Podle nedávného závazku, který jsme objevili v projektu Android Open Source Project, se Google připravuje rozlišovat mezi úrovní opravy zabezpečení dodavatele a opravou zabezpečení Android Framework úroveň. To umožňuje výrobcům OEM udržovat Android aktualizovaný, zatímco čekají, až dodavatelé hardwaru poskytnou opravy.
Po dlouhou dobu ve své rané historii měl Android reputaci méně bezpečného než iOS kvůli přístupu Applu k aplikacím typu „walled garden“. Zda je tato minulá pověst zasloužená nebo ne, není něco, do čeho se ponoříme, ale je jasné, že Google udělal velké pokroky v zabezpečení Androidu proti zranitelnostem. Nejen, že společnost poskytuje nové bezpečnostní funkce v nejnovější verzi Androidu, Android P, ale také poskytují "zabezpečení na podnikové úrovni" ve svých nejnovějších zařízeních díky hardwarovému bezpečnostnímu modulu v Google Pixel 2/2 XL. Zabezpečení zařízení také vyžaduje neustálé aktualizace, které opravují všechny nejnovější hrozby, což je důvod, proč má Google měsíční bezpečnostní bulletiny
Měsíční opravy zabezpečení Androidu – základní nátěr
Všichni víme, že bezpečnostní záplaty jsou důležité, zvláště poté, co byla v druhé polovině loňského roku zveřejněna řada významných zranitelností. The Zranitelnost BlueBorne napadl protokol Bluetooth a byl opraven Měsíční opravy ze září 2017, KRACK se zaměřuje na slabinu Wi-Fi WPA2 a byl opraven prosince 2017a zranitelnosti Spectre/Meltdown byly většinou opraveny pomocí Náplasti z ledna 2018. Opravování chyb zabezpečení, jako jsou tyto, obvykle vyžaduje spolupráci s dodavatelem hardwaru (jako je Broadcom a Qualcomm), protože zranitelnost se týká hardwarové součásti, jako je čip Wi-Fi nebo Bluetooth nebo PROCESOR. Na druhou stranu existují problémy v operačním systému Android, jako je tento útok překrytí zpráv toastem které k opravě vyžadují pouze aktualizaci rámce Android.
Kdykoli Google zavede měsíční bezpečnostní opravu, musí výrobci zařízení opravit VŠECHNY zranitelnosti uvedenou v bezpečnostním bulletinu za daný měsíc, pokud chtějí říci, že jejich zařízení je zabezpečené až do této měsíční opravy úroveň. Každý měsíc existují dvě úrovně oprav zabezpečení, kterým může zařízení vyhovět: úroveň opravy k 1. dni v měsíci nebo k 5. dni v měsíci. Pokud zařízení říká, že používá úroveň opravy od 1. dne v měsíci (např. 1. dubna namísto 5. dubna), pak to znamená, že sestavení obsahuje všechny záplaty rámce A dodavatele z vydání z minulého měsíce plus všechny záplaty rámce z nejnovějšího bulletinu zabezpečení. Na druhou stranu, pokud zařízení říká, že používá úroveň opravy od 5. dne v měsíci (5. dubna, např. příklad), pak to znamená, že obsahuje všechny opravy rámců a dodavatelů z minulého a tohoto měsíce bulletin. Zde je tabulka, která ilustruje základní rozdíl mezi měsíčními úrovněmi oprav:
Úroveň měsíční opravy zabezpečení |
1. dubna |
5. dubna |
|---|---|---|
Obsahuje dubnové rámcové záplaty |
Ano |
Ano |
Obsahuje dubnové záplaty dodavatele |
Ne |
Ano |
Obsahuje March Framework Patch |
Ano |
Ano |
Obsahuje March Vendor Patch |
Ano |
Ano |
Pravděpodobně víte, jak tristní je situace s bezpečnostními záplatami v ekosystému Android. Níže uvedený graf ukazuje, že Google a Essential poskytují nejrychlejší měsíční aktualizace bezpečnostních oprav, zatímco ostatní společnosti zaostávají. Může trvat měsíce, než OEM přinese nejnovější záplaty do zařízení, například jak OnePlus 5 a OnePlus 5T nedávno obdržel Dubnová bezpečnostní záplata když byly předtím na prosincovém patchi.
Stav opravy zabezpečení Android k únoru 2018. Zdroj: @SecX13
Problém s poskytováním aktualizací Android Security Patch není nutně v tom, že OEM jsou líní, protože někdy to může být mimo jejich kontrolu. Jak jsme již zmínili, měsíční aktualizace bezpečnostních oprav často vyžadují spolupráci hardwaru dodavatele, což může způsobit zpoždění, pokud dodavatel není schopen držet krok s měsíční opravou zabezpečení bulletiny. V boji proti tomu se zdá, že Google může začít oddělovat úroveň opravy zabezpečení Android Framework od úrovně opravy dodavatele (a možná i úroveň bootloaderu a jádra), aby v budoucnu mohli být výrobci OEM schopni poskytovat zabezpečení pouze pro Android aktualizace.
Rychlejší aktualizace oprav zabezpečení systému Android pro chyby zabezpečení?
Nový spáchat se objevil v gerritu Android Open Source Project (AOSP), který naznačuje „záplatu zabezpečení dodavatele prop", která by byla definována v souborech Android.mk vždy, když je vytvářena nová sestavení pro zařízení vytvořené. Tato vlastnost se bude jmenovat "ro.vendor.build.security_patch"a bude analogický"ro.build.version.security_patch", který v současné době existuje na všech zařízeních Android a určuje měsíční úroveň opravy zabezpečení Android.
Tato nová vlastnost nám místo toho sdělí „VENDOR_SECURITY_PATCH" úroveň zařízení, která může nebo nemusí odpovídat úrovni opravy zabezpečení Android Framework. Zařízení může například běžet na nejnovějších opravách rámce z dubna 2018 spolu s opravami od dodavatele z února 2018. Rozlišováním mezi dvěma úrovněmi oprav zabezpečení je možné, že Google má v úmyslu nechat je dodávat OEM nejnovější záplaty zabezpečení operačního systému Android, i když prodejci neposkytli aktualizované záplaty pro tuto měsíční záplatu úroveň.
Alternativně, Google může zobrazit jen minimum ze dvou úrovní záplaty (možná spolu s úrovněmi záplaty zavaděče a jádra), aby bylo možné uživateli přesněji ukázat, na jaké záplatě zabezpečení je jeho zařízení. Zatím nemáme potvrzený záměr tohoto patche, ale doufáme, že se brzy dozvíme více.
Přinejmenším to bude užitečné pro ty z nás Projekt TrebleObecné systémové obrazy (GSI) a další vlastní ROM založené na AOSP, protože vlastní ROM často poskytují pouze aktualizace rámce bez záplatování celého dodavatele, zavaděče a záplaty jádra, které jsou specifikovány v měsíčním bulletinu zabezpečení, takže nesoulad způsobuje zmatek mezi uživateli, když myslí si, že používají nejnovější záplaty, i když ve skutečnosti je jejich zařízení opraveno pouze částečně proti nejnovějšímu měsíčnímu zabezpečení bulletin.