> За 100 баксов будет хлам, а не телефон с поддержкой из Китая

я что-то не пойму - тебе пoнтоваться лопатой, или решить мелкую проблемку - сохранить ключи от утекания?
> или Индии, и соответствующим уровнем сервиса.

то есть все же - понтoваться?

> Хорошие телефоны от более-менее нормальных

для озвученной задачи не нужен хороший. Нужен минимально-китайский - типа вон валяющегося у меня на столе (он, на самом деле, overpriced - где-то в столе лежит "мегафон", в девичестве m3sa - стоил аж тыщу рублей, новый, да, в мегафоне. Все, кроме tpm модуля, там есть. В том что за сто есть и модуль (хз как понять, умеет ли он им пользоваться) Апдейты, что характерно, первые пару лет тоже были, хотя и не по воздуху, четверка, кажись, так вообще не умела. Дальше ему полагалось быть либо разбитым, либо просто так выкинутым. Что, в целом, и слуцилась.

> Обновления для телефона выходят часто раз в полгода, и это в лучшем

для пресловутого мегафона они выходили раз в пару месяцев.

> случае. Сравните с частотой выхода обновлений обычного линукса.

мы про какие сейчас "обновления" - обоев? С обновлениями ядра я демонстрировал, хреново там все (и это редхат, который кормит своих кернельных разработчиков, а не дебиан какой, в котором ядро от vanilla неотличимо). bash можете не обновлять, андроеду он не нужен.
хром обновляется гуглем (и лиса тоже гуглем), поинтенсивней чем в "обычном линуксе", где надо ждать пока майнтейнеры почешутся (или ломать нахрен пакетную систему).
Ну, это если с телефона с ключехранилищем вообще по сети шариться, а не держать его в основном выключенным.

> Уж сколько раз было, что вендоры забывали обновлять телефоны, концентрируясь на новыз
> моделях. И речь не о десятилетних девайсах (это вы передёргиваете), а

это гражданин зачем-то озвучил как зримый для всех благий пример. Я на десятилетний компьютер тоже не всякий линукс стану обновлять (эмм...собственно, какого года у меня этот - 13го, наверное? Обновлению не подлежит, совсем. Сломается gpu, необратимо.)

> о стандартном сроке поддержки, который в большинстве случаев составляет 2, и
> лишь в редких -- 3 года. Через 3 года девайс превращается

повторяю: дивайс за $100 надлежит за эти два (даже не три) разбить, потерять или просто выкинуть и новый купить. С компьютером 2013го, что характерно, этого не сделаешь - и не 100, и, в общем, жалко.

> Наличие исходников меняет многое -- можно разобраться и пофиксить самому, в отличие

эмм, ну как обычно - много сам-то пофиксил? А вот упомянутый товарищ?

> от стоковой прошивки, защищённой от изменения при помощи Secure boot и
> всяких там root detection daemon'ов. Наличие исходников всегда лучше их отстутствия.

как минимум - наличие исходников упрощает хакеру поиск дыр.

> На компе никто не отменял тот же MAC (хоть SELinux, хоть любой

покажите мне того, кто им пользуется на личном компьютере, хоть домашнем, хоть еще каком?
targeted не показывайте - или перечислите реально используемые _вами_ на таком компьютере программы, для которых есть target. А то ведь окажется, что вы надежно защищены от чего-нибудь типа rsyslog.
Вот всяких install.html и README.md начинающихся с "первым делом отключите" я начитался тыщи. Но это про серверный софт, там есть таргеты.

> другой). Опять-таки, для браузера есть NoScript + AdBlock + Ghostery +
> Privoxy + ... А у вас на андроиде много браузеров с

и вы все это вот, конечно же, хотя бы бегло глазами пробежали, не добавляет ли оно вам больше проблем, чем решило? (особенно вот ghostery, учитывая реальный бизнес этой конторы)

> подобными аддонами?

