Ein EDV Leben ohne Lizenzkosten für Business und Privat!

Keine Lizenzkosten mit Open Source Software betrieben auf modernen Betriebssystemen!

Ich habe auf die letzten Blog Beiträge viel positives Feedback erhalten und die meisten Business- und Privatanwender träumen von einem IT Betrieb ohne Lizenzkosten und ohne bei neuen Systemen auf die Anzahl der Installationen achten zu müssen und vielem mehr. Bei vielen Managern stehen natürlich die Einsparungen der Lizenzkosten an oberster Stelle, aber es hat sich mittlerweile auch durchgesprochen, dass selbst gehostete System, welche die Privatsphäre schützen und so wenig wie möglich Daten an Dritte und Tracker übermitteln eine Bereicherung für jeden einzelnen sind.

Sicher ist, da die Lizenzkosten die letzte wirkliche Einsparungsmöglichkeit im IT Bereich sind, dass sich Open Source Software und Betriebssysteme nun weit stärker im Firmenumfeld durchsetzen. CFO‘s und CEO‘s werden sich hier stark engagieren um über diese Schiene die letzte Einsparungsmöglichkeit auszunutzen.

Natürlich ist mir klar, dass es nicht in allen Fällen zu 100% möglich ist umzustellen und es auch einige geben wird, die Ihre Daten auf Servern von Fremden im Internet (aka Cloud) speichern werden. Bei letzteren ist das Verhalten vollkommen unverständlich, denn wenn man diese Verantwortlichen fragt, ob sie Ihre wichtigen Firmendaten auf irgendwelchen Servern im Internet speichern würden, ist die Antwort meist ein Nein. Versehen mit dem Marketingmascherl Cloud gibt es dann doch welche, die alle Daten auf solchen Servern speichern. Der Anteil diese Cloud User ist in Wirklichkeit aber sehr gering.

Mit dieser Spezies, die im Normalfall in dem Irrglauben, die eigene Verantwortung delegieren zu können und gleichzeitig alles billiger wird, lebt, wollen wir weder heute noch an anderer Stelle Lebenszeit vergeuden. Meist existiert hier eine Beratungsresistenz.

Der Fokus liegt auf Verantwortlichen, welche zukunftsorientiert, offen, hungrig nach Weiterbildung und an neuem, vielfach besserem interessiert sind.

Wie schon in vielen Blog Einträgen hier auf meiner Seite geschrieben, wurde in meinem Umfeld und bei der CTS die komplette IT und auch mobile Geräte auf Open Source umgestellt. Ich höre jetzt schon viele sagen – Das kann ich nicht -. Doch, das kann jeder, mit ein paar ganz wenig Ausnahmen, wo spezielle Software benötigt wird und es nur Anbieter proprietärer Software gibt, welche die Zeichen der Zeit nicht erkannt haben und sich mit weiterer proprietärer Software anderer Anbieter so verknüpfen, dass es für diese keinen Ausweg aus der Falle – gebunden an ein Betriebssystem – gibt. Solche Systeme sollte man in einem eigenen VLAN betreiben, bis eine alternative Software erscheint und es darf gesagt werden, dass es mittlerweile für fast alle Anforderungen Open Source Lösungen gibt.

Das heißt natürlich nicht, dass Open Source Software keine Fehler hat und nicht auch hier ab und zu Probleme auftreten. Aber die Community, insbesondere bei den größeren Projekten, ist im Normalfall extrem schnell mit Fehlerbehebungen, welche in vollem Umfang auf der Projektseite nachvollzogen werden können. Bei Open Source Software ist auch jede Änderung für alle offen prüfbar. Zusätzlich kann man immer auch einen Programmierer (Freelancer) anheuern, welcher den Fehler korrigiert. Das ist Freiheit, ohne zu warten, ob ein Hersteller vielleicht irgendwann einen Patch heraus gibt, bei dem wieder nicht bekannt ist, welche Modifikationen vorgenommen werden.

Für besonders Interessierte habe ich ein Buch veröffentlicht, welches viele Details anspricht:

„Zero License Costs? It is possible!: This book will show you that it is possible to run your IT without any license costs. (CTS IT PRO E-Books 12)“ erhältlich bei Amazon https://www.amazon.com/dp/B072VGSQHF

Hier nun eine kurze Zusammenfassung eines freien Lebens mit IT:

Server

Alle meine privaten Server und die Server der CTS werden bereits seit 1995 fast durchgehend unter FreeBSD betrieben. Bald danach kamen noch Server unter Debian Linux hinzu und eine gewisse Zeit gab es auch wenige proprietäre Server von kommerziellen Betriebssystem Anbietern. In den späten 90ern war das Leben noch nicht so frei und einfach wie heute.

