Beiträge von cprbrn

Zitat von Blueskin

Ist das so etwas wie ein unveränderliches Naturgesetz, dass System-Entwickler über Jahre hinweg die (Sicherheits-)Lücken in ihren eigenen Programmen nicht entdecken, aber irgendwelche Hacker schon?

Und dass deren Berufskollegen das als völlig normal ansehen?

Ich frage mich das ernsthaft!

Ich bin jetzt mal sehr direkt: Sorry, aber du hast absolut keine Ahnung, enttäuschenderweise aber auch kein Vertrauen in die Menschen, die es deutlich besser wissen als Du.

Eine Software ist nie fertig und nie 100% sicher. Das gesamte Umfeld unterliegt einer extremen Dynamik. Außerdem gibt es auch nicht "DIE SOFTWARE", sondern jedes System der Welt basiert irgendwie auf anderen Systemen. Es kann also sein, dass es eine Sicherheitslücke in einer Komponente gibt, die man nutzt, selbst aber nicht entwickelt hat.

All dies ist NORMAL. Digitale Evolution.

Zitat von Blueskin

Denn auch die (zugeben wenigen) ITler in meinem Freundeskreis schwurbeln bei dem Thema immer gewaltig herum und "Sicherheitslücken" scheinen quasi gottgegeben fester Bestandteil jeglicher Programme zu sein.

Dann geh doch mal tief in Dich und überlege, ob ALLE Fachkräfte in dem Bereich falsch liegen und Du als absoluter Laie recht hast.
Oder ob es nicht doch in Wahrheit umgekehrt ist.

Zitat von AuroraBlue

Eine Haftungsfreistellung per "Ich kenne die Risiken" wäre da vielleicht echt eine Lösung.

Nein, nicht unbedingt.

Grund: Die Gegenseite, also der Server, muss die Anfrage auf "Echtheit" überprüfen. Kommt sie also von einer originalen App auf einem sicheren Gerät? Oder gar von einer manipulierten App oder sogar einem Drittsystem? Ist es vielleicht sogar eine böswillige Anfrage, die versucht irgendwelche Zugangsdaten auszutesten?

Sowohl Apple, wie auch Google bieten dafür entsprechende technische Lösungen. Diese funktionieren nur ggf. nicht mehr in Systemen, die generell nicht mehr gewartet werden.
Und das finde ich auch vollkommen okay.

Zitat von Blueskin

Dort kaufen sich tatsächlich Menschen das Smartphone, welches ihnen - und ihrem Geldbeutel - gerade gefällt und das wird dann einfach benutzt.

Und wenn es nicht ins Klo fällt, das Kopfsteinpflaster küsst oder der (fest verbaute) Akku die Grätsche macht, wird das Gerät erst entsorgt, wenn der Reiz einer besseren Kamera im neueren Gerät zu laut ruft.

Und da gilt dann der Satz: "Wer billig kauft, kauft zwei Mal".

Es kann nicht das Problem von App-Herausgebern sein, wenn irgendwelche Smartphonehersteller sich nicht um die Wartung der Software kümmern.

Beispielsweise liefert Google entsprechende Lösungen, damit man die Datenübertragung (App <-> Server) soweit absichern kann, dass eine Manipulation und nicht gewollte Zugriffe möglichst unterbunden werden.
Dies ist absolut sinnvoll und dient der Sicherheit aller. (Ja, auch der, die ein neues Smartphone haben!)

Wenn diese Sicherheitslösungen aber nicht mehr auf alten Betriebssystemen laufen, muss man entscheiden: Nachteile für alle eingehen, nur weil eine kleine Gruppe veraltete Betriebssysteme nutzt?
Ich habe da eine klare Meinung zu.

Zitat von chris1821

Ich habe ein Iphone 13, bin weder IT'ler noch brauche ich immer das neueste Smartphone, aber wenn ich weiß, dass mein Iphone nicht mehr geupdatet wird, dann wird es ausgetauscht. Das ist einfach der gesunde Menschenverstand, dafür muss man kein IT-Nerd oder Protzer sein.

