CalyxOS: fastboot: error: cannot get boot partition size

[llluuuzzziii]

Ich kenne mich mit CalyxOS leider überhaupt nicht aus. Momentan würde ich aber denken, daß das (wie alle anderen auch) auf AOSP basiert? Theoretisch könnten die natürlich frei verfügbare Sachen in Android einbauen. Aber das ist für ein nichtkommerzielles Projekt bestimmt ziemlich aufwändig.

Egal wie man das Problem (gelockter Bootloader) betrachtet bleibt aber ein Grundsatz bestehen: ausnahmslos jeder "Chain of Trust", also die Kette des gegenseitigen Vertrauens, beginnt mit einem privaten Schlüssel! Wenn ein Telefonhersteller das Telefon autorisiert diesen ChoT zu gründen, MUSS dieser dem Telefon einen entsprechenden privaten Schlüssel einbauen.
Wenn dann dieser Schlüssel nicht genutzt wird (egal von wem er nicht genutzt wird!) ist dieser "Chain of Trust" nicht vollständig und somit angreifbar!
Selbst wenn also die Firmware "irgendwie" ein CustomROM/CustomRecovery verifiziert (und z.B. das erneute Flashen verhindert), ist diese Verifizierung sinnfrei wenn die Vertrauenskette im "Irgendwo" beginnt. Die Verifizierung basiert also z.B. nicht darauf das ein Zertifikat als gültig überprüft wurde (wie beim StockROM), sondern es wurde lediglich "wiedererkannt".

Die einzige Möglichkeit das anders zu gestalten wäre, wenn Telefone einen hardware-seitigen SIM-Lock hätten und jederzeit (auch mit kaputter SIM, und im Moment des Flashens einer Firmware) eine Verbindung zum Hersteller (oder einem anderen Mitglied des Chain of Trust) aufbauen könnten (bei der "Erfindung" der Handys war das so geplant. A-/B-Netz-Handys hatten das). Dann bräuchte einerseits kein privater Schlüssel offline vorhanden sein, und LOS könnte andererseits seinen privaten Schlüssel dem "Vertrauensgeber" aushändigen ... und die Vertrauenskette wäre vollständig.

Und genau so funktioniert praktische Sicherheit auf dem Telefon: es beginnt mit einem privaten Schlüssel (PIN/PW/Sperrmuster/Fingerabdruck) und endet mit der ständigen Aufgabe, dafür zu Sorgen, daß dieser Schlüssel privat bleibt. Wenn also das Gerät verschlüsseln kann, und der Benutzer Angst hat vor Datenmissbrauch/-Verlust UND DEN PRIVATEN SCHLÜSSEL BEWACHEN KANN[!!!], dann ist eine Verschlüsselung das beste Mittel WEIL ER SELBST DER ANFANG DER VERTRAUENSKETTE IST. (So verspricht es zumindest AOSP!)

Der Knackpunkt ist also das "Bewachen" des Schlüssels. Wer ein "userdebug"-Build hat (so wie wir LOS-Benutzer) hat es also schwerer als der Standard-Android-Benutzer. Bei LOS ist root bereits eingebaut (aber für alles ausser ADB deaktiviert). Wer also sein LOS nicht rootet, eine Bildschirmsperre einrichtet, das Gerät verschlüsselt und adb abschaltet hat 99,9% der möglichen Sicherheit erreicht und braucht keine Angst vor einem verlorenen Handy haben.

(Wer sein Handy rootet ... aber trotzdem weltmeisterlich seinen Schlüssel bewachen kann, hat aber vielleicht 99,9999% ;o)



Google Pixel 3 mit LOS17.1

[clxosquestions]

@llluuuzzziii

Das ist mal eine tolle, verständliche Ausführung. Danke dafür!
 
Kürzlich habe ich einen Jungen in der Straßenbahn gesehen, dessen Bildschirmsperrcode war 3333 ... Gefundenes Fressen für einen Taschendieb. Der braucht nach dem Klau das Ding noch nicht mal an den Computer anzuschließen. Vernünftig wäre also wahrscheinlich PIN + Fingerprint oder Muster + Fingerprint als Entsperrcode.