Seit mehreren Jahren, insbesondere da der XRDP Server unter Debian Linux mittlerweile auch sehr stabil läuft, werden alle Internet Server unter FreeBSD und Debian Linux betrieben. Operative Terminal Server für den Büroalltag betreiben wir unter Debian Linux mit XRDP, natürlich geschützt durch die Open Source VPN Lösung OpenVPN und hoch professionelle Open Source PfSense Firewalls.

Natürlich wird auch der E-Mail Server, sowie der Spam und Virenschutz selbst betrieben und im Haus gehostet. Eine Speicherung von unverschlüsselten E-Mails auf fremden Servern im Netz würde ich als unverantwortlich bezeichnen und bin der festen Überzeugung, dass Mails und deren Metadaten (wer-mit-wem mailt, etc.) nur im eigenen Haus betrieben werden sollten.

Mit OwnCloud wird hausintern eine eigene Lösung zum Speichern und Teilen von Daten, auch mit Dritten, betrieben. Natürlich ist auch dieser Server, da sensible Daten, im eigenen Haus.

Zusätzlich werden Server für Mastodon, eine dezentralisierte Open Source Micro Blogging Alternative, und Matrix/Riot.im, einer dezentralisierten, sicheren, Open Source Messenger und Kommunikationsplattform betrieben. Wie schon früher geschrieben, wurde mein alter Facebook Account, seit dem Umstieg auf Matrix/Riot.im, mit einem Script komplett geleert und existiert nur mehr als leere Hülle mit dem Hinweis auf meine Mastodon und Matrix/Riot.im Accounts. Einen Twitter Account, welcher die kommerzielle Alternative zu Mastodon wäre, habe ich privat nie gehabt.

Mit circa 1,5 Jahren relativ neu im Einsatz ist die Open Source Virtualisierungsplattform Proxmox, welche die frühere kommerzielle Variante ersetzt hat. Proxmox ist ein wirklicher Geheimtipp, der hier vollkommen fehlerfrei seinen Dienst versieht und viele Features beinhalten, welche bei kommerziellen Produkten hohe Aufpreise bedingen. Zum Beispiel das geniale Backup der virtuellen Maschinen, inklusive der eindrucksvollen Rücksicherungsmöglichkeit.

Und auch im Serverbereich gibt es keine wirkliche Ausrede, auch nicht für Privatanwender. Kleine Anwendungen können auch auf einem Raspberry für 40 € im eigenen Haus geräuschlos betrieben werden.

Es werden natürlich noch weitere Server betrieben, inklusive einer vollkommen eigenständigen public DNS Infrastruktur mit Hidden-Primaries und Web-basiertem Verwaltungstool. Den Betrieb von öffentlichen DNS Servern empfehle ich aber nur wirklichen IT Profis mit langjähriger Erfahrung auf diesem Gebiet.

In Summe besteht der Proxmox Cluster aus 4 Cluster Servern mit 40 CPU‘s, 140GB RAM und 4 TB Storage auf gespiegelten FreeBSD NAS Systemen. In Summe laufen 39 virtuelle Maschinen im Cluster. Eine beeindruckende, stabile Leistung, rein mit Open Source Software Lösungen. Alles komplett ohne Lizenzkosten.

Arbeitsplätze

Die verwendeten Arbeitsplätze, Desktops und Notebooks, werden alle unter Debian Linux mit XFCE als Desktop betrieben. Die Arbeitsplätze reichen von kleinen Netbooks bis hin zu i7 Systemen mit 16 GB RAM und 4 * 1920x1080 Monitoren zur Bildbearbeitung und zur Webseitenerstellung.

Generell wird nur LibreOffice als kompatible Office Anwendung verwendet. Einfach alle Fonts installieren, dann gibt es auch bei komplexeren Dokumenten keine Formatierungsprobleme. Textverarbeitung, Kalkulation, Präsentation und kleinere Datenbankanwendungen werden damit professionell und kompatibel abgedeckt. LibreOffice gilt auch als sicherer im Sinne der Angriffe mit Macros und anderen Bösartigkeiten. LibreOffice ist Open Source und komplett kostenlos. Es kann sogar parallel mit der kommerziellen Variante auf einem System betrieben werden um es zu testen.

Die Bedienung von LibreOffice ist kinderleicht und kann von ungeübten Benutzern in kürzester Zeit genauso beherrscht werden, wie die sehr teure kommerzielle Alternative. Funktionen und Buttons sind sehr ähnlich, d.h. für alle ohne jegliches Problem anwendbar und ohne Zeitaufwand in der Schulung im Rahmen einer Umstellung.

