Patches und VPN

[no sleep]

Von kritischen Remote-Updates habe ich im Automobilsektor noch nicht gehört. Dann fährt man eben in die Werkstatt und bezahlt 50 € für ein Update. Das können wir natürlich auch gern so machen

Klar, Türsteuergeräte werden bei einem Update aus dem Auto herausgeschraubt und auf der Werkbank geflasht. Die 3 Arbeitsstunden, die beim Zerlegen und Zusammensetzen der Tür anfallen, übernimmt der Hersteller natürlich gerne.
Das Update solcher Geräte erfolgt natürlich über den CAN-Bus, also ebenfalls "remote".

Sicher ist relativ. Den Kernel könnte man theoretisch redundant auslegen und wenn einer zerschossen ist könnte der Bootloader den Fallback-Kernel booten. Ich habe allerdings im Consumer-Bereich noch kein Gerät gesehen, das diesen Aufwand betreibt. Weder beim 50 € Router, noch beim 500 € Smartphone.

Kann man machen, muß man aber nicht. Hat man einen vernünftigen Booloader implementiert, ist das auch nicht notwendig. Siehe weiter unten.

Da hilft im Falle eines fehlgeschlagenen Updates oft nur noch der Zugriff auf den Bootloader, der für den Anwender aber eigentlich nicht vorgesehen ist.

Bei euch nicht vorgesehen. Andere Hersteller sehen das sogar schon während der Produktplanung vor, um die Kosten und den Aufwand für den Anwender zu minimieren. Ein per tftp gebootetes Recovery-Image tut keinem weh und steigert die Zufriedenheit des Anwenders, wenn beim Flashen doch mal was schiefgegangen sein sollte.

Dass der Bootloader aktualisiert wird, kommt quasi nie vor. Und wenn der ausfällt hilft eigentlich nur noch der Programmieradapter.
Nicht umsonst steht imemr dabei: Während des Updates nicht die Stromzufuhr unterbrechen

Ack. Wenn der Bootloader jedoch nie upgedatet wird, besteht zu keiner Zeit die Gefahr, daß das Gerät zum Briefbeschwerer wird. Deshalb hat (bei anderen Herstellern) dieser Hinweis nur den Hintergrund, den Aufwand für den User zu reduzieren. Selbst wenn der Stecker gezogen werden sollte, gibt's immer ein Fallback.

[salixer]

Das Update solcher Geräte erfolgt natürlich über den CAN-Bus, also ebenfalls "remote".

Ich meinte damit bei dir daheim über's Internet.

Bei euch nicht vorgesehen.

Bei uns und bei den meisten anderen auch. Ob und wie man trotzdem ran kommt, steht natürlich auf einen anderen Blatt. Weder hat M**** vorgesehen, dass ich mein Handy selbst vom Bootloader aus flashe, noch hat F**** vorgesehen, dass ich vom Bootloader aus eine alternative Firmware auf meinen Access-Point flashe.
Nur weil die Infos dazu irgendwo im Internet zu finden sind, sind die lange nicht offiziell.

[enertegus]

IWenn nach einem Update die neue nciht hoch kommt, wird automatisch die alte geladen. Wenn die auch nicht mehr geht, kann man mit dem Bootlaoder wieder eine neue aufspielen

Wie gesagt, es sollte die Ausnahme sein (und das zeigt ja auch die Vergangenheit), das ein Kernel eingespielt werden muss.

Ich denke auch nicht, dass das Upgrade von 100er Patches so häufig vorkommen wird.

[no sleep]

Ich meinte damit bei dir daheim über's Internet.

Und wo ist jetzt der Unterschied? In beiden Fällen ist "hands on" nicht notwendig. Denn der "Anwender" in der Werkstatt ist in diesem Fall der Mechaniker. Oder meinst Du, die wüssten, was sie da tun?

Bei uns und bei den meisten anderen auch. Ob und wie man trotzdem ran kommt, steht natürlich auf einen anderen Blatt.

