'Xiaomi test optionele MIUI-beveiligingsfunctie die sideloading verhindert'

Smartphonemaker Xiaomi is bezig met het testen van een functie die sideloading onmogelijk maakt, claimt een Chinese site. Deze zogenoemde Pure Mode moet het per ongeluk installeren van malafide apk-bestanden tegengaan. De functie is uit te schakelen.

Xiaomi zoekt interne testers voor de 'pure modus', zegt ITHome. Het is onbekend hoe de functie precies afwijkt van de toggle 'installatie toestaan van onbekende bronnen', zoals die al sinds het begin in Android zit. Vermoedelijk is het verschil dat in de 'pure modus' de installatie geblokkeerd is, in plaats van dat een app of browser om toestemming vraagt om een app te installeren.

De functie is te allen tijde door gebruikers in- of uit te schakelen, zo vermeldt de tekst die ITHome citeert. De stap moet de beveiliging van de software verbeteren. Van alle apps uit onbekende bronnen die zijn gescand, zegt de Xiaomi-beveiligingssoftware van 10 procent dat het gaat om riskante apps. Het is nog onduidelijk of de modus in Android-skin MIUI zal komen en zo ja, wanneer dat precies gebeurt. Xiaomi heeft niet gereageerd op de publicatie.

Reacties (24)

[GekkePrutser]

Niet echt iets nieuws. Bij al onze zakelijke toestellen kunnen we dit ook uitschakelen. Is een configuratie optie die je naar de play services kan pushen (dit is ook het gedeelte dat APK's installeert).

Zelfs als de gebruiker slechts een work profile installeert (BYOD), kan je dit doen. Krijgen we veel klachten over maar onze security vereist dit.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 17:14]

[thomas1907]

Maar dan ga je als werkgever iets verbieden op een prive apparaat van de werknemer? Dan had ik toch wel om een telefoon van de zaak gevraagd hoor

[GekkePrutser]

Dat kan ook. Iedereen krijgt standaard een telefoon van de zaak bij ons, als hun baan dit behoeft. In de praktijk is dat vrijwel elke kantoormedewerker. Alleen de productiemedewerkers in China bijv. niet.

De BYOD configuratie is optioneel voor mensen die niet met twee telefoons willen lopen. Dan is dit de afweging die ze kunnen maken.

Sterker nog, we hebben zelfs een minimale configuratie waarbij ze wel kunnen sideloaden. Maar dan kunnen ze weer niet op VPN en WiFi. En ook niet alle apps (eigenlijk alleen email en MS Teams maar geen filesharing enzo). Deze configuratie wordt niet veel gebruikt vandaar dat ik deze niet had genoemd.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 17:14]

[Iblies]

Dat is een vreemde keuze dan.

Hier hebben ze BYOD al gestopt. Toestel van de zaak waar je verder eigenlijk niks mee mag/kunt en de werkgever kan er ook gelijk veel meer mee mbt monitoren.

Wordt ook gebruikt als hotspot voor laptop voor onderweg maar je mag het ook gebruiken voor je eigen telefoon. Zo wordt zakelijk en privé strakker gescheiden in ieder geval en we krijgen daar al soort clinics van wanneer je vooral niet bezig moet zijn.

[GekkePrutser]

Hier hebben ze BYOD al gestopt. Toestel van de zaak waar je verder eigenlijk niks mee mag/kunt en de werkgever kan er ook gelijk veel meer mee mbt monitoren.

Mja, monitoring is bij ons geen doel op zich. We doen daar eigenlijk helemaal niks mee, ook niet op zakelijke telefoons, ondanks dat hier meer mogelijkheden voor zijn.

En een beetje flexibele work/life balans vind ik niet slecht. Zolang het optioneel is. Ik heb zelf geen gezin dus ik hecht daar veel meer waarde aan.

[thomas1907]

Aha! Ja dan geef je een goede keus en kun je verder met die klachten ook niet zoveel doen

[SgtElPotato]

Is vaak een keuze die je maakt als werknemer. Je kunt voor BYOD kiezen en dan vervolgens een profiel vanuit de zaak krijgen, of je krijgt een toestel van de zaak.

[GekkePrutser]

Ja bij ons krijg je het werk toestel sowieso.

Maar als je in aanvulling daarop ook nog BYOD wil kunnen doen dan kan dat. Met de beperkingen vandien dus.

Hiermee kunnen mensen met een enkele telefoon lopen, of hun eigen iPad gebruiken op reis. Maar het is bij ons nooit verplicht. Als je de tools nodig hebt dan krijg je ze gewoon. We willen gewoon extra flexibiliteit bieden, maar wel op een veilige manier.

Wat we alleen niet hebben is toestelkeuze. Daarom zie je bij ons heel veel dat mensen het werk toestel gewoon in een la gooien en de SIM in hun prive toestel doen (als ze geen dualsim hebben bijvoorbeeld). Vooral in de landen waar we niet geweldige toestellen leveren, dit wordt per land onderhandeld. Hier in Spanje krijgen we bijvoorbeeld midrange Samsungs die behoorlijk traag zijn, terwijl in Nederland iPhones worden gegeven.

