Up-to-date belangrijk?

[Computeraar2013]

Hoi

Het is weer tijd om een nieuwe smartphone te kopen.
Mijn huidige moto g5+ heb ik nu bijna 40 maanden in gebruik, en hij vertoont steeds vaker kuren (o.a. icoontjes blijven in het scherm hangen, schermverlichting gaat niet uit en telefoon reageert niet meer, batterij gaat nu echt snel leeg et cetera).

Nu ga ik weer voor een budget/midrange telefoon, tussen de 180/280 euro.
Ik kan kiezen uit een vrij recent model (poco x3, nokia 5.4, een aantal xiaomi, readme7..).
En een ouder model, de samsung a41/51.

De a41 lijkt me goed genoeg voor mij (ik wil vnl nfc/fmradio/vingerafdruk welke niet op achterkant zit. En ik heb het liefst een niet al te grote/zware/dikke telefoon, dat je twee dagen met een batterij kan vind ik niet zo belangrijk, ik zal hem toch elke dag opladen. Pas als je een week met een gevulde batterij kan doen wordt het interessant voor mij).

Mijn vraag is deze.
Vanuit welke gedachte wordt vaak gezegd dat een update (software/beveiliging) zo belangrijk is?

Mijn huidige telefoon draait op:
Android 8.1
Beveiligingspatch 01 februari 2019.
De laatste update dateert van twee jaar geleden

Echter, als ik aan veiligheid denk dan denk ik dat apps als de Digid, Ing en Mijnoverheid en mail/opslag apps die niet van google/android zijn zoals Outlook, Dropbox en Protonmail dan een waarscguwing zouden geven of zichzef niet zouden laten installeren/gebruiken.
Maar dat is wel het geval, deze apps werken dus op een telefoon met de laatste update van meer dan 2 jaar geleden. Ik zou denken dat er nks aan de hand is met oude software.

Ik begrijp dat een gedeelte van de veiligheidsissues zit in het feit dat mensen op een linkje in een sms klikken (fishing) of dat mensen zelf verkeerde apps installeren.
Maar toch ik hoor eigenlijk weinig dat instanties of overheden aanraden om altijd up to date te zijn omdat het zo gevaarlijk is.

Daarnaast maal ik niet om de meeste vernieuwingen. Android 4.0 was voor mij net zo goed in gebruik als android 8, alles wat ik wil deed het toen ook al.

Dus,als ik een telefoon koop die zeg maar een jaar geleden voor het eerst verscheen in de Pricewatch, en ik ben van plan er drie jaar mee te doen, is dat nou zó onveilig?
Laat ik me door de commercie leiden als ik alleen een telefoon wil die max 3 maanden oud is?

Met vriendelijk groet

[Umbrah]

Ik zou zeggen dat tegenwoordig de bevelligingspatch belangrijker is dan de Android versie. Doorgaans is dat laatste meer functionaliteit (die ook in andere vormen terug kan komen), terwijl de beveiligingspatch dingen kan blokkeren zoals nep popups die voor phishing gebruikt kunnen worden, of SSL-lekken/verlopen certificaten/etc...

Een lek in het besturingssysteem kan bijvoorbeeld een website in staat stellen om informatie uit andere apps te trekken in het slechtste geval los van de versie van de app zelf.

Hoewel ik recent m'n Galaxy S8 eindelijk met pensioen heb gestuurd (een dag 1 aankoop, lang vol gehouden, accu was nog acceptabel, maar hij was gewoon op qua accu/te traag/etc), kreeg zelfs die nog beveiligings updates (toen ik hem uit zette zat hij op december 2020), los van het feit dat hij op Android 9 was blijven steken.

Ik heb nu een Android 11 telefoon (Galaxy Fold 2 5G), en tsja... er staat gewoon bij dat de beveiligings updates door blijven gaan voor vier jaar.

Ik zou dus zoeken wat de garanties zijn van de fabrikant rondom updates. En misschien hoe repareerbaar een telefoon ook is . Beveiligingsupdates zijn bij elk besturingssysteem belangrijk (ik kan ook wat boos worden als mensen hun Windows Updates uitzetten). Zeker in het huidige kat-en-muis phishing/crypto/botnet wereldje.

