Cómo funcionan las actualizaciones mensuales del parche de seguridad de Android

Google publica boletines de seguridad mensuales desde agosto de 2015. Estos boletines de seguridad contienen una lista de vulnerabilidades de seguridad reveladas que se han solucionado y que afectan el marco de Android, el kernel de Linux y otros componentes de proveedores de código cerrado. Cada vulnerabilidad en los boletines fue descubierta por Google o revelado a la empresa. Cada vulnerabilidad enumerada tiene un número de vulnerabilidades y exposiciones comunes (CVE), junto con sus datos asociados. referencias, el tipo de vulnerabilidad, una evaluación de la gravedad y la versión de AOSP afectada (si aplicable). Pero a pesar del proceso aparentemente simplista detrás de cómo funcionan los parches de seguridad de Android, en realidad hay una cierta complicado ir y venir entre bastidores que permite que su teléfono obtenga actualizaciones mensuales o (con suerte) casi mensuales. parches.

¿Qué caracteriza realmente a un parche de seguridad?

Quizás hayas notado que cada mes, en realidad hay dos niveles de parches de seguridad. El formato de estos parches es AAAA-MM-01 o AAAA-MM-05. Si bien AAAA y MM obviamente representan el año y el mes respectivamente, "01" y "05" de manera confusa no significan en realidad el día del mes en el que se lanzó ese nivel de parche de seguridad. En cambio, el 01 y el 05 son en realidad dos niveles de parche de seguridad diferentes que se publican el mismo día cada mes: el nivel de parche con 01 al final contiene correcciones para el marco de trabajo de Android, pero no parches de proveedores o parches ascendentes del kernel de Linux. Los parches de proveedores, como definimos anteriormente, se refieren a correcciones de componentes de código cerrado, como controladores para Wi-Fi y Bluetooth. El nivel de parche de seguridad indicado por -05 contiene estos parches de proveedores, así como parches en el kernel de Linux. Eche un vistazo a la siguiente tabla que puede ayudarle a comprenderlo.

Por supuesto, algunos fabricantes de equipos originales también pueden optar por incluir sus propios parches y actualizaciones en las actualizaciones de seguridad. La mayoría de los fabricantes de equipos originales tienen su propia versión de Android, por lo que tiene sentido que tenga, por ejemplo, una vulnerabilidad en un teléfono Samsung que no existe en un Huawei. Muchos de estos fabricantes de equipos originales también publican sus propios boletines de seguridad.

• Google Píxel
• Huawei
• LG
• Motorola
• HMD Global
• Samsung

La cronología de un parche de seguridad de Google a tu teléfono

Los parches de seguridad tienen un cronograma que abarca aproximadamente 30 días, aunque no todos los OEM pueden aprovechar todo el cronograma. Echemos un vistazo a la Parche de seguridad de mayo de 2019 por ejemplo, y podemos desglosar toda la línea de tiempo detrás de la creación de este parche. Empresas como Básico logran sacar sus actualizaciones de seguridad En el mismo día como Google Pixel, entonces, ¿cómo lo hacen? La respuesta corta y simple es que son un Socio de Android. El boletín de seguridad de mayo de 2019 fue publicado el 6 de mayo, y tanto Google Pixels como Essential Phone reciben actualizaciones casi inmediatas.

Qué significa ser socio de Android

No cualquier empresa puede ser socio de Android, aunque es cierto que básicamente todos los principales OEM de Android lo son. Los socios de Android son las empresas a las que se les concede una licencia para utilizar la marca de Android en material de marketing. También pueden enviar servicios móviles de Google (GMS, se refiere a prácticamente todos los servicios de Google) siempre que cumplan con los requisitos descritos en la Documento de definición de compatibilidad (CDD) y pase el Conjunto de pruebas de compatibilidad (CTS), el Conjunto de pruebas de proveedores (VTS), el Conjunto de pruebas de Google (GTS) y algunas otras pruebas. Existen claras diferencias en el proceso de parches de seguridad para las empresas que no lo son un socio de Android.

• Los parches del marco de Android están disponibles para ellos después de fusionarse en AOSP 1 o 2 días antes de que se publique el boletín de seguridad.
• Los parches ascendentes del kernel de Linux se pueden seleccionar una vez que estén disponibles.
• Las correcciones de los proveedores de SoC para componentes de código cerrado están disponibles según los acuerdos con el proveedor de SoC. Tenga en cuenta que si el proveedor le ha dado al OEM acceso al código fuente de los componentes de código cerrado, entonces el OEM puede solucionar los problemas por sí mismo. Si el OEM no tiene acceso al código fuente, debe esperar a que el proveedor publique una solución.

Si eres socio de Android, inmediatamente lo tendrás mucho más fácil. Los socios de Android reciben notificaciones sobre todos los problemas del marco de Android y del kernel de Linux al menos 30 días antes de que el boletín se haga público. Google proporciona parches para todos los problemas para que los OEM los fusionen y prueben, aunque los parches de los componentes del proveedor dependen del proveedor. Los parches para los problemas del marco de Android revelados en el boletín de seguridad de mayo de 2019, por ejemplo, se proporcionaron a los socios de Android al menos el 20 de marzo de 2019*. Eso es un lote de tiempo extra.