Grappig ook om te zien hoe verschillend sommige landen daar tegenaan kijken. Bij ons is BYOD in Duitsland door de ondernemingsraad helemaal verboden omdat ze vinden dat dat afleidt van het priveleven. Als werknemer maak ik veel liever zelf die keuze maar die hebben ze daar niet. Daarom moet iedereen daar met twee telefoons lopen.

Ik vind dit zelf nogal jammer want juist op Android kan je met 1 druk het hele work profile uitschakelen als je dat wil, dan doen de apps het niet meer en krijg je ook geen notificaties. Maargoed ze doen maar, ik woon niet in Duitsland

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 17:14]

[SgtElPotato]

De keuze voor BYOD is niet zo gek, maar persoonlijk loop ik dan liever met 2 toestellen. Het profiel op je toestel kan van alles bekijken / wissen etc waardoor het niet meer echt een prive toestel is in mijn ogen.
Dan maar een tweede toestel die tijdens werk in mijn binnenzak gaat en na werk aan de lader.

[GekkePrutser]

Op Android is het toezicht bij ons gelimiteerd tot wat je in het work profile doet. Buiten die beperking van sideloaden valt het dus wel mee.

Het is ook heel beperkt wat we kunnen zien allemaal, zelfs binnen de work profile. We kunnen geen foto's, contactpersonen enz. zien. Alleen de lijst van geinstalleerde apps binnen de work profile.

Als er een incident is dan kunnen we bij BYOD toestellen alleen het work profile verwijderen, niet het hele toestel wissen. Bij zakelijke wel maar die zijn dan ook van ons.

Maar ik snap het heel goed hoor! Dit is iets wat iedereen voor zich moet beslissen. Ik heb er minder moeite mee omdat ik het zelf allemaal beheer dus ik kan gewoon zien wat de impact is.

Ik heb het ook wel eens laten zien aan gebruikers die er zeer bezorgd over waren op social media (Yammer intern bij ons), als een soort van openheid. Ik ben zelf ook heel erg privacyminnend dus ik begrijp de bezwaren heel goed. Dan laat ik alles zien wat we kunnen zien over hun device en dat stelt ze meestal wel gerust. En inderdaad heb je anders altijd nog de optie van het zakelijke toestel.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 17:14]

[Tadango]

Met een werk profiel kan je toch uitsluitend over het werk deel iets bepalen? Wel eng dat je dan voor het non werk deel ook restricties kan opleggen. Ik heb een profiel bij een erg grote multinational welke heel graag alles dicht timmert (daarom is het ook leuk om gaten te zoeken ) en daar heb ik nog 0 beperkingen in het prive deel gezien zolang je een aparte code in stelt voor het werk profiel.

[GekkePrutser]

Klopt, er zijn zeer weinig dingen die buiten het werk profiel betrekking hebben. Maar dit wel (als je het wil gebruiken als bedrijf). De meeste restricties werken alleen binnen de work profile, of hebben betrekking op de interactie daarmee (blokkeren van kopieren van data van een Work Profile app naar een app daarbuiten bijvoorbeeld)

Sideloading is 1 dingetje dat je wel globaal kan blokkeren, en configuratie van WiFi is een andere omdat dat gewoon binnen het overkoepelende systeem moet gebeuren.

Ik had zelf ook liever gezien dat we die sideloading block niet deden. Maar het security beleid is niet mijn verantwoordelijkheid. Maar ik moet wel zeggen, de gebruikers die er over klagen zijn altijd bezig met vage dingen zoals illegale TV streaming apps (vooral in India hebben ze daar een handje van). Daar weet je nooit wat er in zit.

Ik kan de prive kant dus niet zien, maar de app maak ik dan op uit de screenshots die ze sturen. We krijgen eigenlijk nooit klachten van een gebruiker die bijvoorbeeld iets uit F-Droid wil installeren ivm privacy. Zelf doe ik dat juist weer wel.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 17:14]

[The Realone]

Vermoedelijk is het verschil dat in de 'pure modus' de installatie geblokkeerd is, in plaats van dat een app of browser om toestemming vraagt om een app te installeren.

Dan zie ik eigenlijk nog steeds geen verschil en lijkt deze functie zinloos te zijn, tenzij er meer achter zit. Want ook de standaard beveiliging in Android is een blokkering van de installatie. Je kunt deze vervolgens tijdelijk voor die applicatie uitzetten, maar het principe lijkt me toch hetzelfde.

[NielsFL]

[...]
Je kunt deze vervolgens tijdelijk voor die applicatie uitzetten

De default is echter permanent. Als je een APK download in Chrome vraagt Android of je Chrome vertrouwd als bron van APK's. Vervolgens kan je van willekeurige websites APK's downloaden en installeren zonder dat de vraag opnieuw gesteld wordt. De instelling om het weer uit te zetten is ook best wel verborgen.

Ik zou graag zien dat Android die eerste vraag telkens opnieuw stelt. En het alleen via een (kleine) omweg mogelijk maakt om browsers (of andere app winkels) permanent goed te keuren.

[nst6ldr]

[...]