Da die CTS E-Mails in großen Umfang abarbeiten muss, wird eine professionelle Software als E-Mail Programm verwenden. Mit Mozilla Thunderbird, aus dem Hause des großartigen Browsers, werden alle Wünsche professioneller E-Mail Anwender genauso abgedeckt, wie die von Einsteigern. Mit dem Lightning Kalender als Standard Addon können auch professionelle Kalender via dem Industriestandard CalDAV eingebunden werden. Mit dem CardBook Plugin können via dem Industriestandard CardDAV zentrale Adressbücher eingebunden werden. Das alles mit Multi- Account, Multi-Identity und vielem mehr. Profis bei CTS arbeiten damit am Tag hunderte E-Mails in hunderten Unterordnern auf einfachste, Performance optimierte Weise an. Thunderbird und die Plugins sind natürlich Open Source und Lizenzfrei. Thunderbird gilt als extrem sicher und kann auch auf Text-only E-Mails umgestellt werden. Damit schützen Sie sich und Ihre Kontake vor unschönen Dingen in HTML E-Mails. Profis senden Text-Only!

Viele weitere Open Source Produkte runden die Installation ab. PGP Verschlüsselung für End-to-End verschlüsselte E-Mails, welche auch, egal bei wem und auf welchem Server. verschlüsselt am Server gespeichert werden. DigiKam, RawTherapee und GIMP für die professionelle Bildbearbeitung und IPTC Beschriftung, Shotcut für perfekten Videoschnitt inklusive Einbringung von Special-Effects, Audacity als professionellen Voice Editor, Blender als 3D Software, Scribus und Calibre für die Erstellung von Büchern und E-Books und vieles mehr sind kostenlos verfügbar.

Für Warenwirtschaft und Fakturierung sind kleine bis wirklich große Enterprise ERP Lösungen verfügbar. Dieses Thema würde einen eigenen Blog Eintrag füllen, aber es gibt für jede Unternehmensgröße eine Lösung. Von Kassabuch bis x-1000 Mitarbeiter ERP System.

Zum Surfen im Internet wird natürlich der gute Firefox Browser mit Sicherheits-Plugins, siehe https://kmj.at/mehr-privatsphaere-und-sicherheit-mit-kostenlosen-firefox-add-ons/ , verwendet.

Dazu unbedingt auch den Tor Browser für anonymes Surfen installieren. Das Tor Netz ist mittlerweile so groß und schnell, dass man sogar Videos schauen kann und auch wenn man nichts zu verbergen hat, geht es andere ganz einfach nichts an wo und wie man surft. Zur Suche qwant.com oder duckduckgo.com als Alternative zum Datensilo verwenden.

Verschlüsselter Messenger und verschlüsselte Telefonie, auch mit Dritten erfolgt nur über den Riot.IM Messenger angebunden an den eigenen Server im dezentralisierten Netz. Mitlesen durch Datensilos ist unerwünscht und wird dadurch vollkommen ausgeschlossen.

Natürlich sind auch Video Player und andere Kleinigkeiten die das Leben nett machen, an Bord.

Updates sind leicht und einfach durchzuführen und bei Linux Desktops ist neu aufsetzen eine seltene Ausnahme. Normalerweise, auch bei Releasewechsel, einfach updaten und fertig.

Die genannten Lösungen decken die Anforderung von 99% der Unternehmen ab und es ist eigentlich immer dieses - „Ich nehme das was andere nehmen, dann kann mich mein Boss bei Problemen nicht feuern!“ - , welches dem Unternehmen Kosten aufbürdet, welche nicht notwendig sind. Es ist zu bezweifeln dass kollektives Leiden mit anderen, dem Unternehmen bei Problemen ein Lösung schafft. Wissen, Weiterbildung und innovative, moderne Lösungen sind angesagt!

Die CTS hat ein sehr differenziertes Anforderungsprofil an Software, da nicht nur Textverarbeitung, Kalkulation, E-Mail, sondern auch die Erstellung von professionellen Webseiten, die Verwaltung und Bearbeitung von fast 200.000 Bildern der CTS Photo & Press Service Bildagentur und die Betreuung der IT Kunden zum Tagesgeschäft gehören. Ein reibungsloser Betrieb ist seit langem, ohne jede Lizenzkosten, gewährleistet.

Aktuell verbleibt ein einziges kleines Problem mit Banken, welche meist nicht in der Lage sind, außer für das proprietäre Betriebssystem eine Lösung anzubieten. In Wirklichkeit kein all zu großes Problem, da es hier nur bei Bankeinzügen trifft, welche über die Webanwendung nicht abgewickelt werden können. In Deutschland ist auch das kein Problem, denn für die HBCI Schnittstelle gibt es sogar Open Source Lösungen, welche alle Funktionen abdecken. Es ist aber zu erwarten, dass die Banken von modernen Kunden und auch von Apples MAC Anwendern zum Umdenken gezwungen werden und die fehlenden Funktionen vermutlich in die Web Anwendung integrieren. Zwischenzeitlich müssen österreichische Firmen auf ein deutsches Bankkonto mit HBCI für den Bankeinzug zurückgreifen. In Wirklichkeit ist alles lösbar.