[dutchgio]

Zie bijvoorbeeld de volgende kwetsbaarheid in Android (mei 2020):
https://www.welivesecurit...lmost-any-app-steal-data/

Hiermee kan een malafide app zich voordoen als een legitieme app zoals een bank app, DigiD, MijnOverheid etc. zonder dat de gebruiker het door heeft, waardoor je dus bijvoorbeeld onwetend de inloggegevens van een belangrijke app naar de aanvaller zou versturen.

Google provided a patch to Android device makers in April 2020, with the fix – for Android versions 8.0, 8.1 and 9.0 – being rolled out to the public as part of the latest assortment of monthly security updates throughout this month.

Een niet-geupdate toestel blijft dus kwetsbaar voor een dergelijke kwetsbaarheid.

Bij veel van dergelijke kwetsbaarheden zal er inderdaad een vorm van 'user interactie' moeten zijn; het installeren van een app, het klikken op een malafide link, etc.
In dit geval is dat ook van toepassing.

[...] once a malicious app is downloaded and installed on a vulnerable device [..]

Met enkel apps uit de Playstore installeren is dat risico echter niet volledig afgedicht, aangezien er met enige regelmaat een malafide app door de automatische(?) controles van Google heen weet te komen of dat er een bestaande, populaire applicatie wordt gecompromitteerd.

Je zal dus altijd een risico blijven lopen met een verouderd, niet up-to-date toestel. Waarbij hoe ouder de laatste update, hoe hoger het risico. Of dat het je waard is om er mee rond te blijven lopen...

Maar we zitten op Tweakers... Voor veel toestellen zijn open-source custom roms beschikbaar die wel langer ondersteund worden dan de fabrikant dat doet inclusief de beveiligingsupdates. Wellicht is dat ook nog een optie.

[Juup]

Zonder beveiligingsupdates komen er steeds meer kwetsbaarheden aan het licht, sommige zelfs "zero-click".
Dat betekent dat iemand jou een SMS, MMS, WhatsApp of e-mail kan sturen (meestal met een foto of video er in) waarmee de telefoon overgenomen kan worden, zonder dat jij iets hoeft te doen.

[JaDatIsPeter]

Computeraar2013 schreef op maandag 1 maart 2021 @ 12:55:
Mijn vraag is deze.
Vanuit welke gedachte wordt vaak gezegd dat een update (software/beveiliging) zo belangrijk is?

https://veiliginternetten.nl/themes/mobiel/
https://www.consumentenbond.nl/acties/updaten/faq
https://radar.avrotros.nl...geen-updates-meer-krijgt/

Laat ik me door de commercie leiden als ik alleen een telefoon wil die max 3 maanden oud is?

Als je het zo stelt: Ja.
Het gaat nl. niet om de leeftijd van de telefoon. Het gaat om hoe lang je nog security updates krijgt. Bij een Apple ca. vijf jaar en bij Android One drie jaar. Een twee jaar oude iPhone krijgt nog net zo lang updates als een gloednieuwe Nokia.

[ Voor 11% gewijzigd door JaDatIsPeter op 01-03-2021 13:24 ]

[michielRB]

Ik kies mijn telefoon altijd zo dat ik er LineageOS of /e/ op kan zetten. Mijn huidige telefoon is een MI5 van bijna 6 jaar oud. Deze draait nu LineageOS 17.1 (Android10) en krijgt wekelijks security updates.
Oh en ik zie net dat er inmiddels een unofficial versie van LineageOS18.1 is (Android 11)
https://forum.xda-develop...-for-xiaomi-mi-5.4170027/

[ Voor 26% gewijzigd door michielRB op 01-03-2021 13:30 ]

[Computeraar2013]

omg, ik heb een hele lap tekst getyped en toen wilde ik een stuke quoten van een reactie en mijn hele tekst is weg. Facepalm.

Bedankt voor de vele informatieve reacties

Dus even in het kort.
- Ik ga opletten op de long term ondersteuning voor security patches
Ik lees weleens in reacties dat Nokia toch niet doet wat ze hebben beloofd. En Motorola heeft mijn moto g5+ niet lang genoeg ondersteund, er was sprake van dat er langer ondersteuning zou zijn, hele fora stonden vol met klachten. En ik wil toch onder de €300 blijven als ik een telefoon koop.

