Diskussion zu FirmwareFinder/Funkyhuawei

[Catwiesel2018]

@Insel01, setzte einen Hut aus Aluminium auf, entsorge alle Mobilfunkgeräte, dann bist du außer Gefahr.

 

[Insel01]

@Catwiesel2018
Und du deine rosa rote Brille.

 

[Catwiesel2018]

@Insel01, dir fehlt jedes Verständnis für Programmierung und das Verteilen von Updates. Wenn man keine Ahnung hat, sollte man schweigen und keine wilden Theorien aufstellen und Panik verbreiten.

 

[Insel01]

@Catwiesel2018
Bitte keine Unterstellungen. Ich bin mir sehr wohl bewusst was und wie ich hier meine Meinung äußere.
Keine Ahnung welche Berufe ihr aus übt, würde einen Teufel tun um euch zu wiedersprechen.
Aber hier ist es halt anonym. Klugscheißer, Besserwisser oder einfach nur Leute die gerne Input auf ihre Outputs lesen möchten streuen falsche Behauptungen.
Du hast Recht und gut ist.

 

[Firedance1961]

@freibooter lese mal den Post #277 von mir und bei meiner Ausage, die du ständig kopierst, meinte ich anstelle signiert, frei gegeben. Und da kannst du jede Rom nehmen die nicht offiziell ins Rollout kam.

ich verstehe nur nicht ganz warum du dich an dieser einen Aussage so hochziehst. ? habe mir mal die Mühe gemacht und alle Seiten von diesem Thread gelesen, du scheinst nicht zu erkennen was Ironie und Sarkasmus ist, ab und zu kommt auch ein sehr rechthaberisches Verhalten durch. Liegt es vielleicht am mangelnden Selbstbewusstsein??? das du hier im Forum auch noch beleidigend wirst. Defakto ging es im Grunde um die Glaubwürdigkeit und Zielsetzung von Team MT und Funky und nichts weiter.
Ich muss hier nichts beweisen, wozu auch?
[doublepost=1520808529,1520808409][/doublepost]@M--G es war doch kein versehen, hatte mich nur mit dem M9 vertan.

 

[M--G]

@Firedance1961
Okay.
@Insel01 und @Catwiesel2018 wie wärs wenn ihr mal wieder runter kommt und sachlich bleibt? Es bringt ja nix sich anzugiften. Akzeptiert einfach die Meinung anderer.

 

[Firedance1961]

Nochmal an alle "neuen User" die nun unsicher sind, alle Roms die nicht original Über OTA auf euer Handy kommen, können manipuliert sein, sowie selbstredend jede Custom Rom.
[doublepost=1520809871,1520809501][/doublepost]@M--G da würde ich allerdings nach dem Verursacher Prinzip gehen. @Catwiesel2018 hat angefangen zu provozieren.
Allen eine gute Nacht und ein schönes WE. Denkt mal auch darüber nach, was ihr alles so installiert und ob man nicht die Gier nach etwas neuem mal hinten anstellt, um auf der sicheren Seite zu sein. Und das schlimmste von allem ist das rumjammern. Für alle die jammern empfehle ich ein schickes I-Phone.

 

[Insel01]

@Firedance1961
Danke.
Vielleicht versteht, bzw. hört man aufs Lexikon.
We ist gelaufen, aber eine nette Woche wünsche ich auch.

 

[freibooter]

@freibooter lese mal den Post #277 von mir und bei meiner Ausage, die du ständig kopierst, meinte ich anstelle signiert, frei gegeben.

Ich habe den Post gelesen und mich sogar darauf bezogen. Zwischen unsigniert und digital signiert aber online nicht freigegeben besteht ein gigantischer Unterschied.

Und das scheint nicht das einzige mal gewesen zu sein, wo du den Unterschied nicht verstanden hast, wenn ich deine anderen Aussagen ansehe.

Genau wie die der Unterschied zwischen der Huawei Cloud (für die man übrigens nicht im "China-Land" sein muss, auf die hat jeder Besitzer eines aktuellen Huawei Handys Zugriff) und einem OTA Server auf einer völlig anderen Subdomain wohl immer noch nicht bewusst ist.

Praktisch alle Behauptungen, die du bezüglich FirmwareFinder aufgestellt hast waren schlicht weg falsch, dennoch hat du mich hier als "Lemming" beschimpft und fehlenden Sachverstand vorgeworfen. Auch jetzt gibt es keine Fakten von dir sondern nur dumpfe Ad Hominem Angriffe.

Kurz zusammengefasst:

FirmwareFinder betreibt keinen dubiosen Spiegel-Server in der Huawei Cloud. Das ist schlicht völliger Blödsinn.

Jede einzelne Update-Datei dort stammt direkt vom offiziellen Huawei Update Server und wird nirgends gespiegelt sondern nur gelistet und verlinkt.