Der Zwang von Banken Apps zu verwenden kann durch die Verwendung eines CardTAN Gerätes umgangen werden. Es ist zu empfehlen generell so wenig wie möglich Apps (Programme die mit Benutzerberechtigungen am Gerät laufen und Internetzugang haben) zu installieren und nur Webanwendungen, wodurch der Browser eine extra Schutzlinie ist, zu verwenden.

Mobile Geräte, Telefone und Tablets

Hier wird es etwas komplizierter, denn das Librem5 Telefon ist noch nicht ganz fertig. Die Zukunft für uns gehört, wenn die Marktreife geschafft wird, diesem Gerät. Hardware Kill-Switches für Micro und Kamera sind alleine schon ein Riesen Vorteil. Betriebssystem Linux und Open Source Apps eine gelungene Kombination.

Wenn man alle aktuell auftretenden Vorfälle bedenkt, dürfte niemand mehr eine Besprechung oder andere wichtige Besprechungen, privat oder beruflich, in Anwesenheit von Telefonen, Tablets, oder Sprachassistenten führen. Auch wenn man nichts zu verbergen hat, sind Wanzen eine unschöne Sache und die letzten Vorkommnsse haben gezeigt, das Home-Office Mitarbeiter zu den Sprachaufzeichnugnen kommen. Das war zu erwarten, aber wenn es jetzt auch bestätigt ist, sollte man diese Sprachassistenten in den Müll werfen und die paar Schritte zum Lichtschalter gehen. Fitness ist immer besser als zugängliche Gesprächem, die nicht für die Öffentlichkeit bestimmt waren.

Interessierte für alle Bereiche der Sicherheit lesen folgendes regelmäßig, am besten per RSS Newsfeed:

Es gibt einiges mehr, insbesondere wenn jemand tiefer in die Materie eintaucht, aber mit oben genannten ist das notwendige Tages-Minimumwissen für alle Anwender im Kurzüberblick abgedeckt.

Da es unerwünscht war proprietäre Systeme im mobilen Bereich zu verwenden wurde mit der Verwendung von LineageOS ein Kompromiss gefunden. LineageOS ist ein nacktes Android und sollte ohne die Google Apps installiert werden. Damit entspricht das Gerät dann den Vorstellungen von guter Privatsphäre. Einen detailierten Überblick über die Installation und die Verwendete Open Source Software findet sich im Blog: https://kmj.at/android-lineageos-privacy-teil3/ .

Natürlich ist es ganz wichtig, Apps wenn möglich nur aus dem F-Droid App Store zu installieren und sich von niemandem zu einer App zwingen zu lassen. Es ist, insbesondere am mobilen Gerät, keine App als vertrauenswürdig einzustufen, welche nicht als Open Source Software von mehreren Personen geprüft wurde. Das heißt nicht, dass man Anbietern hier Vorsatz unterstellt, aber diese Apps werden schnell und kostengünstig mit verfügbaren Tools von Drittanbietern erzeugt. Der Fokus liegt nicht auf Security, sondern auf schnell und kostengünstig rausbringen. Insbesondere verwaiste Apps sind ein erhöhtes Risiko. Zum Beispiel ladet ein Benutzer bei einer Veranstaltung eine App des Veranstalters, welche dann nie mehr upgedatet wird. Die App läuft aber immer im Hintergrund und wenn das Entwicklungstool einen Fehler hat, dann ist das Telefon verloren und wird von außen übernommen. Einfach die beiden Links regelmäßig lesen. Es tauchen täglich viele solcher sogenannter Exploits auf. Eine verwaiste App setzt das Telefon einem Angriffsszenario aus, weil das zugrunde liegende Entwicklungstool vom Anbieter nicht mehr upgedatet wird. Und Tschüss Telefon, schon gehörst Du dem Eindringling.

Wenn schon eine nicht vertrauenswürdige App installiert wird, sofort löschen, wenn diese nicht mehr benötigt wird. Und generell immer die Web Version mit dem Browser verwenden. Die App hilft im Normalfall dem App Anbieter Daten zu sammeln und nicht dem Benutzer. Dieser sollte mit der Web Anwendung über den Browser alle Funktionen verfügbar haben. Wenn schon eine Benachrichtigung für irgendetwas erfolgen soll, verwenden Sie E-Mail oder noch besser Riot.IM Messenger Nachrichten.

Und zum Abschluss

Zum Abschluss noch etwas zum lachen, oder weinen, je nachdem von welcher Seite man es betrachtet.

Immer wieder hört man am Nachbartisch im Restaurant oder Kaffee, bzw. bei Besprechungen:

Ich bin gehackt worden!

Ja, das ist mir/uns auch passiert

Und die Personen verfallen in kollektives gemeinsames Bedauern, aber sie selbst sind ja unschuldig!