Und "lustigerweise" gibt es diese ganzen Diskussionen auch nicht in der Apple-Welt. Apple bietet über viele Jahre eine aktive Softwarewartung für die Geräte an. In vielen Fällen weit über die Lebensdauer hinaus.
Problematisch ist es primär bei billigen Android-Smartphones, bei denen die Hersteller einfach einen feuchten Dreck auf Updates geben.

Und als Entwickler kann ich Euch sagen: Die Berücksichtigung alter Systeme ist teilweise die absolute Hölle.

Ich glaube die Kombination aus Cupra Born und (günstigem) Android-Smartphone ist der ultimative Schmelztiegel für schlechte Softwarewartung.

Zitat von AuroraBlue

Außerdem: Auch ein aktuelles Android ist nicht sicher. Alleine in den letzten 2 Monaten wurden ein dutzend kritische CVEs gefixt, darunter sogar ein geheimer, schwerwiegender.

Mit dem großen Unterschied: Es werden Fixes bereitgestellt.
Ein Betriebssystem mit bereitgestellten Sicherheitsupdates ist also potentiell sicherer als ein System, welches generell keine Sicherheitsupdates mehr erhält.

Neben der eigentlichen Sicherheit geht es natürlich auch um die Softwareentwicklung. Irgendwann wird es immer ätzender, wenn man eine Abwärtskompatibilität zu Uralt-Systemen aufrechterhalten muss.

Zitat von AuroraBlue

Und sich dafür ein aktuelles LineageOS zu holen, mit aktuellen Patches, macht es angeblich unsicherer. Da wird es dann abstrus.

Da stimme ich zu. Wobei dies auch ein echter Edge-Case ist.

Die meisten Menschen nutzen vermutlich total unwissend eine uralte unsichere Android-Version. Die wenigsten werden sich wohl vor dem Kauf über die zu erwartende Support-Zeit durch den Hersteller informiert haben.

Zitat von Mr. President

ich bin überzeugt, dass mein altes Smartphone mit android 12 genauso sicher ist wie dein neues mit Android 14, 15 oder 16

Da weicht Deine Überzeugung leider von der Realität ab.

Cupra macht hier meiner Meinung nach (tatsächlich mal) alles richtig und unterbindet die Nutzung der eigenen App auf nicht mehr sicheren Betriebssystemen.
Nicht mehr sicher ist ein System, welches nicht mehr durch den Hersteller mit Sicherheitsupdates etc. versorgt wird. Das ist bei Dir der Fall.

Leider sind solche drastischen Schritte oft notwendig, da viele Menschen mangels IT-Wissen in dem Bereich ein falsches Sicherheitsgefühl haben.

Niemand wird dich aktiv gezielt hacken. Da sitzt kein Hacker in Skimaske, der es bewusst auf Dich abgesehen hat.
Es ist viel wahrscheinlicher, dass eine Sicherheitslücke in deinem Betriebssystem vollautomatisch z.B. durch Schadsoftware ausgenutzt wird.

Schuld ist hier also meiner Meinung nach vielmehr der Hersteller Deines Smartphones, welcher sich nicht ordentlich um die Softwarewartung kümmert. Andere Hersteller (meist höherpreisiger Geräte) tun dies.

Die Einheit gehört zu den klassischen Tausch-Teilen beim Born. Neben den Logo-Projektoren in den Spiegeln vermutlich eines der meist getauschten Teile.
(Böse Zungen würden hier von einer Fehlkonstruktion sprechen.)

Am besten meldest Du Dich beim und hoffst, dass er das Teil schon mal ohne Diagnose bestellen kann.

Ausclipsen geht, vermutlich wirst Du dort aber nichts einfaches finden, was man reparieren kann. Und wenn man nicht aufpasst, hat man einen Knick im Dachhimmel.

Mein Rat: Finger weg und alles über die Werkstatt laufen lassen. Dann ists sauber getauscht und dokumentiert.

Zitat von AuroraBlue

Also scrapt man sich alle 15-Minuten ein ZIP Download über die Webseite, um den SoC zu erfahren.

Das ist echt der allergrößte Witz. Absolut peinlich.