[llluuuzzziii]

Das freut mich. ;o)
Vielleicht wird dadurch auch etwas klarer warum manche LOS-Entwickler Bauchschmerzen mit Magisk haben (Magisk muss tief in die Trickkiste greifen weil es auch unter StockROMs funktionieren will), warum sie addonsu etwas besser finden (weniger offene Tore), warum sie MicroG als ein absolutes no-go bewerten, und warum sie weniger Bauchschmerzen mit Google haben als der Durchschnitts-LOS-Nutzer (Android ist FOSS! FOSS schafft Sicherheit)

Google Pixel 3 mit LOS17.1

[clxosquestions]

(13.10.2020, 00:28)llluuuzzziii schrieb: Das freut mich. ;o)
Vielleicht wird dadurch auch etwas klarer warum manche LOS-Entwickler Bauchschmerzen mit Magisk haben (Magisk muss tief in die Trickkiste greifen weil es auch unter StockROMs funktionieren will), warum sie  addonsu etwas besser finden (weniger offene Tore), warum sie MicroG als ein absolutes no-go bewerten, und warum sie weniger Bauchschmerzen mit Google haben als der Durchschnitts-LOS-Nutzer (Android ist FOSS! FOSS schafft Sicherheit)

Google Pixel 3 mit LOS17.1

Als ich Magisk runtergelagen habe, hat mir mein Virenscanner nach übereinstimmender sha256sum angezeigt, das ZIP würde AdWare enthalten.   Ich hab das Ding sofort wieder gelöscht.

Was ich nicht ganz verstehe, warum fahren die LOS User denn so auf G00gle ab? Ich dachte, die zentrale Idee von solchen ROMs wäre es, dass man sich eben davon unabhängig macht, zwar trotzdem die Sicherheitsvorteile nutzt, aber ohne Überwachungs-Bloatware. Ich hab noch nicht einmal microG installiert.

Leider weiß ich derzeit keine Möglichkeit, wie ich Calyx über adb noch nachkonfigurieren könnte. In fastboot funzen die adb commands selbstverständlich nicht. Kann man sich eigentlich über F-droid Terminal installieren und während dem laufenden Betrieb A-GPS und so weiter abändern?

[llluuuzzziii]

Prinzipiell kommst Du auch über eine lokale Shell an die adb-Shell dran. Ich denke Termux kann das nicht. Aber LOS hat auch ein Terminal eingebaut. Eventuell klappt das bei diesem?
Wenn Du scripten willst brauchst Du aber keine zusätzliche Shell. LOS hat init.d drin. Da kann man auch eigene (Start-)Scripte laufen lassen. Das wird z.B. von GApps und Magisk genutzt.

Der Grundgedanke von LOS ist nicht "google-frei" sondern "your data - your rules" (durch funktionierendes AOSP für soviele Geräte wie möglich mit möglichst wenig Aufwand). Deshalb nutzen viele Maintainer zwar die GApps, supporten die aber nicht. Es geht also darum überhaupt ersteinmal wählen zu können, ob ich meine Daten verschenke oder nicht.
AOSP dann vollständig zu "entgoogeln" würde diesem Gedanken entgegen stehen, weil jemand der seine Daten verschenken möchte, das dann nicht tun könnte. Insofern nervt die das dann schon gewaltig, wenn irgendeine Blindpese um die Ecke kommt und einen Zwergenaufstand wegen "nicht genügend entgoogelt" macht.

Google Pixel 3 mit LOS17.1

[clxosquestions]

(13.10.2020, 01:27)llluuuzzziii schrieb: Prinzipiell kommst Du auch über eine lokale Shell an die adb-Shell dran. Ich denke Termux kann das nicht. Aber LOS hat auch ein Terminal eingebaut. Eventuell klappt das bei diesem?
...
AOSP dann vollständig zu "entgoogeln" würde diesem Gedanken entgegen stehen, weil jemand der seine Daten verschenken möchte, das dann nicht tun könnte. Insofern nervt die das dann schon gewaltig, wenn irgendeine Blindpese um die Ecke kommt und einen Zwergenaufstand wegen "nicht genügend entgoogelt" macht.

Google Pixel 3 mit LOS17.1

Also Termux hat schon mal glaube ich keinen Zugriff auf Systemdateien. Und die konventionellen commands "cd, ls" geben haargenau gar nichts zurück. Schade. Aber ich suche mal weiter nach anderen Möglichkeiten.

Was "entg00glen" betrifft. Klar, ich schnalle schon, dass das nicht vordergründig das Ziel von LineageOS ist. Hier geht's eher um Konfigurierbarkeit vom OS und sideloading usw. Wer sein Smarthphone entg00glen will, der nimmt eben CalyxOS (duh! Threadtitel) oder die hardcore Variante GrapheneOS. Und um Calyx geht es hier im Thread ja, nicht um Lineage. CalyxOS stellt den Anspruch zumindest weitreichend entgoogled und trotzdem benutzerfreundlich zu sein. Es ist praktisch der manifestierte "Zwergenaufstand", den du hier attestierst.

