Quais garantias que as Custom Roms tem em relação a segurança?

Tava aqui pensando!
Hoje em dia praticamente entregamos a nossas vidas no celular. Documentos, privacidade e financias tudo dentro do celular.

Mas o quão é seguro e confiável manter esses dados nessas Custom Roms da vida. Se a segurança do Android já está em risco usando as stock Roms oficial, não seria um atentado usar nossos dados nessas Custom Roms que muitos de nós nem temos ideia de quem está por trás da criação dessas roms?

Se o seu dispositivo possuir um suporte decente, ele terá suporte a encriptação do /data. E, quanto à segurança dos dados em si, quando o dispositivo realizou o boot devidamente, os dados são desencriptados. Ou seja, você deve confiar no criador dela, seja ele algum dev da comunidade ou a OEM do seu celular. Quanto aos aplicativos, não é possível que um aplicativo acesse dados sem sua permissão, pois todos eles rodam em sandbox, com exceção sabe do que? Do GMS Core, em ROMs que vêm com Google Apps. Ou seja, enquanto tiver mão do Google, privacidade não é algo a se discutir.

3 curtidas

Pra começar, acredito que uma custom ROM segura deve permitir:

  • Encriptação de dados
  • A possibilidade de bloquear o bootloader (apesar de estar listando aqui, acredito que isso só seja permitido no Google Pixel, ou seja, depende da fabricante).

É MUITO improvável que alguma ROM roube seus dados. Até onde eu sei, a maioria das ROMs aplicam basicamente “patchs” em cima do AOSP (Android Open Source Project). Acredito que todas as ROMs são código aberto, então você pode ir no github (da Lineage, por exemplo) e verificar o que eles estão mexendo.
Talvez você tenha “medo” dos mantenedores, mas PROVAVELMENTE eles também vão liberar o código.

Dito isso, já que você tem algum receio, recomendo que use uma ROM que tenha popularidade. Evite aquelas mais desconhecidas, a Lineage é o Ubuntu do Android (no bom sentido), então comece por ela :slight_smile:

Não vou entrar em detalhes sobre privacidade, pois acho que o Aghbi já deu a dica. Eu tenho um Galaxy J4 com a Lineage e NENHUM app do Google, Samsung, Microsoft e outros, apenas apps open-source. Totalmente usável.

3 curtidas

Negativo. Para que seja possível bloquear o bootloader, é necessário que a ROM instalada tenha uma assinatura verificada pela OEM do dispositivo. E, até hoje, nenhuma OEM assinou ROMs customizadas. Ou seja, só é possível bloquear o bootloader estando na stock.

Usando a GrapheneOS é possível bloquear o bootloader, e essa ROM é justamente pro Google Pixel.

Pixel devices allow you not only to unlock, but also to re-lock the bootloader after flashing a custom ROM. This is a security feature which prevents any further manipulation of the bootloader or the OS. If you open the bootloader, it will wipe the device and reset it to factory default.

r/privacy

EDIT: acho que não só a Graphene, como também a Calyx

Mas isso é uma feature por parte da OEM, o Google sabe que é inevitável que alguns usuários tentem usar um software customizado em seus dispositivos, então apenas aceitam e dão esta medida de segurança a mais. Infelizmente, este é um padrão inexistente em outras OEMs, e os Google Pixel sequer são vendidos no Brasil.

Também, o Pixel é um dispositivo construido sobre uma filosofia de ser o mais aberto possível (tanto que a source tanto da stock quanto do bootloader, kernel e recovery oficiais estão disponíveis, e é por isso que a Pixel Experience existe), e o Google incentiva desenvolvedores de software a usarem o Pixel, oferecendo assim a possibilidade do uso seguro de software customizado para ambiente de testes. Isto acaba beneficiando o usuário final, mas é algo bem específico e praticamente inacessível ao brasileiro médio (sendo o Pixel um dos únicos dispositivos que permite este tipo de coisa, ele não é vendido no Brasil e é exorbitantemente caro para importação).

1 curtida

É que recentemente venho ficando com neuroses em relação a essas Custom Roms.

Sei lá às pessoas estão muito mal caráter, querendo tirar proveito dos outros. Queria saber qual a garantia que essas Custom não vim junto um espião, minerador incluso no OS pra roubar nossos dados bancários e pessoais. É algo realmente pra se pensar assim como essas distros Linux “independente”.

Não querendo santificar as empresas, mas pelo menos dá pra saber quem são. Agora esses criadores independentes não temos a mínima idéia.

As custom ROMs mais populares também têm representação legal (incluindo a LineageOS), ou no mínimo têm um criador individual conhecido. Eles têm algo a perder monetariamente/legalmente com uma ROM sabotada, assim como empresas.

Diria que até mais que empresas “normais” pois o público delas costuma ter no mínimo uma noção de como verificar as promessas e, por ser menor e formar uma comunidade mais conectada, o dano à reputação se espalha mais rápido.
Escândalos como adware porta-de-entrada para malware em laptops Lenovo ou o rootkit dos CDs da Sony foram rapidamente esquecidos pelo público geral.

1 curtida

Lembro desse caso da Lenovo. E como muitos nem deram a mínima, aliás muitos nem devem saber disso. Mas se fosse nos dias de hoje daria um maior auê!

É como eu disse. Hoje o celulares praticamente guardam a nossa vida!

Eu e muitos acredito que nem usam o PC pra resolver seus problemas, deixando tudo por conta do celular. E as coisas só pioram com essa documentação digital, os nossos celulares se tornaram praticamente uma certidão registro pessoal nosso. Muita informação que podem cair em mãos erradas!

Tbm fico muito desconfiado desses app mod. Será que são seguros?

as “garantias” é q vc dv confiar no q fazem, crendo q estão corrigindo bugs. a escolha é sua.

Na verdade, a proposta da maioria das ROMs não é corrigir bugs (porque por incrível que pareça, o Google faz um bom trabalho em relação a isto na própria base AOSP), mas sim adicionar funções que não estão disponíveis nas releases mais “cruas”. Além disso, o Android é open source, ou seja, se você não confia no que fazem, tens a liberdade de checar o que está sendo feito (e que deveria ser feito com todos os programas, não só com o OS).

1 curtida