Jede einzelne Update Datei ist entsprechend von Huawei digital signiert und kann daher keine fremde Schadsoftware enthalten.

FirmwareFinder kann, unabhängig von der Download-Quelle, technisch überhaupt keine unsigniert oder manipulierte Firmware einspielen.

Im Gegensatz zu FunkyHuawei kann FirmwareFinder nicht einmal Firmware einspielen, die nicht über den Online-Check freigegeben wurde und erhebt auch diesen Anspruch überhaupt nicht.


FunkyHuawei ist eine völlig andere Geschichte. Aber grundsätzlich ist es ein Service, der etwas Harmloses teuer verkauft, was bei den meisten anderen OEMs problemlos kostenlos und ohne derartige Dienste möglich ist (Cross-Flash signierter Firmware, manuelles Einspielen von signieren OTAs).

Das einzige was wirklich schockierend ist, ist die Aussage, jetzt auch unsigniert Recovery Images (z.B. TWRP) trotz gesperrtem Bootloader installierten zu können - das hat nämlich direkten Einfluss auf die Sicherheit aller EMUI 8.0 Geräte, es wäre ein signifikanter Exploit mit recht weitreichenden Folgen.

 

[Muhamed]

Ich bin ja davon ausgegangen, dass das eine official ROM ist. Beim Mate 9 war das ja nicht anders, am Ersten bekommen es einige angeboten, der Rest 1-2 Wochen später.

Weil es eben mit dem Stock Recovery geflasht werden kann, kann es für mich nur unveränderte Firmware sein. Damals, zu Galaxy S3 Zeiten konntest du alles flashen aber heute geht es ja nicht mehr...

Wenn jetzt aber 2-3 User unterschiedliche Meinungen haben, dann sagt das schon viel aus.

 

[freibooter]

Nochmal an alle "neuen User" die nun unsicher sind, alle Roms die nicht original Über OTA auf euer Handy kommen, können manipuliert sein, sowie selbstredend jede Custom Rom.

Und nochmal für alle, die diesen Unsinn glauben:

Auf einem Gerät mit gesperrtem Bootloader lassen sich technisch keine manipulierten ROMs einspielen - genausowenig, wie sich hier Custom ROMs einspielen lassen. Dafür sorgt die nötige Überprüfung der digitale Signatur.

Es lassen sich ausschließlich von Huawei digital signierte, und damit von Huawei erstelle, unveränderte Updates einspielen (mit der zusätzlichen Online-Freigabe, Huawei's Eigenheit, hat das überhaupt nichts zu tun) - alles andere scheitert und muss scheitern.

Wäre etwas anderes möglich, wäre dies eine gigantische Sicherheitslücke in allen bestehenden Huawei ROMs.

Möglich ist eine solche Sicherheitslücke, dafür haben aber weder @Firedance1961 noch @Insel01 auch nur im Ansatz Indizien gezeigt. Und FirmwareFinder und co. wären dann ohnehin unser kleinstes Problem.

 

[Insel01]

@freibooter
Nun höre mal auf hier. Klar kann das sein.
Du scheinst ja alle persönlich zu kennen, die Zugänge zu Servern und signierenden Software Matrizen haben.
Kann es sein das du damit Geld verdienen tust?
Verteidigst deinen Standpunkt sehr forsch.
[doublepost=1520812376,1520812180][/doublepost]@freibooter
Das mal nur für dich.
Aus einer Quelle die jeder ohne weiteres findet:
Billig-Handys mit Trojaner ausgeliefert: Diese Android-Smartphones sind betroffen (Update)
[doublepost=1520812483][/doublepost]@freibooter
Nicht wieder verwechseln, es handelt sich um ein Beispiel....

 

[freibooter]

@freibooter
Du scheinst ja alle persönlich zu kennen, die Zugänge zu Servern und signierenden Software Matrizen haben

"signierenden Software Matrizen"? Wie bitte? Jeder kann und sollte seine Software digital signieren, aber nun einmal nicht mit einem fremden Schlüssel.

Was du behauptest würde behaupten, dass Huawei der Private Key entwendet wurde und jemand Unbefugtes zudem Zugriff auf dem offiziellen Update-Server hätte - allein ersteres wäre ein sicherheitstechnischer Super-GAU und dann wäre jedes Update auf regulärem Wege genauso betroffen.

Das wäre so, als würde jemand Schadsoftware mit Microsofts digitaler Signatur direkt über den Windows-Update Server verteilen.

Fällt es die wirklich so schwer zuzugehen, dass Code Signing für dich Neuland ist und du daher falsche Schlüsse gezogen hast?