Mit dieser Lösung aus der IT-Steinzeit geht es nicht darum, dass Kunden weitere Systeme mit Fahrzeugdaten versorgen können.
Es geht nur um die minimale Erfüllung von rechtlichen Vorgaben.

Siehe https://www.heise.de/news/VW-k…hrzeugdaten-11312757.html

Glücklicherweise hat mein Auto eine dokumentierte REST-API und einen MQTT-Stream für den Datenabruf.

Zitat von Cyberjack

Danke für nix Cupra.

Das machen andere Fahrzeughersteller oder Anbieter sensibler Apps (z.B. Banken, Zutrittskontrollen etc.) aber auch so.

Und ich kann es komplett verstehen.

Wenn ein Gerät gerootet ist, laufen Apps in einer unkontrollierten und ggf. unsicheren Umgebung. Das ist nicht mehr planbar.

Der App-Anbieter kann keine Sicherheit mehr gewährleisten, dass Zugangsdaten oder gar digitale Schlüssel (fürs Auto) nicht unbemerkt an Dritte gelangen.

Zitat von Cyberjack

Ich habe aus beruflichen Gründe ein gerootetes Gerät im Einsatz, da ich Zugriff aufs Baseband des Gerätes benötige. Geht halt nur mit Root ...

Aus IT-Sicht würde ich in diesem Fall vorsehen, dass auf den beruflich genutzten gerooteten Geräten nur die für den Zweck genutzten Apps (Mobilfunk-Diagnose oder so) installiert werden.
Alles weitere wie die Fahrzeug-Apps dann auf einem zweiten Gerät, welches in einem sicheren Umfeld läuft.

Das ist wirklich ein absoluter Randfall.

Viel schlimmer finde ich eher, dass VW die inoffizielle Nutzung der API (z.B. für Ladesteuerung oder Home Assistant) kürzlich unterbunden hat, ohne eine ordentliche Alternative bereitzustellen.

Zitat von EschBorn

Ich kann Dir nicht sagen was das 5,2 Navi besser kann, ich weiß nur das die Ladeplanung von 3.x meinen Ansprüchen nicht genügt, nämlich einen Filter und ein Stack Ranking der Ladeanbieter. Mein Arbeitgeber möchte dass wir bevorzugt bei Shell und Aral laden, da bekommen wir die besten Konditionen. Ich darf aber überall laden, außer bei Tesla (die sind nicht im Netzwerk der Ladeanbieter, die ich nehmen kann). Also habe ich mir im Ranking noch ENWB und IONITY mit einer Priorität versehen. Außerdem bevorzuge ich Ladeparks mit vielen Ladesäulen weil ich keine Lust habe zu warten bis jemand wegfährt oder ich bei einer defekten Säule (kommt immer mal wieder vor…) gleich eine freie andere Säule zur Verfügung habe. Der Preis ist eher sekundär.

All diese Präferenzen kann ich beim 3.x Navi so nicht einstellen, also ist die Ladeplanung von 3.x für mich nichts. Dann zahle ich eben für ABRP.

Das Navi in 5.x unterstützt Topographie bei der Routen- und Reichweitenberechnung.

Scheinbar ist mal jemand mehr als 50km aus Wolfsburg heraus gefahren und hat gemerkt, dass es so etwas wie Berge gibt, die plötzlich die Verbrauchsdaten ganz anders aussehen lassen.

Weiterhin unterstützt das Navi scheinbar eine erwartete Geschwindigkeit auf den Streckenabschnitten (z.B. Autobahn) und rechnet nicht nur mit dem letzten Durchschnittsverbrauch.

Zusammengefasst hat man in Version 5.x eine präzisere Verbrauchsberechnung und somit Ladeplanung. Ist aber auch nicht schwer, es besser zu machen als in 3.x.

Außerdem eine automatische Vorkonditionierung vor einem Ladestopp.

Und da man mehr Leistung hat als der Apollo Guidance Computer im Born mit 3.x, ist auch nicht alles so unfassbar langsam.

Was weiterhin fehlt ist der Filter für Ladeanbieter. Den gibts sicher in Softwareversion 6.x.

Für eine sinnvolle Ladeplanung im Auto ist ABRP daher beim Born weiterhin das Mittel der Wahl.