Sobre Android y la seguridad

Buenas, escribo por aquí pero no ando del todo seguro de si debería, en todo caso creo que es el apartado del foro más adecuado para mi consulta.

Sé que la parte pura de software libre es AOSP, y que Android lo es...¿sólo en parte? Tengo entendido que parte es libre y parte propietaria, a saber.

El caso es que elegí Linux precisamente por privacidad, cosa que ahora estoy mirando más que nunca en mi teléfono. Sé que Android es "gratis" porque tira de anuncios y recopilación de datos pero no sé hasta qué punto los recopila.

Estoy ahora mismo usándolo mucho para conectarme a mis equipos. Tiro mucho de ssh, me conecto de vez en cuando con vpns (con claves que están en el teléfono), uso masivamente nextcloud para sincronizar los archivos...

Sabéis hasta qué punto es seguro hacer esas cosas desde un sistema Android? No sé si todas estas cosas están yendo a parar de alguna forma a servidores de Google (aunque sea de forma anónima) o realmente es seguro y sólo monetizan el uso que des a SUS aplicaciones.

Gracias por adelantado!

PD: No, no es que tenga archivos de la NASA que tenga que salvaguardar, pero últimamente tengo que conectarme sin parar a varios clientes y aunque use VPN y demás me da miedo que google esté copiando datos (cláusulas de confidencialidad)

PD2: Sé que hay alternativas libres tipo Librem pero se me escapan totalmente de mi alcance, al igual que no tengo capacidad (ni tiempo) para ver cómo compilar AOSP para mi terminal
Android no basa su financiación en anuncios y recopilación de datos. Creo que te refieres a los Servicios de Google (Google Play, Gmail, Music, etc).

El gran problema de privacidad en Android, a parte de los Servicios de Google, son las modificaciones de los fabricantes de Hardware y las aplicaciones instaladas por el usuario, que suelen ser devoradoras de datos de uso, localización, etc.
Abandon all hope, ye who enter here...
@verdezito Si tienes un Android reciente hay un modelo de seguridad bastante estricto en cuanto a qué puede hacer una app, y todo son apps. Cada una tiene su almacenamiento separado y una app no puede acceder a los datos de otra.

La excepción son las aplicaciones que vengan instaladas ya, pero ahí el problema es el fabricante. A mí por ejemplo no me daría mucha seguridad usar un móvil "chino" (ya se entiende lo que digo, no me vengáis con que todos son made in China) para meter información confidencial.

Los servicios de Google comparten información del tipo ubicación, apps instaladas, contactos, etc. pero no mandan tus ficheros por ahí salvo que sea para hacer un backup automático (que te pregunta si quieres hacerlo...) o compartir ficheros con Google Drive o Google Fotos (y tienes que indicarlo expresamente). Si no quieres nada de eso no uses los servicios de Google.

Si usas una app de SSH que no cifre las contraseñas por ejemplo, si activas el backup automático acabarán en los servidores de Google. En teoría nadie debería acceder a ellos, pero... ya no están solo en tu dispositivo. O si usas apps para recordar contraseñas lo mismo, salvo que estén protegidas por una contraseña maestra mejor no fiarse.
mocelet escribió:@verdezito Si tienes un Android reciente hay un modelo de seguridad bastante estricto en cuanto a qué puede hacer una app, y todo son apps. Cada una tiene su almacenamiento separado y una app no puede acceder a los datos de otra.

La excepción son las aplicaciones que vengan instaladas ya, pero ahí el problema es el fabricante. A mí por ejemplo no me daría mucha seguridad usar un móvil "chino" (ya se entiende lo que digo, no me vengáis con que todos son made in China) para meter información confidencial.

Los servicios de Google comparten información del tipo ubicación, apps instaladas, contactos, etc. pero no mandan tus ficheros por ahí salvo que sea para hacer un backup automático (que te pregunta si quieres hacerlo...) o compartir ficheros con Google Drive o Google Fotos (y tienes que indicarlo expresamente). Si no quieres nada de eso no uses los servicios de Google.

Si usas una app de SSH que no cifre las contraseñas por ejemplo, si activas el backup automático acabarán en los servidores de Google. En teoría nadie debería acceder a ellos, pero... ya no están solo en tu dispositivo. O si usas apps para recordar contraseñas lo mismo, salvo que estén protegidas por una contraseña maestra mejor no fiarse.