Dazu sei gesagt:

  • 99% werden nicht gehackt sondern sind selbst Schuld!
  • 1 % sind echte, gezielte Hacks

Bei den 99% passiert normalerweise folgendes:

  • Selber schuld:

  • 1) Download von irgendeiner Software und Installation am eigenen PC

  • 2) Download von irgendeiner APP und Installation am mobilen Gerät

  • 3) Klick auf Ja, Ja, Ja, bei Fragen ob aktiviert, oder ausgeführt werden soll

Bis auf ganz wenige Ausnahmen führen die 99% die Schadsoftware selbst, nach mehrmaligem Klicken auf „JA“, mit den eigenen Berechtigungen am PC oder mobilen Gerät aus und sind damit selbst schuld, dass das Gerät mit Malware verseucht, oder verschlüsselt wird. Etwas mehr Vorsicht und -“Think before you click“ - würde vermutlich 70% der Vorfälle verhindern. Wenn man dann noch Text-E-Mails anstatt von HTML-E-Mails verwenden würde, könnte man, da man den richtigen Link sieht, vermutlich weitere 20% verhindern.

Die verbleibenden 9% wird man vermutlich akzeptieren müssen, aber der Rest wäre mit Hirn einschalten, Gier und Neugier ablegen und einem EDV-Anfängerkurs mit Fokus Sicherheit über weite Strecken zu verhindern.

Also „Nein, zu 99% nicht gehackt worden, sondern meist vermeidbarer Bedienerfehler und selbst schuld.“

Für Unternehmen bietet die CTS GMBH (https://cts-solutions.at) Beratungen, Consulting und Projektabwicklung für einen erfolgreichen Umstieg.

Am Android Tablet oder Telefon mit LineageOS für Privatsphäre sorgen. (Teil 3)

LineageOS, ein alternatives Android Betriebssystem für Tablet und Telefon!

LineageOS ist ein Betriebssystem für Smartphones und Tabletcomputer. Es ist eine Modifizierung des von Google entwickelten freien Betriebssystems Android und der Nachfolger des eingestellten Custom-ROMs CyanogenMod. LineageOS ist Freie Software und wird von einer Gemeinschaft Freiwilliger entwickelt, die das Betriebssystem gratis zum Herunterladen bereitstellen. Mehr Infos auf der Wikipedia Seite (https://de.wikipedia.org/wiki/LineageOS)

Vorraussetzung ist ein Geräte welches offiziell unterstützt wird (https://wiki.lineageos.org/devices/) oder ein Custom Rom, z.B. von https://forum.xda-developers.com/ existiert.

WICHTIG: Mit diesem Vorgang verlieren Sie Ihre Garantie, können Ihr Gerät zerstören und niemand wird Ihnen helfen. Ich beschreibe hier den Vorgang meiner Umstellung und ermutige Sie in keinem Fall den Vorgang an Ihrem Gerät durchzuführen. Wenn Sie es machen, dann sind Sie auf sich alleine gestellt und für den Fall dass Sie das Gerät zerstören sind einzig und alleine Sie selbst verantwortlich. Niemand und schon gar nicht ich, hafte für Dinge die Sie mit Ihrem Gerät tun!

Teil 3

Basierend auf dem ersten Tests von LineageOS auf einem Samsung SM-T585 Tablet (https://kmj.at/2018-09-12-android-lineageos-samsung-sm-t585-privacy/), sowie dem Teil 2 der Serie (https://kmj.at/2018-10-01-android-lineageos-privacy-teil2/) wurden nun die ersten Releasewechsel durchgeführt.

Kurzinfo, da vermutlich für wenige User interessant: Da ich kein Windows verwende, kam Odin nicht in Frage und es wurde auf die Heimdall Flash Software zurückgegriffen. Diese war bereits zum Flashen vom TWRP am Linux Notebook installiert. Zusätzlich wurde nun noch das Heimdall-Frontend Package installiert, welches Heimdall ROMs erzeugen kann. Danach von z.B. sammobile.com das Android 8 Stock ROM laden und in einem Verzeichnis extrahieren. Über das Heimdall-Frontend alle Dateien zuweisen und dann ein Heimdall-ROM erzeugen. Wenn alles erledigt ist, geht das Flashen ziemlich einfach. Handy in den Download Mode booten, das ROM laden und mit Start flashen. Danach das TWRP neu flashen, in den Recovery Mode booten und der Anweisung aus dem LineageOS.org Wiki zur Installation auf diesem, voll supporteten Gerät, folgen.

Es standen 2 Geräte, beides A520F (Samsung Galaxy A5 2017), zum Update an. Eines der Geräte hatte bereits die Oreo Firmware (Bootloader und Modem) mit LineageOS 15.1 und ein Gerät hatte die Nougat Firmware und LineageOS 14.1.

Als erstes wurde die Oreo Version upgedated.