не переживайте, у вас на десктопе тоже скоро не будет. Что там из них совместимо с модным-новым-гугловым типом расширений?

> Все приложения "сырые" данные не обрабатывают. Чтобы поэксплуатировать дыру в том же
> GIMP'е меня нужно сначала как-то убедить скачать картинку с эксплоитом, и
> зачем-то начать её редактировать.

то есть я и говорю - компьютером вы не пользуетесь.
> Очень, знаете ли, маловероятная атака.

если гимпом пользоваться по назначению - вполне вероятная. Если им не пользоваться вовсе, то, конечно, нет.

> Равно как и ваш пример с tar-архивом. Я, вот, через mc файлы смотреть

в нем уже встроенный tar-смотрельщик, а не экстеншн, запускающий тот же tar? ctrl-o, tab [выполняется $SHELL в pty] - для вас точно-точно в принципе невыполняемая комбинация?

> предпочитаю -- замучаетесь под меня подбирать эксплоиты и социальную инженерию, чтобы

тут и подбирать не нужно, mc - насквозь гнилой софт.

> я сделал то, что нужно. А программ, получающих данные извне, на
> PC не так и много.

_все_ программы на моем pc - получают "данные извне". Я не создаю данных, кроме вот писанины на сайте, которая после submit тоже превращается в "данные извне".

> Что касается распаковки левих архивов, мне обычно хватает официальных пакетов.

кто сказал, что официальный репо не хакнут/автор не поехал крышей/не получил предложение от которого нельзя отказаться?
Кстати, что вы только что бормотали про исходники - вы их тоже исключительно в официальных пакетах изучать собрались?

> Да, AMT -- зло. Но на телефонах это появилось гораздо раньше, и

да, зло - стоит, сссскотина, денег неприличных.

> в большем количестве. Уже были новости про найденные бэкдоры в прошивках
> модема на самсунгах.

где имение, а где вода? Опять же - вы играете в опасные игры с ФБР и ФСБ? Чтобы тот бэкдор использовать, надо сильно дружить с самсунгом, и иметь оборудование, вряд ли доступное частному лицу в нашей стране.
И да, уже были (и гораздо раньше истории с самсунгом) новости про скрытое ядро vm прячущееся в BMC китайского сервера (а других у вас нет) - хз зачем и что оно там делало.

> я доверяю больше, так как контролирую больше. На PC для особо

да ничего вы не контролируете, это вам кажется только.
> параноидальных есть возможность зашить в BIOS свой модуль -- полно утилит,
> позволяющих раздраконить различные популярные BIOS'ы.

популярные биосы десятилетней давности были блобом этак на пару пакованных мегабайт, успехов в дизассемблировании. Современный вы ни разобрать, ни понять в нем ничего вообще не сможете, благодаря новым модным интеловским технологиям, а размером он уже в десятки.

> Что касается CVE-2016-10229, в нормальных дистрибутивах уже пофикшено. А в моём HTC
> 10 -- прошлогоднем флагмане --, который далеко не 100 баксов стоил,

видите как плохо покупать дорогостоящие пoнты подорого? ;-)

> это HTC -- не последняя фирма.

китаец как китаец.

> (И уж если говорить о конкретно данной CVE, то, чтобы её поэксплуатировать,
> должно сойтись несколько условий:

я вообще не знаю, что за хрень может штатно ТАК работать (хотя для кого-то ж этот апи "понюхать пакет и запихать обратно в дырку откуда взяли" придумали), но - а кто сказал что "хрень" это делает не намеренно - и ее вы же сами и запустили?

> Вы так часто пишете?

каждый раз как пишу троянца, ага.

> нужно найти приложение, в котором UDP используется таким образом.)

оно само вас найдет, не переживайте.

до кучи - наберите netstat -ua и задумайтесь о грустном (я вот задумался. Нет, это нельзя выбросить, и верифицировать тоже. И оно кривое, это я хорошо знаю)