Dieser jetzt bald sieben Jahre Artikel beschreibt das ganze übrigens in sehr einfachen Worten und erklärt, weshalb ihr hier so hoffnungslos falsch liegt:

So You Want To Know About Bootloaders, Encryption, Signing, And Locking? Let Me Explain

 

[Insel01]

@freibooter

 

[meile]

@meile mit der entsperrung des Bootloaders erteilst du "nur" Schreibrechte. Du kannst eine Treble Version welche auch immer, ohne root installieren wie auch jede Rom.

Ich habe nur gesagt, dass man nur mit entsperrtem Bootloader von Huawei unsignierte ROMs aufspielen kann. Von root habe ich nicht gesprochen.

 

[killerflat]

Ich habe die Firmware jetzt auch so aufgespielt endlich gibt es im o2 Netz Voice over IP LTE und WLAN-Call. . Akkulaufzeit scheint identisch zu sein

 

[meile]

Ich habe die letzten Posts mal komplett gelesen, ganz schön erhitzte Diskussion. :blushing:

Ich glaube grundsätzlich kann man unterstellen, dass nur von Huawei signierte Images auf das M10pro gehen, solange der Bootloader zu ist. Ob die ROMs freigegeben sind ist eine andere Diskussion.

Man kann aber auch sagen, dass man bei FF ein Risiko eingeht. Davon abgesehen, dass die ROMs nicht offiziell freigegeben sein müssen, leitet man seinen Netzwerkverkehr entweder mit der Proxy oder der DNS Methode um. Was mit den umgeleiteten Daten passiert weiß man nicht.

 

[freibooter]

Davon abgesehen, dass die ROMs nicht offiziell freigegeben sein müssen, leitet man seinen Netzwerkverkehr entweder mit der Proxy oder der DNS Methode um.

Gerade bei FirmwareFinder müssen die ROMs ja offiziell freigegeben sein - nur halt evtl. nicht offiziell (voll) ausgerollt. Auch das ist wieder ein kleiner, dezenter Unterschied. Das Risiko geht daher wieder gegen Null.

Aber letzteres hatten wir bereits besprochen und genau das ist das tatsächliche Risiko. Wer einen fremden Proxy oder DNS einrichtet, der geht das Risiko ein, dass mehr Traffic abgefangen und umgeleitet wird, als für die eigentliche Aufgabe nötig ist. Auch das Risiko ist dank verschlüsselter Verbindungen nicht mehr so groß, wie es mal war: niemand wird - ohne Benutzerinteraktion - das Google-Passwort klauen, die E-mails lesen oder Schadsoftware installieren können. Aber es ist immer noch ein signifikantes Risiko. Proxy und DNS sollten also wirklich so kurz wie absolut nötig aktiviert werden (Proxy an, Check anstoßen, Proxy sofort wieder aus: Download geht auch ohne) und keinesfalls sollte man damit unbedarft im Netz surfen.

Und genau deswegen ist es so frustrierend, wenn hier dank mangelndem Sachverstand und gefährlichem Halbwissen vor rein fiktiven Risiken wie manipulierter Firmware, dubiosen Cloud-Servern und eingeschleuster Schadsoftware gewarnt wird (wir wissen eben genau woher die Firmware kommt, die wir ohne Bootloader-Unlock installieren können: ausschließlich von Huawei) aber die reale Gefahr von denen, die diesen Blödsinn hier rumkrakelen, dabei außer acht gelassen wird.

 

[meile]

Gerade bei FirmwareFinder müssen die ROMs ja offiziell freigegeben sein - nur halt evtl. nicht offiziell (voll) ausgerollt. Auch das ist wieder ein kleiner, dezenter Unterschied. Das Risiko geht daher wieder gegen Null.

Naja, Huawei muss ja auch seine Testsoftware signieren und deployen. Die ist dann zwar signiert aber nicht zum Rollout freigegeben.

 

[freibooter]

Die ist dann zwar signiert aber nicht zum Rollout freigegeben.

Signiert sind alle ROMs von Huawei. Nur macht Huawei ja sogar bei der händischen Installation zusätzlich den IMEI-Freigabe-Online-Check - und, im Gegensatz zu FunkyHuawei, kann FirmwareFinder diesen Check nicht umgehen.

Testsoftware wird eben nur für IMEIs freigegeben, die für den Test vorgesehen sind, deshalb kann man z.B. C432B130-log auf keinem unserer Geräte via FirmwareFinder installieren, egal wie sehr man mit DNS oder Proxy trickst - sondern nur auf Geräten, die auf der IMEI Whitelist stehen.

Wenn die eigene IMEI für eine Firmware freigegeben ist, dann kann man sich ziemlich sicher sein, dass die Firmware auch dafür ausgerollt wird - es sei denn, es treten beim Staged Roll-Out offensichtliche Probleme zu Tage und sie muss daher zurückgezogen werden: z.B. wenn die Österreicher, die die Firmware bereits regulär erhalten haben, sich mehr als üblich über Probleme beschweren.