*Nota: Google puede actualizar, y suele hacerlo, los parches para el último boletín de seguridad hasta su lanzamiento público. Estas actualizaciones pueden ocurrir si se encuentran nuevas vulnerabilidades y errores, si Google decide eliminar ciertos parches del boletín mensual. debido a que rompe componentes críticos, si Google actualiza un parche para resolver un error creado por la versión anterior del parche, y otros razones.

¿Por qué tengo que esperar tanto para recibir un parche de seguridad en mi teléfono?

Si bien es cierto que los socios de Android (léase: todos los principales fabricantes de equipos originales) recibieron parches de seguridad mucho antes de su lanzamiento, muchos son dolorosamente conscientes de que posiblemente no recibirán una actualización de seguridad durante meses después de su lanzamiento. liberar. Esto generalmente se debe a una de cuatro razones.

• Es posible que los OEM deban realizar importantes cambios técnicos para poder adaptar un parche de seguridad, ya que puede entrar en conflicto con el código existente.
• El proveedor tarda en proporcionar código fuente actualizado para componentes de código cerrado.
• La certificación del operador puede llevar tiempo.
• Es posible que las empresas no estén dispuestas a publicar una actualización de seguridad sin lanzar también una función al mismo tiempo.

Si bien todas estas son razones válidas para que una empresa no publique un parche de seguridad, al usuario final no siempre le importa ninguna de ellas. Es cierto que al usuario final tampoco siempre le importan los parches de seguridad, aunque deberían hacerlo. Iniciativas como Project Treble, Linux LTS extendido, y Línea principal del proyecto están ayudando a eliminar las dificultades técnicas de fusionar estos parches de seguridad, pero no es suficiente para que los OEM se esfuercen constantemente por publicar actualizaciones. Con una imagen de kernel genérica, o GKI, a los proveedores de SoC y OEM les resultará más fácil fusionar parches del kernel de Linux, aunque probablemente no veremos los primeros dispositivos con GKI hasta el próximo año.

Pero un dato interesante que la mayoría no conoce es que los principales fabricantes de equipos originales (OEM) debe proporcionar "al menos cuatro actualizaciones de seguridad" dentro de un año del lanzamiento de un dispositivo y 2 años de actualizaciones en general. Google no ha confirmado estos términos específicos, pero la compañía sí confirmó que "trabajaron en la creación de parches de seguridad en [sus] acuerdos OEM". En cuanto a los dispositivos Android Enterprise Recomendado (AER), los dispositivos deben obtener actualizaciones de seguridad dentro de los 90 días posteriores al lanzamiento durante 3 años. Se requieren dispositivos AER resistentes para obtener 5 años de actualizaciones de seguridad. Se supone que los dispositivos Android One recibirán actualizaciones de seguridad cada mes durante 3 años.

¿Qué hay en un parche de seguridad?

Un parche de seguridad es sólo otra actualización, aunque generalmente mucho más pequeña y con cambios en marcos individuales y módulos del sistema en lugar de mejoras o cambios en todo el sistema. Cada mes, Google proporciona a los OEM de dispositivos un archivo zip que contiene parches para todas las versiones principales de Android que aún son compatibles, junto con un conjunto de pruebas de seguridad. Este conjunto de pruebas ayuda a los OEM a detectar lagunas en los parches de seguridad, para asegurarse de que no se pierdan nada y que los parches se fusionaron adecuadamente. A medida que avanza el mes, Google puede realizar revisiones menores, como decidir que un parche específico sea opcional, específicamente si hay problemas para implementarlo.

¿Qué pasa con las ROM personalizadas?

Si su teléfono inteligente no recibe muchas actualizaciones de seguridad, eso no significa necesariamente que sea mejor cambiar a una ROM personalizada. Si bien es cierto que obtendrá actualizaciones de seguridad que de otro modo no habría recibido, eso es sólo la mitad de la historia. Desbloquear su gestor de arranque lo deja susceptible a ataques físicos en su dispositivo, incluso si en el lado del software, la seguridad está reforzada. Eso no quiere decir que no debas usar ROM personalizadas, es solo que existen otras preocupaciones cuando se trata de usarlas que no se aplican si tu gestor de arranque se mantiene bloqueado. Si está más preocupado por el lado del software, entonces será mejor que tenga una ROM personalizada que reciba parches de seguridad frecuentes.

¿Pero recuerdas que hablamos de la diferencia entre los parches AAAA-MM-01 y AAAA-MM-05? El nivel de parche -05 contiene parches del kernel de Linux, así como parches de proveedores: parches aplicados al software de código cerrado. Esto significa que los desarrolladores de ROM personalizados están a merced del OEM para el que estén desarrollando y de si el OEM lanza blobs actualizados o no. Esto está bien para los dispositivos que aún están actualizados por el fabricante, pero para los dispositivos que no lo están, los parches aplicados solo se pueden aplicar al marco de Android y al kernel de Linux. Esta es la razón por la que LineageOS Interfaz de confianza muestra dos niveles de parches de seguridad: uno es la plataforma y el otro es el proveedor. Aunque las ROM personalizadas para dispositivos no compatibles no pueden integrar completamente todos los parches más recientes, serán más seguras que las ROM más antiguas y obsoletas.