在较旧的安卓手机上评估LineageOS的安全性权衡

Question

在2013年生产的Sony智能手机上，运行Android4.4.1，我正在努力理解加载定制的ROM LineageOS 14.1 (基于AOSP版本7.1.1 )所涉及的权衡。

这款手机太旧了，无法从制造商那里收到定期的安全更新。LineageOS用户每周更新一次，并且可以访问夜间构建。LineageOS维护人员似乎快速地解决了安全问题。但是，为了安装自定义ROM，我需要解锁引导加载程序，这可以通过制造商提供的代码来实现。我读到，解锁可以打开电话中的一些安全漏洞，但我能够找到的最佳信息是：

“一个精通技术的窃贼可以在启用此选项的情况下完全清除设备，这意味着您将无法使用Android设备管理器跟踪设备的位置。”

而且，未锁定的引导加载程序可能允许加载未经移动运营商批准的软件，这可能是恶意的。

在什么情况下，离开电话就能提供更好的安全？在什么情况下安装LineageOS可以提供更好的安全性？

Answer 1

基本上，您有以下选项：

1. 因为操作系统已经知道了安全问题，所以把手机扔掉或者让它远离网络(这使得它对许多用户来说毫无用处)，但是没有更多的安全更新。
2. 接受运行具有已知安全问题的手机的风险，这取决于问题，可能只是通过上网或接收彩信，或者仅仅通过激活WiFi来利用。请注意，这样的攻击可以非常深入地渗透到系统中，因为许多漏洞允许使用根权限甚至内核权限运行代码。
3. 解锁引导加载程序并安装最新的替代操作系统，并接受使用未锁定引导加载程序的风险。如果其他人对设备进行了一段时间的物理访问，或者有可能使用根或内核级别的严重OS攻击，那么引导加载程序解锁的风险就会成为一个问题。最后的风险有望得到缓解，主要是通过拥有最新的操作系统。

这些选项中没有一个没有风险，或者至少是严重的可用性或成本问题。

但在我看来，解锁引导程序和安装最新操作系统(并保持其更新)的最后一种选择比运行具有已知和严重安全问题的操作系统的第二种选择风险小得多。