riloka schrieb:
Nicht jedes Sicherheitsrelevante Problem braucht einen Patch von Qualcomm. Sehr oft ist das Problem im Android und seinen Diensten wie dem Mediaframework.
Das stimmt, aber schau dir mal die monatlichen Android Security Bulletins an. Da gibt es jedes Mal Firmwareupdates für Qualcomm Komponenten, die für Fairphone 2+3 eben nicht mehr angeboten werden.
Damit dürfen sie dann nicht mehr mit dem entsprechenden Sicherheitspatch werben. Sie tun es aber trotzdem.
AssembIer schrieb:
Etwas reißerisch deine Argumente. Erstmal, woher willst du wissen das andere Hersteller es nicht genau so machen? Also den Security Patch Level anheben, obwohl man nicht mehr alle Fixes einpflegen kann, da es keine aktuellen SW Packete für bestimmte Bauteile mehr gibt.
Die anderen Hersteller sind bemüht dies nicht zu machen. Es gab vor ein paar Jahren ja mal einen Aufschrei weil Samsung und Co. 1-2 Updates übersehen hatte.
Fairphone dagegen wirbt hier teilweise mit einem aktuellen Stand, dann fehlen aber Jahre(!) an Updates.
AssembIer schrieb:
Sollen sie dann einfach den Patch Level so belassen, obwohl sie einige der Probleme beheben konnten? Es ist nicht die Schuld von Fairphone das Google diesen Fall nicht berücksichtigt hat.
Doch, diesen Fall hat Google beachtet und die Anforderungen an den Sicherheitspatchstand sind klar definiert:
Zum Stand Oktober schreiben sie zum Beispiel:
- Devices that use the 2021-10-01 security patch level must include all issues associated with that security patch level, as well as fixes for all issues reported in previous security bulletins.
- Devices that use the security patch level of 2021-10-05 or newer must include all applicable patches in this (and previous) security bulletins.
Es müssen also immer auch alle vorherigen Sicherheitspatches integriert sein. Wenn etwas fehlt, darf man eben keine neuere Version angeben.
Ich habe vollstes Verständnis dafür, dass Fairphone für EOL Hardware nun mal keine weiteren Sicherheitsupdates liefern kann.
Es ist vollkommen legitim, den Sicherheitsstand dann eben einzufrieren, die Kunden auf die fehlenden Updates hinzuweisen und dann so gut wie möglich die restlichen Sicherheitsupdates auszuliefern.
So macht es z. B. Google bei den Pixel-Geräten wenn sie selbst keine Updates von Qualcomm mehr erhalten, GrapheneOS mit den Extended Releases oder teilweise LineageOS.
Womit ich aber ein Problem habe ist, wenn sie bei Geräten für 15 Monate am Stück (!) keine Sicherheitsupdates liefern und dann dennoch twittern, dass sie der einzige Hersteller wären, der 5 Jahre durchgängig ("continuous") Sicherheitsupdates liefern würden.
Und ebenso problematisch ist, wenn Medien wie z. B. Computerbase diese Angaben ohne Prüfung kritiklos übernehmen. Man sieht ja hier im Thread wie die Leute darauf reingefallen sind und dies als Kaufargument pro Fairphone nutzen.
Hier werden Kunden von Fairphone in falscher Sicherheit gewogen, denn die Geräte sind teilweise über Jahre alte Sicherheitslücken angreifbar.
Man könnte jetzt natürlich sagen, dass man da bei Fairphone als kleines, umweltbewusstes Unternehmen nicht so genau hinsehen muss.
Oder man könnte es als Lüge und Kundenverarsche bezeichnen.