Según eso de que no se usen los servicios de google, vale, pero es que también puedes incluir el teléfono por lo mismo que indicas de las preinstaladas por el fabricante.
Yo sigo pensando que no voy a ver, para desgracia nuestra, un sistema operativo libre de polvo y paja y que nos dejen instalar lo que realmente necesitemos, pero aún así volveríamos al tema de los permisos de las aplicaciones, muchas veces innecesarios, puedo entender que una aplicación necesite de determinados permisos para su correcto funcionamiento, pero no todos los permisos que requieren muchas de ellas.
Así que llevo pensando durante muchos años que para qué "vender/ceder" datos personales a todo el que pilles por medio cuando dentro de lo malo solamente se lo tienes "cedido" a uno.
A ver si me logras explicar esto, Chrome hace ya bastantes años, que es de lo primero que elimino en cualquier teléfono, se me hace muy intrusivo y falto de seguridad debido a que es capaz de apoderarse de un certificado digital sin más, en otros navegadores necesitas instalar, y casi volverte cuerdo, software adicional y configurar, mientras que Chrome te lo utiliza sin más, pues muy seguro no se me hace por mucho que me quieran vender lo contrario.

Y el problema no es el fabricante, ni google, ni ..., el problema es nuestro por aceptarlo, aunque te puedas ver obligado a aceptarlo porque no te queda otra.
Demonizaron el root argumentando una supuesta falta de seguridad, vale muy bien vamos a aceptarlo (de momento) y ahora que me dices de aplicaciones, no preinstaladas, que puedan instalarse y verte incapacitado para eliminarla a no ser que tengas el root; y de las preinstaladas que muchas no son más que para los permisos sobre los permisos de los permisos de otros permisos que necesitan más permisos ...., y esto son todas las pseudoactualizaciones de las aplicaciones ¿Desde cuando pesa más una actualización que la aplicación/programa en sí?
Se demoniza el root en android ¿Pero no se demoniza en Linux? ¿Y en este último se emplea el argumento de la seguridad y que para realizar una instalación tengas que hacerlo mediante root? Pues sigo sin lograr entenderlo.
@tzadkiel2 No he entendido a qué te refieres con los certificados digitales en Chrome.

Sobre que una actualización ocupe más que la app es perfectamente normal, hay veces que no es un parche sino la app entera, y si le añades funcionalidad tiende a ocupar más. O la nueva versión usa bibliotecas que antes no o nuevas versiones y eso ocupa más espacio todavía.

Sobre la seguridad de Linux, principalmente es por ser software de código abierto que, si quieres, puedes compilarlo a partir del código fuente y hacer una auditoría de seguridad del código para comprobar que no hace nada raro a tus espaldas.

El root en Linux también se demoniza, de hecho se recomienda no usarlo y que solo el administrador pueda solicitar permisos de superusuario cuando sea estrictamente necesario (instalar software, tocar la configuración del sistema). Es la forma de evitar que un usuario del dispositivo ejecute un programa malicioso y tenga vía libre para cambiar la configuración del sistema o instalar otras apps o leer datos que no son suyos sin permiso.
@mocelet Pues al certificado digital me refiero al certificado para autenticarte en páginas de la Administración por ejemplo, y que Chrome se apodera de él sin más, mientras que otros navegadores necesitas instalarlos.
Y tú mismo lo estás indicando en Linux aunque se demonice te recomiendan no usarlo pero en Android la demonización es tal que no tienes acceso a ello ¿Y quién es el Administrador del Sistema en un teléfono, los fabricantes, Google, ...? Porque está claro que no es el usuario del teléfono.
¿No te has encontrado nunca con una aplicación instalada que después te ha sido imposible desinstalar? ¿Para instalar te basta con aceptar unos permisos y para desinstalar simplemente no puedes?
Lo de las actualizaciones de aplicaciones lo podría llegar a entender si no fueran tan habituales estas actualizaciones, ya que te puedes encontrar con al menos tres actualizaciones de una misma aplicación en menos de una semana (¿Será que se les olvidó incluir algún permiso en la actualización anterior?).

Lo de compilar llevo diciendo durante muchos años que mejor Com Pilar, por separado, que hacer esas cosas juntas [sati]
tzadkiel2 escribió:¿Y quién es el Administrador del Sistema en un teléfono, los fabricantes, Google, ...? Porque está claro que no es el usuario del teléfono.


Podríamos decir que nadie porque la única forma de cambiar ficheros de sistema es actualizando el firmware, así que realmente administrador del sistema como tal no hay.

No hay acceso root ni siquiera para las apps de sistema, esas tienen permisos pero no libre albedrío para toquetear cualquier cosa a cualquier nivel.

La única excepción es el actualizador de firmware, claro, pero la app de actualización realmente tampoco actualiza nada, se baja la firmware, la deja en un sitio y luego es el bootloader el que actualiza propiamente.
7 respuestas