Mir geht es auch in erster Linie darum: Tracking durch Firmen bestmöglich abzustellen, auf Hardware- und Software-Ebene. Ein PinePhone oder Librem 5 wäre natürlich der Oberhammer, mit Hardware-Killswitches. Aber den alternativen Anbietern wird es ja so schwer wie möglich gemacht, sich hier einen Platz am Markt zu schaffen. Bzw. haben sie bei weitem nicht das Kapital, das nötig ist, um leistbare, stabile Geräte auf den Markt zu bringen.

Dahin hat uns unter anderem der "Freemium"-Betrug von G. und Co. gebracht: Android, komplett auf G. getrimmt, wurde "kostenlos" an die Smartphonehersteller und Mobilfunkanbieter lizenziert, damit diese Datenschutzkatastrophe auch innerhalb von ein paar Jährchen auf allen Geräten läuft. So ist es schon passiert. Nach und nach ist die Konkurrenz ausgetrocknet worden und ist still und heimlich weggestorben. Blackberry hat sich noch ein bisschen ins Smartphone Segment bemüht, kniete dann aber erst vor Amazon nieder (integrierte, unlöschbare Bestandteile fix im OS) und stieg dann schlussendlich auf Android um.

Ich kann schon verstehen, dass ein Tech-Enthusiast Android klasse und aufregend findet und dem Thema Datenschutz unreflektiert gegenübersteht. Für mich drängt sich da aber zuallererst nur der bittere Monopolstellenwert auf, den sich G. hier gezielt und perfide erarbeitet hat. Das ist langfristig kein Gewinn, sondern eine Kapitulation. Das Denken sollte nicht in die Richtung gehen "Wie können wir Android bestmöglich konfigurieren?" sondern vielmehr "Wie können wir G. da gänzlich aus der Gleichung streichen?"

Dass das etwa undankbar wäre, weil sie doch mit Android einen sicheren, komplexen Grundstein gelegt haben, ist weit von der Realität entfernt. Immerhin hat  G. von Beginn an Kapital aus unseren Daten geschlagen und das auf die unterschiedlichsten Arten. Sei es online oder offline ... Immer unter Verschluss und möglichst so verschachtelt, sodass niemand das individuelle Ausmaß seiner eigenen "Verramschung" mitbekommen wird.

Von daher stehe ich deiner "Blindpese mit Bock auf Zwergenaufstand" mit einem Lächeln gegenüber. Wenn du das so siehst, schön. Ich glaube mir geht es hier um etwas ganz anderes mit Calyx, als dir mit LineageOS.

[llluuuzzziii]

Bezüglich dem Datenschutz hast Du natürlich Recht. Wenn aber die große Masse der Endanwender ihre Daten weggeben für einen Komfortgewinn ...

Ich hatte Blackberrys ... und die hat der Markt gefressen. Wenn Wir (die Endanwender) Werbung zu einer harten Währung machen, wird natürlich derjenige gewinnen, der am Meisten von dieser harten Währung gewinnt.

;o) das "entgoogeln" sinnvoll wäre, hat ja keiner bestritten. Blindpese und Zwergenaufstand bezieht sich auf die vielen Nörgler die regelmäßig im IRC/Reddit und sonstwo auftauchen.

Google Pixel 3 mit LOS17.1

[gogol]

Leicht offtopic: Auf golem.de ist am Montag ein ausführlicher Artikel zu CalyxOS erschienen:

https://www.golem.de/news/calyxos-im-tes...51555.html

[clxosquestions]

(21.10.2020, 09:59)gogol schrieb: Leicht offtopic: Auf golem.de ist am Montag ein ausführlicher Artikel zu CalyxOS erschienen:

https://www.golem.de/news/calyxos-im-tes...51555.html

Das klingt spannend, ist allerdings hinter einer Paywall / Ad-Zwangsaktivierung versteckt.   Schade.
(Ich muss gestehen, ich bin leider zu faul, um allzu viele Online-Abos abzuschließen. Einmalige spenden, ja gerne mal, aber pauschal alle Werbe-Cookies aktivieren, nich so geil.)

(20.10.2020, 22:24)llluuuzzziii schrieb: Bezüglich dem Datenschutz hast Du natürlich Recht. Wenn aber die große Masse der Endanwender ihre Daten weggeben für einen Komfortgewinn ...
Ich hatte Blackberrys ... und die hat der Markt gefressen. Wenn Wir (die Endanwender) Werbung zu einer harten Währung machen, wird natürlich derjenige gewinnen, der am Meisten von dieser harten Währung gewinnt.

