством.
Опасны они прежде всего для производителей андроида и телефона, потому что имея рут, вы можете удалить их рекламные сранки с вашего телефона и даже запретить всемогущему гуглу следить за вами. А это уже покушение на основы.
По поводу ПО - каждое ПО, которому нужен рут, будет его у вас запрашивать. И ваше личное дело - разрешить или нет конкретной программе иметь рут-доступ к телефону. И разрешить его навсегда или на 10-15 минут (на один запуск), а потом пусть снова просит.
По большому счету, рут на андроиде нужен для Titanium Backup (установка-удаление, бакап-восстановление приложений), AdAway (блокировщик рекламы) и firewall (разделение доступа к сети, вам же не надо, чтобы за ваш счет по медленному и дорогому 3g какая-нибудь гадость качала вам рекламу? Или сливала ваши фотки в АНБ?). Еще иногда рут нужен программам по исправлению косяков (для вашего удобства!) в андроиде, например, которые открывают запись на SD-карту. Но им он обычно нужен разово. Все остальные перетопчутся.
Насчет доступа к вашим данным. На андроиде есть такое понятие, как разрешения. Вот в них (вы их видите, когда устанавливаете программу) и прописано, что приложение может делать, а что нет. И наличие у этого приложения рут-доступа ничего тут не поменяет. Есть у него в разрешениях отправка смс или звонки - может звонить и отправлять, не взирая, есть у него рут-доступ или нет. Нету такого разрешения - не может звонить и отправлять.

И про менеджер паролей - конечно ставьте! Не важно, рутован ваш телефон или нет, это на перехват паролей мало влияет. Зато сторонние клавиатуры (да и родная) могут и видят всё, что вы набираете и могут сливать это в инет. Опять же вне зависимости от того, есть рут или нет. Зато если есть firewall (а ему нужен рут) и клавиатуре доступ в инет закрыт - вот тут можно спать чуть спокойнее.

Comments

[Артемий]

Полностью согласен насчет root, кроме TB, firewall и т.п. есть еще много применений, где требуется root. Прежде всего, надо понимать для чего он вам и как это дело контролировать, как давать и отбирать разрешения. Можно получить root и запретить всем приложениям использовать его возможности. Те же яйца, что были до root, только в профиль.
Сбербанк просто перестраховывается, по мне, если быть последовательным, так они должны и на сайте онлайнбанка писать: "Вы зашли с IE(chrome и т.п.) под Windows без Касперского (trendmicro, симантек и т.п.) - Ваши возможности будут ограничены!" ))
Насчет кастомных прошивок немного сложнее, в прошивку даже без root можно внедрить много чего интересного, поэтому необходимо выбирать проверенные прошивки и не ставить неизвестные.
Насчет менеджера паролей, тоже есть нюансы, независимо от кастомных прошивок и root доступа. Что за менеджер, открытое или проприетарное приложение и т. п. Какой алгоритм шифрации, какой способ подстановки паролей.
Кастомная прошивка и root доступ это просто инструмент, в неопытных руках может дать доступ всем ко всему. Чтобы ограничить простого пользователя от необдуманных и неквалифицированных решений производители стараются ограничить этого пользователя в правах, ибо нефиг.

Answer 2

[Дмитрий]

Приложение имеющее рут-права может вмешиваться в работу любого другого приложения, модифицировать любые файлы на устройстве. В кастомную прошивку может быть внедрен какой-нибудь кейлогер или другой функционал, использующий уязвимости софта. Если с прошивками заморачиваются довольно редко, то с рутом ситуация немного другая. Многие пользователи, получают рута сомнительными способами или вообще никак не ограничивают права после их получения. Таким образом рут-доступ может получить не только одно конкретное приложение, но вообще все.
Такое происходит не часто, но тем не менее случается.
Лично у меня ни разу не было потребности в root доступе на основном устройстве. Только когда экспериментировал со старыми устройствами, на которых не было никаких важных данных.

Comments

[Александр Попов]

У меня потребность в root доступе была, и ещё какая. Без него не удалить предустановленный производителем софт, например. Для SonyEricsson Pro, например (где всего 512 Мб встроенной памяти на всё про всё) это возможность удалить McAffee Security и Moxier (почтовая программа), что освобождает кучу места. Не говоря уже о возможности удалять системные компоненты, принудительно ставить любимую версию Google Play, полноценно использовать Titanium Backup со всеми его возможностями, и прочее, и прочее.

На более новых трубках без рута тоже удаляется далеко не всё, к слову.