Würde der EibPC diese Möglichkeit bieten und ihr diese Information publizieren, wäre das Hin- und Hergeschicke bei einem Kernelupdate überflüssig.

Weder hat M**** vorgesehen, dass ich mein Handy selbst vom Bootloader aus flashe, noch hat F**** vorgesehen, dass ich vom Bootloader aus eine alternative Firmware auf meinen Access-Point flashe.
Nur weil die Infos dazu irgendwo im Internet zu finden sind, sind die lange nicht offiziell.

Viele Geräte lassen sich aufgrund ihres Designs nur direkt über den Bootloader flashen. Die Tatsache, daß Einzelheiten dazu in die Öffentlichkeit gelangen, hat mit dem Verfahren nichts zu tun. Denn egal, ob "offiziell" oder "inoffiziell" geflasht wird: Wenn der Bootloader nicht angerührt wird bzw. aufgrund eines Hardware-Schreibschutzes nicht angerührt werden kann, kann durch das Flashen nichts dauerhaft kaputtgehen. Auch wenn mancher Hersteller das gerne anders sehen würde...

[enertegus]

Wenn der Bootloader nicht angerührt wird bzw. aufgrund eines Hardware-Schreibschutzes nicht angerührt werden kann, kann durch das Flashen nichts dauerhaft kaputtgehen.

Das stimmt leider nicht.
Ich hatte das schon mal hier
https://knx-user-forum.de/forum/supp...wiregate/10549
gepostet. Das Schreiben und Lesen einer Zelle kann eine benachbarte zerstören. Wer will kann da mal nach read-write-disturb suchen...

[no sleep]

@enertegus: Genau dafür haben die "üblichen verdächtigen" Flashhersteller Flash-Chips auf den Markt gebracht, die am Anfang kleine Blöcke aufweisen und sich schützen lassen. Aufgabe für den Softwareentwickler ist dann "nur noch", den Bootloader in diese Blöcke zu quetschen.
Da diese Blöcke anschliessend nicht mehr angefasst werden, ist die von Dir genannte "Gefahr" eliminiert.

[Tessi]

Das absolut sichere System werden wir wohl nicht bekommen und wenn der EibPC ein solches Flash nicht verbaut hat (und ich fürchte jetzt mal, das es genau so ist), dann können wir das jetzt nicht so einfach ändern.
Aber teilweise klingt das hier für mich jetzt wirklich wie:
Weil man bei einem Autounfall trotz aller Sicherheitseinrichtungen sterben kann lassen wir die einfach weg (spart viel Geld) und schreiben statt dessen in die Betriebsanleitung: "Fahren Sie vor- und umsichtig und vermeiden Sie Unfälle"...
(Nur nicht lachen, einige chinesische Fahrzeugtypen sind genau deshalb so billig)

Es gibt immer Situationen, in denen ein Gerät trotz aller Sicherheitsmaßnamen versagt, aber wir sollten anstreben, das dies möglichtst unwarscheinlich wird - deutlich unwahrscheinlicher als ohne Absicherung.

[salixer]

Es bleibt dabei: 90 % aller Geräte am Markt sind für den Anwender erstmal gebrickt, falls es während des Schreibvorgangs bei einem kritischen Update zum Stromausfall kommt. Und da macht sich niemand Gedanken darüber, egal ob es bei einem 20 € Popelgerät oder bei einem PC passiert. Die Teile fliegen ja nicht zum Mars.

[no sleep]

Es bleibt dabei: 90 % aller Geräte am Markt sind für den Anwender erstmal gebrickt, falls es während des Schreibvorgangs bei einem kritischen Update zum Stromausfall kommt.

