Besonderheiten von Firmware-Updates mobiler Geräte

Ob das Firmware-Update auf dem persönlichen Telefon durchgeführt werden soll oder nicht, entscheidet jeder selbst.
Manche installieren CyanogenMod, andere fühlen sich ohne TWRP oder Jailbreak nicht als Besitzer des Geräts.
Im Fall von Updates für Unternehmensmobiltelefone sollte der Prozess relativ einheitlich sein, sonst scheint den IT-Mitarbeitern selbst Ragnarök wie ein Spaß.

Wie das in der „Corporate“-Welt abläuft, lesen Sie weiter unten.

Kurzer Überblick

Mobile Geräte auf Basis von iOS erhalten regelmäßige Updates ähnlich wie Geräte mit Windows, jedoch:

• Updates erscheinen seltener;
• Die meisten Geräte erhalten Updates, aber nicht alle.

Apple veröffentlicht iOS-Updates gleichzeitig für die meisten seiner Geräte, mit Ausnahme derjenigen, die nicht mehr unterstützt werden. Dabei unterstützt Apple seine Geräte recht lange. Zum Beispiel erhält selbst das iPhone 6s, das 2015 herauskam, das iOS 14-Update. Natürlich bleibt das nicht ohne Fehler, wie etwa das erzwungene Verlangsamen älterer Geräte, was angeblich nicht dazu gedacht war, Menschen zum Kauf eines neuen Telefons zu zwingen, sondern um die Lebensdauer des alten Akkus zu verlängern… Aber auf jeden Fall ist das besser als die Situation bei Android.

Android ist im Wesentlichen ein Franchise. Das Original-Android von Google findet man nur auf Pixel-Geräten und in Budgetgeräten, die am Android-One-Programm teilnehmen. Auf anderen Geräten findet man nur Abwandlungen von Android – EMUI, Flyme OS, MIUI, One UI usw. Für die Sicherheit mobiler Geräte ist diese Vielfalt ein großes Problem.
Zum Beispiel entdeckt die „Community“ eine weitere Schwachstelle in Android oder in den zugrundeliegenden Systemkomponenten. Dann wird die Schwachstelle in der CVE-Datenbank nummeriert, der Entdecker erhält eine Belohnung aus einem der Bug-Bounty-Programme von Google, und anschließend veröffentlicht Google den Patch und integriert ihn in die nächste Android-Version.

Wird Ihr Telefon das Update erhalten, wenn es kein Pixel oder kein Teilnehmer des Android One-Programms ist?
Wenn Sie vor einem Jahr ein neues Gerät gekauft haben, wahrscheinlich ja, aber nicht sofort. Der Hersteller Ihres Geräts muss den Google-Patch noch in seine Android-Version einfügen und auf den unterstützten Modellen testen. Flaggschiffmodelle erhalten etwas länger Unterstützung. Alle anderen müssen sich damit abfinden und sollten die CVE-Datenbank am Morgen nicht lesen, um ihren Appetit nicht zu verderben.

Die Situation mit größeren Android-Updates ist in der Regel noch schlimmer. Im Durchschnitt dauert es ein ganzes Quartal oder länger, bis eine neue Hauptversion auf mobile Geräte mit angepasstem Android gelangt. So kam das Android 10-Update von Google im September 2019 heraus, und Geräte verschiedener Hersteller, die das Glück hatten, die Möglichkeit auf ein Update zu verdienen, erhielten es bis zum Sommer 2020.

Man kann die Hersteller verstehen. Die Veröffentlichung und das Testen neuer Firmware sind teuer und nicht unerheblich. Da wir die Geräte bereits gekauft haben, können sie von uns kein zusätzliches Geld verlangen.
Es bleibt … uns zu zwingen, neue Geräte zu kaufen.