Der Anleitung exakt folgend:

How to install

  1. Make sure you had Samsung’s Oreo firmware bootloader and modem before installing this
  2. Make sure you are using the latest official TWRP version.
  3. Download the lineage build and google apps
  4. Copy them to the phone (SD KARTE!!!!)
  5. In TWRP wipe dalvik/cache/system/data
  6. Flash LineageOS
  7. Flash Gapps (OPTIONAL Ich verwende keine Google Apps!)
  8. Optional: Flash root package
  9. Reboot

Danach booted das System mit LineageOS 16.0. Land und Uhrzeit, sowie WLAN einstellen und dann das Titanium apk installieren. Benutzer Apps und Daten wiederherstellen, Icons platzieren und bei Apps, bei denen die Anmeldedaten nicht wiederhergestellt werden, z.B. DavDroid, Owncloud, die Anmeldedaten eingeben und die Synchronisierung aktivieren.

Das war wirklich einfach und das erste Handy läuft mit dem auf Android 9 basierenden LineageOS 16. Am besten noch alle Einstellungen einmal durchsehen, damit neues richtig eingestellt wird und sich dann in intelligenter, selbstbestimmter Weise von der Masse abzuheben.

Update 14.1 (Nougat) auf 16.0 (Pie)

Beim 2. A520F war die Nougat Firmware installiert und es musste zuerst die Oreo Firmware von Sammobile geladen werden. Hier ist zu beachten, dass es für offene Telefone die Version Open-Austria gibt, die nicht in der Austria Liste mit den Provider Versionen enthalten ist. Das ist die Version, welche für freie Handies notwendig ist. Vorher sollte https://forum.xda-developers.com/samsung-a-series-2017/how-to/ref-modems-bootloaders-collection-t3799551 gelesen werden. Bootloader und Modem Updates sollten immer aktuell gehalten werden.

Auch hier wurde mit folgendem begonnen:

Ich folgte der Anleitung:

Instructions:

  1. Switch off the phone
  2. Use Home+Volume Down+Power to enter Download Mode and connect the device to usb
  3. Open Odin and untick autoreboot in “options” tab. Also make sure that your device is detected
  4. Put BL_*.tar.md5 file into BL tab
  5. Put CP_*.tar.md5 file into CP tab
  6. Click Start
  7. Wait 1 min and manually reboot your phone into Download mode using Home+Volume Down+Power buttons, but when the warning appears, hit volume down (Cancel-restart the device)
  8. Use Phone INFO app to check if update was succesful.
  9. If it didn`t worked, redo the steps from #1 more careful this time.

Da ich kein Odin sondern Heimdall verwende, wurden die BL und CP Zips extrahiert und die 4 beinhalteten Dateien, nach einem unlz4 (Paket lz4 für Debian) mit Heimdall geflasht. Wichtig ist es das Log zu legen, dass der Flash erfolgreich war. Sonst System und Handy so oft rebooten und neu flashen, bis alles sauber erledigt wurde.

Danach erfolgt das Update exakt wie oben angeführt:

How to install

  1. Make sure you had Samsung’s Oreo firmware bootloader and modem before installing this
  2. Make sure you are using the latest official TWRP version.
  3. Download the lineage build and google apps
  4. Copy them to the phone (SD KARTE!!!!)
  5. In TWRP wipe dalvik/cache/system/data
  6. Flash LineageOS
  7. Flash Gapps (OPTIONAL Ich verwende keine Google Apps!)
  8. Optional: Flash root package
  9. Reboot

Danach booted das System mit Android 16.0. Land und Uhrzeit, sowie WLAN einstellen und dann das Titanium apk installieren. Benutzer Apps und Daten wiederherstellen, Icons platzieren und bei Apps, bei denen die Anmeldedaten nicht wiederhergestellt werden, z.B. DavDroid, Owncloud, die Anmeldedaten eingeben und die Synchronisierung aktivieren.

Nun sind beide A520F mit der Version LineageOS 16.0 eingerichtet und können noch lange gute und die Privatsphäre schützende Dienste verrichten. Wirklich cool, sichere Systeme für kleines Geld zu betreiben, auf denen nicht ein Fremder Administrator ist.

Als nächstes werden die beiden Samsung SM-T585 Tablets upgedated.

Für mich ist es eine ziemlich perfekte Lösung, da die Privatsphäre nun wieder gesichert ist und alle Funktionen einwandfrei funktionieren. In dieser Form ist Android auch für Firmen mit smarten Mitarbeitern verwendbar.

Es ist geschafft, Lizenzkostenfrei mit bester Privatsphäre am PC, Handy und Tablet

Der Einsatz hat sich gelohnt!

Nachdem bereits mehrere Blog Einträge erschienen sind, hier nun die Zusammenfassung der Installation, welche für Private und Business alle Anforderungen abdecken kann.

Server

Auf der Serverseite wurde ein PROXMOX-Cluster (proxmox.com) als Basis für die virtuellen Maschinen eingerichtet. Dadurch ist bereits auf der untersten Ebene der Systeme eine reine Open Source Umgebung verfügbar und es gibt keine bekannten Backdoors oder Datenübermittlungen an Dritte. Aktuell sind 4 Systeme im Cluster, welcher insgesamt 40 CPU‘s und 135 GB RAM besitzt. Zusammen befinden sich ca. 3 TB Raid Systeme im Cluster.