Das ist eben das Problem dabei: Die großen 4 schaffen sich hier ihre eigenen Regelwerke, die nichts mit staatlichen Gesetzen, Ethik, Moral oder bloß Kundenfreundlichkeit zu tun haben. Der Status Quo ist "Datenkrake by default", statt "Privacy by Design".

Anders, als man es sich vor 15 / 20 Jahren gedacht hätte, sind die Leute nicht etwa technikbewandter geworden ... ganz im Gegenteil. Jeder nutzt sein Smartphone out of the box und kaum jemand wirft auch nur mal einen Blick in die Geräteeinstellungen, jenseits von der WLAN Konfiguration. Aber selbst wenn der Otto-Normalverbraucher die Einstellungen zugunsten von mehr Privatsphäre optimieren würde, man stößt schnell an die Grenzen des Machbaren. In iOS lässt sich beispielsweise diese eigenartige Health-App erst gar nicht löschen. Wieviele Telemetrie-Funktionen in den Geräten unbemerkt mitlaufen, Bluetooth-Beacons und so weiter ... das ist den meisten Leuten gar nicht bewusst. Und selbst wenn man es ihnen erklärt, mangels Transparenz und "Spürbarkeit" der Auswirkungen ist es ihnen momentan scheißegal. Immer wieder hört man "Bin doch zu unwichtig, das betrifft mich gar nicht!".

In The Tenet hat es diese indische Waffen-Baronin gut ausgedrückt: "Emails, Textnachrichten, Kreditkartenzahlungen ... das alles ist im Grunde in die Zukunft gerichtet; es kommuniziert direkt mit der Zukunft."

Werbung zu einer harten Währung machen
Da hast du ganz recht, dafür sollte man sich einsetzen. Leider haben bis jetzt wenige begriffen, dass der Konsument für den digitalen Zwangs-Exhibitionismus vergütet werden sollte. Da hab ich eine Buchempfehlung:  Hannes Grassegger – Das Kapital bin ich (Kein & Aber, 2018)

Zitat:"Wie bereits erwähnt, wird die Verarbeitung von unseren persönlichen Daten allein in Europa 2020 rund eine Billion Euro pro Jahr Umsatz entstehen lassen. Das entspricht 2000 Euro pro Jahr pro EU-Bürger."

S. 85

Ich finde es irrsinnig empörend, wie hinterlistig und geheimniskrämerisch hier unsere persönlichsten Daten verkauft werden, von intimen Gesprächen über Krankheitsdaten bis hin zu Kreditwürdigkeitseinstufungen. Und angesichts dessen, was alles schon medial über diese Verbrechen verbreitet wurde, herrscht eine stoische Gleichgültigkeit in der Bevölkerung.

Ich bin nicht besonders bewandt, was Programmieren angeht. Aber ich würde sagen, ich bin sehr technikbegeistert und informiere mich regelmäßig über den aktuellen Stand der Dinge. Mich fasziniert es, dass es eine Breite Community gibt, wie eben hier im LineageOS Forum, die sich mit Sideloading, Konfigurierung und Jailbreaking beschäftigt. Und diese Tools können uns helfen, solchen Ungerechtigkeiten und Verbrechen einen Riegel vorzuschieben. Das ist für mich spannend und erbauend! Ein Lichtblick, kann man auch sagen, denn mitanzusehen, wie wir von Jahr zu Jahr mit neuen Möglichkeiten des Trackings überschwemmt werden, ist einfach nur deprimierend.

  Sorry for the rant!

[gogol]

Hallo clxosquestions,

zum Artikel: Ja, du hast recht. Das ist ziemlich nervig. Ich hab dann kurz an der "Umfrage" teilgenommen. Das war eine Frage, die ich dann falsch beantwortet habe. Dann kann man lesen. Und da es mir das Thema wert war, hab ich's halt auf mich genommen .

Zum Rest deines Posts: Ich kann dir nur in allem zustimmen. Vor allen Dingen dem Teil, in dem du dich über die LOS-Community freust. Das geht mir genauso. Ich freue mich immer diebisch, wenn ich ein weiteres Smartphone oder auch ein Laptop oder einen weiteren PC "befreie" und ihn mit Hilfe von x Menschen auf der ganzen Welt
mit Freier Software bestücken kann.

gogol