Column: Smartphonefabrikanten deugen niet
Ik las vandaag dat de telefoon die ik nog geen 12 maanden geleden nieuw heb aangeschaft niet langer updates meer gaat krijgen van de maker. De laatste versie van Android draait deze telefoon nu al niet meer, dus er zijn al bekende beveiligingsproblemen die door de leverancier nooit meer opgelost gaan worden.
De risico's die hier aan vast hangen zijn bekend; mobiel bankieren en allerlei privacygevoelige informatie die de meeste mensen op hun telefoon hebben staan zijn hierdoor bedreigd. Hoewel er nu nog relatief weinig malware en virussen voor smartphones voorkomen in het wild in Europa, kan je er op wachten dat die er gaan komen. De leveranciers hebben weliswaar appstores waar ze een en ander onder controle proberen te houden, maar de gaten in de beveiliging van het overgrote deel van de telefoons zijn zo groot, dat malwaremakers daar echt wel omheen gaan komen.
Dit is een trend die helaas niet ongewoon is in smartphoneland. Hoeveel telefoons worden 2 jaar of langer nadat de laatste nieuw over de toonbank is gegaan nog voorzien van nieuwe software door de fabrikant? Ik ken zelf maar één enkel voorbeeld. De meeste mobiele operators die bundels verkopen die een looptijd van 24 maanden hebben, leveren ook geen softwareondersteuning voor de telefoons, of ze lopen achter op wat de fabrikant doet.
Je zou bijna denken dat de smartphonefabrikanten een kartel hebben gevormd waarin ze hebben afgesproken om mensen minder lang dan die 24 maanden na aanschaf hun telefoon al verouderd te laten vinden. Daardoor zullen ze zodra ze de kans krijgen een nieuwe telefoon kopen inplaats van de oude nog wat langer te gebruiken tot hij stuk gaat. Het gevolg is dat in heel Europa iedereen een la vol telefoons heeft die het meestal nog wel doen, maar die "verouderd" zijn omdat de fabrikant ze lang voordat ze stuk zijn gegaan al niet meer ondersteunt.
In de EU kennen we verplicht twee jaar fabrieksgarantie op elektronische apparatuur. Als er door een fout van de fabrikant iets niet naar behoren werkt, dient de fabrikant dat op te lossen of een nieuw apparaat te leveren wat dezelfde opties biedt en het defect niet vertoont. In de meeste elektronica zit tegenwoordig software. Helaas valt software op "embedded devices" klaarblijkelijk niet onder deze garantie?
Ik denk dat het tijd wordt dat banken deze telefoons hard gaan blokkeren en dat de EU z'n 2 jaar garantietermijn eens tegen het licht gaat houden, zodat fabrikanten verplicht gaan worden om die softwareupdates te blijven leveren. Dat is niet alleen een stuk beter voor het milieu, maar ook nog eens een hele goedkope manier om de EU veiliger te maken. Wie weet er een betere oplossing dan onze onveilige telefoons naar Afrika exporteren?
Deze column is geschreven op persoonlijke titel van de auteur en reflecteert niet noodzakelijk de zienswijze van Security.NL.
Dit of soortgelijke regelgeving garandeert kwaliteit voor de gebruikers, maar zal wel worden afgeschoten, omdat "het de vooruitgang remt". Maar misschien moeten we als consument daar ook op inspelen en een toestel gewoon gaan gebruiken tot hij duidelijke mankementen vertoont. En dan alleen simloc vrije toestellen kopen van merken die iets deugdelijks leveren.
Als banken Android < de laatste versie (nu 4.4.2) gaan blokkeren zal het aantal klanten snel inzakken.
Het feit dat Google deze problematiek gaat aanpakken duid er voor mij op dat ten minste een deel van de oorzaak hiervan bij hen ligt.
Zowiezo internet bankieren doe je gewoon niet op een DRAADLOOS systeem, hoe graag de banken dat ook willen.
Bovendien installeer je daar waarschijnlijk ook de meest aftandse apps op die alle gegevens willen hebben en dat ook wel krijgen ook.