Zusätzlich wurden 2 FreeNAS Systeme mit je 4*3TB Festplatten eingerichtet. FreeNAS, ein auf FreeBSD basierendes Open Source NAS System ist extrem zuverlässig und und das ZFS Dateisystem synchronisiert sich automatisch vom NAS1 auf das NAS2 (Backup). Von diesem werden Datensicherungen auf USB3 Festplatten durchgeführt. Dabei werdne täglich ca. 2.5 TB auf die USB Platten bewegt.

Ein auf FreeBSD (https://FreeBSD.org) basierender Mail Server, eine Owncloud (https://owncloud.org) Installation, ein Asterisk Server, ein FreeBSD NFS Server, drei FreeBSD basierte LAMP Server, 3 auf PfSense (https://pfsense.org) basierende Firewalls und eine PI-Hole Lösung (https://pi-hole.net) sind die Basis des Netzwerkes.

Dazu wurden noch einige Server zum Betrieb einer sicheren MQTT Bridge, der beiden Matrix und Mastodon Server und des abgeschotteten Torified Netzwerkes benötigt. Viele Informationen zu diesen Diensten finden Sie in meinen E-Books https://kmj.at/buecher-und-ebooks/ .

Als Highlight befindet sich ein Debian Linux (Stretch) basierter Terminal Server im Netzwerk. Damit ist über eine Absicherung durch OpenVPN ein schneller Zugriff über das RDP Protokoll möglich.

Soweit als möglich, wurden alle Festplatten verschlüsselt.

Arbeitsplatz

Am Arbeitsplatz wurde Debian Linux (Sid) mit voll verschlüsselter Festplatte verwendet. Es wurden für alle Anforderungen Open Source Produkte gefunden, welche im professionellem Umfeld perfekt einsetzbar sind.

alle Lösungen kostenfrei und Open Source:

  • Office Paket: LibreOffice, welches auch doc, docx, xls,xlsx, etc. bearbeiten kann.
  • Bildbearbeitung: GIMP, DigiKam, RAW Therapie und Mat decken die Bedürfnisse von Profi Fotografen perfekt ab.
  • Video: Shotcut (Profi Schneidprogramm), Handbrake (Konvertierung), Blender (3D Animation) .
  • Internet: Firefox, Brave und Torbrowser als sichere und via Tor auch anonyme Browser.
  • Micro Blogging: Mastodon als dezentrale Twitter Alternative.
  • Messaging: Matrix mit Riot Client als sicheren Messenger ohne Mitleser!
  • Linphone als Telefon Nebenstelle.
  • KeePass als Password Safe.
  • xBrowsersync als Bookmark Sync Lösung über alle Geräte.
  • dazu noch einige Spezialanwendungen, welche nicht jeder benötigt, inkl. einem abgeschlossenem Tor Netzwerk.

Mobiltelefon und Tablet

Hier wurde wirklich tief in die Trickkiste gegriffen. Extrem genervt von Geräten, welche sich ohne Registrierung bei Hersteller nicht einmal einschalten lassen, begann eine lange Suche, welche mit LineageOS endete.

Es erfolgte eine Vollumstellung auf Samsung A5 (2017) und Galaxy Tab A (2016), welche komplett von der Originalsoftware befreit und mit LineageOS bespielt wurden (siehe hier im Blog).

Dadurch erfolgt der Betrieb gänzlich ohne Hersteller Software und auch ohne Google Libraries. Bezüglich der verwendeten Apps finden sich hier die Einträge:

https://kmj.at/2018-09-12-android-lineageos-samsung-sm-t585-privacy/ https://kmj.at/2018-10-01-android-lineageos-privacy-teil2/

Zusammenfassend sei gesagt, dass es noch immer möglich ist, seine Privatsphäre zu schützen und keine Daten an Dritte weiterzugeben. Natürlich sollte man dazu noch weitere Regeln bei der Verwendung des Internets beachten, aber ich bin mit der Gesamtlösung sehr zufrieden und habe als Test noch die Open Source Tracking App Traccar installiert. Damit ist es möglich, ohne Daten an Dritte zu senden, Geräte zu verfolgen, bzw. zu orten.

https://kmj.at/2018-09-15-self-hosted-open-source-car-tracking-enterprise-ready/

https://kmj.at/2018-07-07-xbrowsersync-part-2-firefox/

https://kmj.at/2018-06-14-inhouse-nas-mit-verschluesseltem-software-raid-teil-1/

https://kmj.at/2018-06-11-kmj-at-nun-auch-im-tor-netz/

https://kmj.at/2018-04-17-xbrowsersync-die-loesung-fuer-self-hosted-bookmark-sync/

https://kmj.at/2018-04-04-ein-weiterer-schritt-in-eine-dezentrale-zukunft-ist-getan/

https://kmj.at/2018-03-12-riot-im-messenger-kurzanleitung-fuer-benutze-updated/

Am Android Tablet oder Telefon mit LineageOS für Privatsphäre sorgen. (Teil 2)

Teil 3 der Serie ist hier erschienen:

LineageOS, ein alternatives Android Betriebssystem für Tablet und Telefon!