Kannst Du diese Zahl belegen?
Selbst wenn es so wäre, wo ist der Nachteil zu eurem "grundsätzlich einschicken"? Denn das wären 100% von allen Geräten! Welche Stückzahlen habt ihr denn in den nächsten 3-4 Jahren angepeilt? Wollt ihr dann - in Zeiten, in denen Menschen schon jahrelang ihre Handys per PC flashen - immernoch jedes Gerät per Schneckenpost verarzten?
Handyhersteller unterstützen den User-Flash schon seit über einem Jahrzehnt - natürlich auch, um ihre Geräte beim Kunden reifen lassen zu können...
Wer käme heutzutage auf die Idee mit seinem iPhone, Blackberry, Android, Navi, Fernseher oder Bluray-Player zum Hersteller zu laufen und um ein Update zu bitten?
Wenn Hersteller mit x Mio verkauften Geräten diesen Weg gehen können, könnt ihr das sicher auch, oder?

Und da macht sich niemand Gedanken darüber, egal ob es bei einem 20 € Popelgerät oder bei einem PC passiert. Die Teile fliegen ja nicht zum Mars.

Nö. Wenn das Updateverfahren ordentlich implementiert ist, ist es auch für den Normalanwender machbar und risikolos, siehe oben - man muß sich als Hersteller nur Gedanken machen und sowas ordentlich umsetzen.

[enertegus]

@enertegus: Genau dafür haben die "üblichen verdächtigen" Flashhersteller Flash-Chips auf den Markt gebracht, die am Anfang kleine Blöcke aufweisen und sich schützen lassen.

Nein, das stimmt auch nicht. Jedes NAND Flash hat genau dieses Problem (dazu gibt es Untersuchungen von der NASA, igrendwo muss das stehen). Ausweichen kann man nur auf NOR Flashes, die weniger (1/10) Speicher haben und 10x teuerer sind. Das einzige was bleibt, ist ein Dateisystem zu verwenden, was a priori etwas anders arbeitet und die möglichen Fehler durch die Form des Zugriffs minimiert.
Ich möchte aber zum Thema zurückkommen und hier nicht mehr weiter mich dazu äußern.
Das mit den Patchen wird wohl so kommen.

[salixer]

Es kann doch jeder selbst updaten. Einschicken muss man nur bei 1.100, das is aber kein neuer Kernel, sondern ein komplett neues RootFS. Es hat seine Gründe, warum man dafür einschicken muss, aber das geht hier zu weit.

Und bei den genannten Geräten bin ich mir sogar ziemlich sicher, dass sie erstmal gebrickt sind, fall der Strom während des Updates weg ist. Nicht umsonst steht auch bei meinem Android dabei: Nur mit vollem Akku updaten!

[no sleep]

Nein, das stimmt auch nicht. Jedes NAND Flash hat genau dieses Problem

Richtig. Sofern sich die Schreib- bzw. Lesezyklen auf den selben Block beziehen.
EOD

[enertegus]

Richtig. Sofern sich die Schreib- bzw. Lesezyklen auf den selben Block beziehen.
EOD

Nein, nicht der Block, sondern die Anordnung der Speicherzellen im Flash. Schau mal unter den angegeben Stichworten.

[no sleep]

Das ist falsch. Benachbarte Speicherzellen müssen zwingend im selben Block liegen, sonst wären sie nicht benachbart. Das von Dir genannte "Problem" kenne ich schon seit 8 Jahren und weiß, daß es eigentlich kein Problem ist.

[Tessi]

Ich kann die Diskussion nicht ganz verstehen.
Nur weil eine Sicherung nicht perfekt ist und auch versagen kann, verzichten wir ganz auf sie?
Das Andere andere auch nicht besser sind ist doch nicht wirklich ein Argument. Mit der Tour ist Apple gerade kläglich gescheitert.

Das der Bootloader ggf. beschädigt werden kann ist eine Möglichkeit mit einer Wahrscheinlichkeit kleiner 100%. Dem gegenüber ist ein Ausfall nach einem Flashabbruch derzeit garantiert 100%.
Aber egal was ich mache, es bleibt nun einmal das Risiko eines PC-Absturzes. Dann hätte ich gerne wenigstens die Chance, das ein 'vielleicht' ja doch nicht zerschossener Bootloder das zu wiederholen erlaubt.
Egal wie anfällig der Bootloader ist, er vervielfach meine Chancen von exakt 0% auf irgendwas größer als 0%.