Die Sicherheitsanfälligkeit der Android-Versionen bestimmter Hersteller führte dazu, dass Google die Architektur von Android änderte, um kritische Updates selbst zu verteilen. Das Projekt erhielt den Namen Google Project Zero, über das vor etwa einem Jahr auf Habré berichtet wurde. Die Funktion ist relativ neu, aber sie ist in allen Geräten seit 2019 integriert, die Google-Dienste nutzen. Viele wissen, dass diese Dienste kostenpflichtig für die Gerätehersteller sind, die dafür Lizenzgebühren an Google zahlen, aber nur wenige wissen, dass es nicht nur um Kommerz geht. Um die Genehmigung zu erhalten, Google-Dienste auf einem bestimmten Gerät zu nutzen, muss der Hersteller seine Firmware zur Überprüfung an Google senden. Dabei akzeptiert Google keine Firmware mit veralteten Android-Versionen zur Überprüfung. Dies ermöglicht es Google, dem Markt sein Project Zero aufzudrängen, was hoffentlich Android-Geräte sicherer macht.

Empfehlungen für Unternehmenskunden

In der Unternehmenswelt werden nicht nur öffentliche Anwendungen genutzt, die im Google Play Store und im App Store verfügbar sind, sondern auch Eigenentwicklungen. Manchmal endet der Lebenszyklus solcher Anwendungen zum Zeitpunkt der Unterzeichnung des Übernahmeprotokolls und der Zahlung der Dienstleistungen des Entwicklers im Rahmen des Vertrages.

In diesem Fall führt die Installation eines neuen Hauptupdates des Betriebssystems oft dazu, dass solche 'job-is-done' Anwendungen nicht mehr funktionieren. Geschäftsprozesse kommen zum Stillstand, und die Entwickler werden erneut engagiert, bis der nächste Fehler auftritt. Dasselbe passiert, wenn Unternehmensentwickler nicht rechtzeitig ihre Anwendungen an das neue Betriebssystem anpassen können oder eine neue Version der Anwendung bereits verfügbar ist, die die Benutzer jedoch noch nicht installiert haben. Auch zur Lösung solcher Probleme sind Systeme der Klasse UEM.

UEM-Systeme ermöglichen die direkte Verwaltung von Smartphones und Tablets, indem sie Anwendungen auf den Geräten mobiler Mitarbeiter zeitnah installieren und aktualisieren. Darüber hinaus können sie die Anwendungsversion im Bedarfsfall auf eine vorherige zurücksetzen. Die Möglichkeit, die Version zurückzusetzen, ist ein exklusives Merkmal von UEM-Systemen. Weder Google Play noch der App Store bieten eine solche Möglichkeit an.

UEM-Systeme können Firmware-Updates mobiler Geräte aus der Ferne sperren oder verzögern. Das Verhalten hängt von der Plattform und dem Hersteller der Geräte ab. Bei iOS im Supervisored-Modus (lesen Sie mehr über den Modus in unserem FAQ) kann das Update bis zu 90 Tage aufgeschoben werden. Dazu genügt es, die entsprechende Sicherheitsrichtlinie einzustellen.

Bei Android-Geräten von Samsung kann das Firmware-Update kostenlos gesperrt oder ein zusätzlicher kostenpflichtiger Dienst namens E-FOTA One genutzt werden, mit dem festgelegt werden kann, welche Betriebssystem-Updates auf den Geräten installiert werden. Dies gibt Administratoren die Möglichkeit, das Verhalten von Unternehmensanwendungen auf neuen Firmwares ihrer Geräte vorab zu überprüfen. Angesichts des Aufwands dieses Prozesses bieten wir unseren Kunden einen Service auf Basis von Samsung E-FOTA One an, der die Überprüfung der Funktionsfähigkeit der Zielgeschäftsanwendungen auf den im Kunden verwendeten Gerätemodellen umfasst.

Bei Android-Geräten anderer Hersteller gibt es leider keine vergleichbare Funktionalität.
Ein Update kann nur verzögert oder gesperrt werden, wenn beispielsweise solche Warnungen verwendet werden:
„Sehr geehrte Benutzer! Aktualisieren Sie Ihre Geräte nicht. Dies kann zur Funktionsunfähigkeit der Anwendungen führen. Bei Verstoß gegen diese Regel werden Ihre Anfragen an den technischen Support NICHT BEARBEITET / ANGEHÖRT!“.