Is een bugje in software een fabrieksfout? Nee. De GSM zal blijven bellen, blijven facetuben enzovoorts.. En wanneer een mobiele telefoon het echt niet doet, dan zorgt de fabrikant wel voor een oplossing (uitzonderingen zoals Sony en Apple daargelaten natuurlijk maar klanten van bedrijven met betonblokken voor hun hoofd trekken ook klanten aan met betonblokken voor het hoofd).
Vandaag weer gelachen met een Apple freakje met een lege batterij die de hele site is afgelopen om een ander freakje te vinden met een compatible laadkabeltje... Tja, EU was toch maar duf dat iedereen een micro-usb oplaadfunctie moest hebben.. Gelukkig heeft ie wel een 'designed in USA' telefoon.
Niet iedereen wil of kan, door uiteenlopende redenen, zijn/haar telefoon rooten en/of er een custom rom op zetten.
Daarbij is mijn ervaring dat een custom rom ook niet altijd zaligmakend is. Ook CM niet.
En on-topic: http://www.ubuntu.com/phone/ubuntu-for-android ziet er veelbelovend en nuttig uit.
En http://sailfishos.org eveneens; compatible met diverse hardware en vooral; de Play store.
http://tweakers.net/nieuws/94369/cyanogenmod-updater-is-vatbaar-voor-aanval-met-man-in-the-middle.html
Ik heb mijn les geleerd met Samsung en HTC...
Nog los van het feit dat ik zelf na 2 jaar ook wel een nieuwe wil.
Heel fijn als owner en fustrerend als ontwikkelaar.
Al die mooie security fixes? Nope
Al die mooie performance tweaks? Nope
Grootste probleem van android is deze fragmentatie van OS versies
Heel fijn als owner en fustrerend als ontwikkelaar.
Al die mooie security fixes? Nope
Al die mooie performance tweaks? Nope
Grootste probleem van android is deze fragmentatie van OS versies
Als software ontwikkelaars nu eens leren de API's te gebruiken ipv zelf het wiel uit te moeten vinden omdat ze te dom zijn om software te schrijven in een goed framework die zelf native API's bakt en liever porten vanaf bijv IOS, dan was er geen enkel probleem.
Wie weet er een betere oplossing dan onze onveilige telefoons naar Afrika exporteren?
Dit probleem via een consumentenprogramma als Radar of Kassa aan de kaak stellen.
Schandalig, snap niet dat ze consumenten zo kunnen bedotten.
Zij krijgen gewoon de nieuwste versies.
Wie weet er een betere oplossing dan onze onveilige telefoons naar Afrika exporteren?
Dit probleem via een consumentenprogramma als Radar of Kassa aan de kaak stellen.
Je kunt een klacht indienen met de Autoriteit voor Consument & Markt op basis van het feit dat een leverancier ervoor moet zorgen dat de geleverde apparatuur aan de laatste veiligheidseisen voldoet (en dus niet bij levering al een oude versie die niet te update is) en ook dat ze zorgen voor updates gedurende de verwachte levensduur van de telefoons.
Er zijn hierover al klachten ingediend, maar ze doen niets als er maar een tiental klachten binnenkomt. Dat moeten er veel meer worden.
Peter
Schrijf je eigen europarlemenatrier ook even aan (je weet wel, die waarop je stemde). Dat helpt echt weet ik uit ervaring.
Even deze docu kijken en je bent 'genezen' van je koopdrang:
the light bulb conspiracy - planned obsolescence
https://www.youtube.com/watch?v=vfbbF3oxf-E
En nu kunnen mensen commentaar hebben op smartphones en hoe mensen deze gebruiken, maar neem het bovenstaande artikel en vervang het woord "smartphone" met "router" en ziedaar: een misschien nog groter probleem.
Even deze docu kijken en je bent 'genezen' van je koopdrang:
the light bulb conspiracy - planned obsolescence
https://www.youtube.com/watch?v=vfbbF3oxf-E
Android is de malware compatibility layer van Linux als je het mij vraagt.
Misschien een telefoon OS niet zomaar afkatten, "want weinig apps", maar kijken of je voor je taken bruikbare apps hebt. Dan kijken naar de prijs en naar veiligheidsoplossingen. En, nee het maakt mij niet uit, of je Android, iOS, Windows, Blackberry of wat dan ook op je telefoon draait. Ik heb een toestel gekozen, dat voor mij voldoet, qua functies, qua prijs, qua stabiliteit.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