Ik zou graag zien dat Android die eerste vraag telkens opnieuw stelt. En het alleen via een (kleine) omweg mogelijk maakt om browsers (of andere app winkels) permanent goed te keuren.

Vroeger was dit ook mogelijk in MIUI, toen Google nog geen permission manager had was MIUI al zo ver dat je een soort van UAC scherm kreeg waar je ook kon aanvinken dat de keuze niet bewaard moest worden.

Eigenlijk werkte het ook beter dan de huidige permission manager van Google omdat de rechten toen nog fijnmazig waren (i.e. GPS gaf niet gelijk toegang tot Wi-Fi settings incl, alle wachtwoorden, etc), maar het zal me niet verbazen dat Google liever een eigen implementatie had die niet aansloeg wanneer bijvoorbeeld Google Play zonder valide reden ineens om je gehele contactenlijst vraagt.

[TrekVogel]

Er zijn genoeg mensen die Xiaomi niet vertrouwen, want Chinees. Misschien is dat terecht, maar wat wat jij noemt is een goed voorbeeld van wat ze zeker wel goed doen. In MIUI krijg je vaak functies voordat Google ze introduceert of krijg je meer mogelijkheden.

[GertMenkel]

Je kunt inderdaad achteraf de permissie tot installeren handmatig weer intrekken, in MIUI staat dit onder Privacy > Speciale toestemmingen > Onbekende apps installeren (mocht iemand dit zoeken).

Ik ben het met je eens, een optie voor "eenmalig toestaan" zou hier heel fijn zijn. Overigens moet je alsnog gewoon een permissieprompt door om een app te installeren, het is niet alsof dit automatisch door wordt gezet zodra je een APK opent. Je hebt altijd nog de optie om nee te zeggen bij zo'n popup.

[Zyphlan]

Ik gok dat dit te maken heeft met de Chinese markt.

Zelf 5 jaar in China gewoond en side loaden is daar echt standaard practice ( geen play store)

Ik gok dat ze liever hebben dat mensen echt specifiek extra stappen moeten zetten dan ja te klikken bij sideloaden ( want de meeste gebruikers klikken net zo snel ja als ze op ToS doen )

Ik gok dat er genoeg mensen zijn die bijvoorbeeld zon redenatie gebruiken: : Als het echt slecht voor me mobiel was dan zouden ze het wel niet toelaten ( niet snappen dat sideloaden juist die hele beveiliging weghaalt).

Maar goede actie , ze nemen je niks af maar je moet wel specifiek weten waar je mee bezig bent om te sideloaden ipv 1 maal ja te klikken.

[Reactie gewijzigd door Zyphlan op 23 juli 2024 17:14]

[TrekVogel]

Bedankt voor dit inzicht. Ik vroeg me serieus af voor wie dit een probleem is. Hoe vaak installeert iemand nou een willekeurige apk?

[HMC]

Lijkt me een beetje afgeleid van het beleid dat ze nu voeren met hun Chinese telefoons, waarvan ik er 2 heb.
Daar krijg je zo goed als geen Google Play Store meer op, terwijl dat voorheen, met een beetje zoeken, goed te doen was.

Ik heb op mijn oude Redmi Note 5 een factory reset gedaan niet al te lang geleden. Krijg er via hun Store de Play Store van Google -niet- meer op.
Heb nog wel een .apk van Iriun webcam app kunnen sideloaden, gelukkig, al ging dat voorheen ook makkelijker.

Ik zal dan ook niet snel op mijn Redmi K20 Pro een factory reset doen.

[smiba]

Volgens mij is dit nog steeds prima te doen? Gewoon de play store .apk downloaden van apkpure of een andere bron die je vertrouwt.

[Verwijderd]

Ik vraag me heel erg af wat dit dan toevoegt ten opzichte van de huidige situatie.

In het artikel staat namelijk dat apps of browsers 'toestemming vragen', maar dat is niet helemaal een realistisch beeld. Het klinkt voor mij namelijk een beetje als 'klik op ja en het kan toch', terwijl dat niet helemaal de situatie is. Nu krijg je namelijk een melding dat het geblokkeerd is vanwege veiligheidsinstellingen, met de optie om naar intellingen te gaan. Daar kun je dan (dus na die klik) nog een keer klikken om sideloading voor 1 specifieke app aan te zetten, daar krijg je nog een keer een waarschuwing en als je daar op hebt geklikt moet je weer specifiek de apk openen die je probeerde te openen. Dat vind ik iets complexer dan 'er wordt om toestemming gevraagd'.

Dit voelt als een functie voor de echte digibeet, maar die mensen raken denk ik al snel in paniek bij de eerste melding van een veiligheidsprobleem en vraag ik me echt af of die daar niet door worden tegengehouden.

[kondamin]

Klinkt een beetje als een eerste stap naar het dicht timmeren van het systeem zo als huawei deed

[mutley69]

Dat sideloaden uitschakelen, is als uzelf uitschakelen bij mij. Ik ga het wellicht niet doen, maar ik hou er niet van dat ik als koper iets niet mag/kan doen. Dan zet ik makers op de zwarte lijst! En eens daarop - raak je er haast nooit meer van af.