Eine weitere Empfehlung

Verfolgen Sie die Nachrichten und Unternehmensblogs der Hersteller von Betriebssystemen, Geräten und UEM-Plattformen. In diesem Jahr hat Google beschlossen, die Unterstützung einer möglichen mobilen Strategie abzubrechen, und zwar der vollständig verwalteten Geräte mit Arbeitsprofil.

Hinter diesem langen Namen verbirgt sich folgendes Szenario:

Bis Android 10 verwalteten UEM-Systeme das Gerät Und Arbeitsprofil (Container) , in dem sich Unternehmensanwendungen und -daten befinden., die Unternehmensanwendungen und Daten enthalten.
Seit Android 11 ist eine vollständige Verwaltung des Arbeitsprofils (Containers) möglich. ODER das Gerät ODER Google erklärt die Neuerungen mit dem Augenmerk auf den Datenschutz der Nutzer und sein eigenes Portemonnaie. Wenn es einen Container gibt, dürfen die Daten des Nutzers nicht im Sicht- und Verwaltungsbereich des Arbeitgebers liegen..

In der Praxis bedeutet dies, dass es nicht mehr möglich ist, den Standort von Unternehmensgeräten zu ermitteln oder Anwendungen zu installieren, die der Nutzer für die Arbeit benötigt, aber nicht innerhalb des Containers platziert werden müssen, um die Unternehmensdaten zu schützen. Entweder muss man auf den Container verzichten ...

Google behauptet, dass ein solcher Zugang zum persönlichen Raum 38 % der Nutzer von der Installation von UEM abgeschreckt hat. Nun bleibt UEM-Anbietern lediglich das, was sie bekommen können.

Wir haben uns im Vorfeld auf die Neuerungen vorbereitet und werden in diesem Jahr eine neue Version anbieten

, die die neuen Anforderungen von Google berücksichtigen wird. SafePhoneWenig bekannte Fakten

Zum Abschluss noch einige wenig bekannte Fakten über das Update mobiler Betriebssysteme.

Firmware auf mobilen Geräten kann manchmal zurückgesetzt werden. Analysen von Suchanfragen zeigen, dass der Begriff „Wie Android wiederherstellen“ häufiger gesucht wird als „Android-Update“. Es scheint, dass man den ausgefressenen Wurst nicht zurückdrehen kann, aber manchmal geht es doch. Technisch gesehen basiert der Schutz vor einem Rückfall auf einem internen Zähler, der nicht mit jeder Firmware-Version steigt. Innerhalb eines bestimmten Wertes dieses Zählers wird ein Rückfall möglich. Das betrifft Android. Bei iOS ist die Situation etwas anders. Vom Hersteller (oder einer unzähligen Anzahl von Spiegelseiten) kann man ein iOS-Image einer bestimmten Version für ein bestimmtes Modell herunterladen. Um es über das Kabel mit iTunes zu installieren, muss Apple die Firmware signieren. In den ersten Wochen nach der Veröffentlichung einer neuen iOS-Version signiert Apple normalerweise die vorherigen Versionen der Firmware, damit Nutzer, deren Geräte nach dem Update fehlerhaft funktionieren, zu einer stabileren Version zurückkehren können.

1. Zu Zeiten, als die Jailbreak-Community noch nicht zu großen Unternehmen zerfallen war, konnte man die angezeigte iOS-Version in einer der systemeigenen plist-Dateien ändern. So konnte man beispielsweise iOS 6.2 aus iOS 6.3 machen und umgekehrt. Warum dies notwendig war, werden wir in einem der nächsten Artikel erläutern.
2. In Zeiten, als die Jailbreak-Community sich noch nicht auf große Unternehmen verteilt hatte, konnte man die angezeigte iOS-Version in einer der systemeigenen plist-Dateien ändern. So konnte man beispielsweise iOS 6.2 aus iOS 6.3 und umgekehrt erstellen. Warum dies notwendig war, werden wir in einem der folgenden Artikel erläutern.
3. Die allgemeine Liebe der Hersteller zu dem Programm zum Flashen von Smartphones, Odin, ist offensichtlich. Ein besseres Werkzeug zum Flashen gibt es bisher nicht.

Schreiben Sie, lassen Sie uns diskutieren, … vielleicht können wir helfen.

Quelle: habr.com