[Дмитрий]

Александр Попов: Да, малое количество пямяти - это проблема. Однако, если все обстоит не очень плохо и памяти хватает, в большинстве случаев можно просто отключить предустановленные приложения и удалить все обновления для них без получения рута.
Моя основная мысль - проверять метод которым достигается root доступ + избавиться от него как только такая потребность отпадает.

Answer 3

[xmoonlight]

Вротмненоги! Менеджер паролей на мобилу с рутом!
Тогда уж сразу создайте сайт со страницей своих паролей в интернете.
После этого, относитесь к этой ситуации так, будто весь интернет стал изучать Ваши пароли.
Даже используя двухфакторную аутентификацию уже нельзя будет контролировать доступ, т.к. после того, как Вы предоставите его себе (даже конкретно для этой мобилы), Вы предоставите его также и для всех программ и сервисов, установленных/работающих на ней.
Хотите рут - проще использовать два устройства: рабочее - для паролей, и "помойку" - где есть полный рут, для разных опытов и тестов.

Comments

[Александр Попов]

Неужели так велика вероятность поставить приложение со сканером файлов? Оно ведь ещё и формат базы данных с паролями должно знать, и мастер-пароль тоже (база обычно шифруется). Вы сейчас запугаете человека до смерти, а на самом деле зря, я уже два с лишним года живу с рутом, и всё окей (правда, пароли на смартфоне не храню, ибо нет потребности, и приложений новых не ставлю никаких давно).

[xmoonlight]

Александр Попов: "всё окей (правда, пароли на смартфоне не храню, ибо нет потребности, и приложений новых не ставлю никаких давно). " - просто нет интереса пока ни у кого к Вашей личности.

[Александр Попов]

xmoonlight: а если появится?) У вас есть идея, как воспользоваться рутом для получения моих паролей, если они там будут?

[Александр Попов]

xmoonlight: кстати, этот кто-то должен быть автором приложения, установленного у меня в телефоне, или в сговоре с ним, что исключено. Я кстати даже от обновлений давно отказался по причине падения производительности в новых версиях (а кое-где из-за смены иконки/дизайна интерфейса).

[xmoonlight]

Александр Попов: это не спасёт: есть системные модули, которые периодически качают и что-то делают.

[Александр Попов]

xmoonlight: в теории - да, но это надо очень хорошо знать систему: какие модули, что качают, как этим воспользоваться.

Вот вам ещё простой пример: на моём древнем Android 2.3 не работает YouTube, просит обновить "сервисы Google Play". А при попытке их обновить они начинают пытаться что-то подгружать... И в итоге стандартный лаунчер от Сони раз в 15-20 секунд просто аварийно завершается. Запускается снова - и опять аварийно завершается. Приходится очень быстро идти в настройки, и останавливать этот процесс. Ну и после - удалять обновление.

Я это к чему - даже то, что качает, порой не может это делать так, чтобы не обрушивать систему. То есть эксплойты придётся искать в старых версиях модулей, а не в последних.

Answer 4

[Mr Hobot]

Фильтруйте устонавливаемые приложения и все будет окей. С плеймаркета каку скачать нельзя, а вот когда на прямую с интернета, бывают случаи что нечесный программист положил туда свое приложение, чаще для рекламы, реже для таких вот атак что вы говорите. Ставьте рут, сейчас по моему только домохозяйки без рута живут.

Comments

[Сергей Карбивничий]

Маркет кишит просто зловредами, почти каждый день находят их спецы!

[Александр Попов]

John Smith: а вот интересно кстати, для самого банка есть какие-то риски такого анализа? Что можно сделать, обладая знаниями и инструментами? Я так понимаю, инициировать перевод от лица кого-то в свой адрес всё равно ведь не выйдет (токены при авторизации формирует сервер в любом случае)?

Answer 5

[Sanes]

Да ничем не опасны, если вы "Неуловимый ДЖО"

Answer 6

[CityCat4]

Тем же, чем права root/Administrator на винде или линухе, или самый обычный нож - им можно порезать колбасу, а можно убить человека. Если Вы имеете обыкновение ставить все самое новое, да побольше, на платить через Сеть, да еще по NFC, да банковские карты привязывать и играть в непонятно откуда поставленные игрухи - ну тогда плакали Ваши пароли и денежки. Если же вдумчиво относиться к установке программ, привязать (если уж так надо) виртуальную карту, где денег нет и не платить никуда с телефона - то пофиг. Люди рутуют телефоны и в том числе чтобы избавиться от гугловских зондов.

Answer 7

[Вадим Козоногов]

Поставил рут, удалил все "лишние" приложения, которые вызывают подозрения скачал сбер с play market запретил руту лесть в приложение сбера и довольным живешь себе дальше.
Ну и для большей уверенности можешь себе поставить антивирус.