- Ik weet dat we op Tweakers zitten, maar ik ben meer een pricewatcher en artikelen lezer dan OS op de smartphone zetten. Toen ik afscheid nam van mijn Samsung S3 heb ik het geprobeerd, netjes de procedures gevolgd, maar het is mij toen niet gelukt. En om dat dan met een gloednieuw toestel te doen, daar ben ik dan niet te handig voor.

- Over security breaches in het algemeen. Als ik terug kijk naar bv de laatste 20 jaar dan bleek toch vaak dat er al heel lange tijd allerlei lekken of backdoors in Windows zat, ook in flash, en paar jaar geleden ook in CPU's van Intel toch? En eens a twee x per jaar zet ik even een AV/Malware op de telefoon (ook de dag na een laatste update!) en die geeft dan aan dat er iets als een zero day kwetsbaarheid is en ik zou dan de AV moeten blijven gebruiken.
Zijn dat geen breaches die toch niet exploit worden om individuele gebruikers te hacken, maar alleen bedrijven? Althans, komt er weleens in het nieuws dat b.v. tienduizenden gebruikers van een bepaalde telefoon zijn gehijacked? Als er een lek is, dan zal er toch wel een verveelde whizzkid dat willen misbruiken?
De kans is toch heel klein? (heb het over pc security in het algemeen)

- De zero click is nieuw voor me, dank je wel

- Apps installeer ik sowieso via de Store. Ooit lang geleden adblockplus en laatst een keer whatsapp_dev buiten de store om gedownload, maar ja, daarvan kan je zeker zijn dat het veilig is. Sowieso elke repositoty kan ooit besmet raken, of het linux is of ccleaner, pech kan iedereen hebben. Ik ben wel erg bewust van pishing en derdelijke, beetje klikken op een link doe ik niet zomaar, ook niet op een link uit een email. Ik google me zelf wel naar de link, bijvoorbeeld

- bedankt voor de websites, ik zal komende week weer eens wat lezen. Merk dat ik me heel lang niet meer meer echt met veiligheid heb beziggehouden, sinds windows 7 draait alles perfect, in de tijd van XP was ik er wel flink bezig ermee

Dus nog even terugkomen op de telefoons.
Budgettelefoons van Nokia (5.4), Samsung (4.1, heel misschien 5.1), Xiaomi (zoveel soorten ben het even vergeten, dacht remi note 9 (pro/s/t), RealmePro7 en PocoX3; krijgen goedkope telefoons ook een aantal jaar security updates? Ergens denk ik dat ik beter voor Nokia/Samsung kan gaan ipv de chinezen maar dat is dan weer ongefundeerd lijkt me.

Tijds om te koken en de links te lezen.
Dank jullie wel, ik ben weer even op juiste pad! Groetjes

[Seal64]

De enige long-term ervaring tot nog toe waren mijn Lumia 535 en nu mijn Nokia 7+. Die Lumia heb ik een jaar of twee gehad, maar heb ik weggedaan omdat het touchscreen niet goed meer reageerde en omdat de apps uit begonnen te sterven, maar daar kwamen nog netjes updates voor uit.
De Nokia zit in het Android One programma en tot nog toe maken ze dat netjes waar. Maandelijkse updates (al komen ze meestal pas tegen het eind van de maand of zelfs het begin van de volgende, maar ze komen wel) en twee upgrades (8910). In principe zou het daarmee nu ook einde oefening moeten zijn (de N7+ is van maart 2018) en de 2021-02 update is al binnen, dus het is nu even afwachten. Het feit dat ze maar drie jaar hoeven doen wil niet zeggen dat ze niet langer mogen of kunnen.
Verdere ervaringen heb ik zo niet. Ja, de Iphones van mijn vriendin. Een 6S die inmiddels verkocht is wegens niet al te beste accu meer (maar nog wel updates) en nu een XR maar qua updates is die nog te nieuw om daar veel over te kunnen zeggen.
Mijn vader draait doorgaans op de afdankertjes van mijn zus, maar die doet weinig meer dan appen op dat ding, dus security interesseert ‘m geen bal. Bankieren doet hij bij voorkeur nog op stenen tabletten, maar bij gebrek daaraan is de PC een acceptabel alternatief.