LineageOS ist ein Betriebssystem für Smartphones und Tabletcomputer. Es ist eine Modifizierung des von Google entwickelten freien Betriebssystems Android und der Nachfolger des eingestellten Custom-ROMs CyanogenMod. LineageOS ist Freie Software und wird von einer Gemeinschaft Freiwilliger entwickelt, die das Betriebssystem gratis zum Herunterladen bereitstellen. Mehr Infos auf der Wikipedia Seite (https://de.wikipedia.org/wiki/LineageOS)

Vorraussetzung ist ein Geräte welches offiziell unterstützt wird (https://wiki.lineageos.org/devices/) oder ein Custom Rom, z.B. von https://forum.xda-developers.com/ existiert.

WICHTIG: Mit diesem Vorgang verlieren Sie Ihre Garantie, können Ihr Gerät zerstören und niemand wird Ihnen helfen. Ich beschreibe hier den Vorgang meiner Umstellung und ermutige Sie in keinem Fall den Vorgang an Ihrem Gerät durchzuführen. Wenn Sie es machen, dann sind Sie auf sich alleine gestellt und für den Fall dass Sie das Gerät zerstören sind einzig und alleine Sie selbst verantwortlich. Niemand und schon gar nicht ich, hafte für Dinge die Sie mit Ihrem Gerät tun!

Teil 2

Basierend auf dem ersten Tests von LineageOS auf einem Samsung SM-T585 Tablet (https://kmj.at/2018-09-12-android-lineageos-samsung-sm-t585-privacy/) wurde nun noch ein Samsung A5 2017 (SM-A520F) Mobiltelefon für einen Test angeschafft. Mit ca. 250 € ein Schnäppchen und dann noch IP68 wasserdicht und gegen Staub geschützt.

Abgesehen von dem Problem, dass die Auslieferung des Telefons, entgegen der Angabe von Android 7, bereits mit Android 8 erfolgte, war die Installation ein Kinderspiel. Ein wirkliches Problem war das Downgrade des Telefons von Android 8 auf Android 7 um die SIM Karte zu erkennen.

Kurzinfo, da vermutlich für wenige User interessant: Da ich kein Windows verwende, kam Odin nicht in Frage und es wurde auf die Heimdall Flash Software zurückgegriffen. Diese war bereits zum Flashen vom TWRP am Linux Notebook installiert. Zusätzlich wurde nun noch das Heimdall-Frontend Package installiert, welches Heimdall ROMs erzeugen kann. Danach von z.B. sammobile.com das Android 7 Stock ROM laden und in einem Verzeichnis extrahieren. Über das Heimdall-Frontend alle Dateien zuweisen und dann ein Heimdall-ROM erzeugen. Wenn alles erledigt ist, geht das Flashen ziemlich einfach. Handy in den Download Mode booten, das ROM laden und mit Start flashen. Danach das TWRP neu flashen, in den Recovery Mode booten und der Anweisung aus dem LineageOS.org Wiki zur Installation auf diesem, voll supporteten Gerät, folgen.

Basierend auf der Todo von Teil 1 wurde nun noch folgendes installiert

  • Keepass2Android mit WebDAV Unterstützung
  • Traccar und Traccar Manager als Ersatz für Owntracks (läuft ohne Google Libraries)
  • K9 Mailer mit PGP Unterstützung Openkeychain
  • xBrowserSync Bookmark Syncer (gegen meinen eigenen Server)
  • FreeOPT als Client für 2FA Authentifizierung
  • OwnCloud Client für den Zugriff auf meine eigene Cloud, inkl. Voll automatischen Foto Upload und sync zwischen den Geräten
  • LinPhone SIP CLient als Nebenstelle für meinen Asterisk Server

Wichtige Hinweise

  • VERY IMPORTANT: Whenever you finish using adb, always remember to disable USB Debugging and restore Root Access to Apps only. While Android 4.2+ ROMs now prompt you to authorize an RSA key fingerprint before allowing a debugging connection (thus mitigating adb exploit tools that bypass screen lock and can install root apps), you still risk additional vulnerability surface by leaving debugging enabled.

Bilder

 

 

 

Für mich ist es eine ziemlich perfekte Lösung, da die Privatsphäre nun wieder gesichert ist und alle Funktionen einwandfrei funktionieren. In dieser Form ist Android auch für Firmen mit smarten Mitarbeitern verwendbar.

Teil 3 der Serie ist hier erschienen: