Vastavalt hiljutisele kohustusele, mille avastasime Androidi avatud lähtekoodiga projektis, valmistub Google et teha vahet müüja turvapaiga taseme ja Android Frameworki turvapaiga vahel tasemel. See võimaldab originaalseadmete tootjatel hoida Androidi värskendatuna, oodates riistvaramüüjatelt parandusi.
Pikka aega oma varases ajaloos oli Androidi maine vähem turvalisena kui iOS, kuna Apple on rakenduste jaoks "seinaga aiaga". Seda, kas see varasem maine on ära teenitud või mitte, ei hakka me sukelduma, kuid on selge, et Google on teinud suuri edusamme Androidi turvaaukude eest kaitsmisel. Ettevõte ei paku Androidi uusimas versioonis mitte ainult uusi turvafunktsioone, Android P, kuid nad pakuvad ka "ettevõtte tasemel turvalisus" oma uusimates seadmetes tänu Google Pixel 2/2 XL riistvaralisele turvamoodulile. Seadme turvalisena hoidmine nõuab ka pidevaid värskendusi, et parandada ka kõiki uusimaid ohte, mistõttu Google on seda teinud igakuised turvabülletäänid et kõik seadmete tootjad ja müüjad lisaksid paigad kõigi teadaolevate aktiivsete ja potentsiaalsete haavatavuste vastu. Nüüd näib, et ettevõte võib teha Androidi turvapaiga süsteemis muudatusi, pakkudes selleks viisi
Igakuised Androidi turvapaigad – aabitsad
Me kõik teame, et turvapaigad on olulised, eriti pärast seda, kui eelmise aasta teisel poolel avalikustati rida kõrgetasemelisi turvaauke. The BlueBorne'i haavatavus ründas Bluetoothi protokolli ja sai paigatud September 2017 igakuised plaastrid, KRACK sihib Wi-Fi WPA2 nõrkust ja see parandati detsember 2017, ja Spectre/Meltdowni haavatavused parandati enamasti rakendusega 2018. aasta jaanuari plaastrid. Selliste haavatavuste parandamine nõuab tavaliselt koostööd riistvaramüüjaga (nt Broadcom ja Qualcomm), kuna haavatavus puudutab riistvarakomponenti, nagu Wi-Fi või Bluetoothi kiip või PROTSESSOR. Teisest küljest on Androidi operatsioonisüsteemis selliseid probleeme nagu see toosti sõnumi ülekatte rünnak mille parandamiseks on vaja ainult Android Frameworki värskendust.
Kui Google laseb välja igakuise turvapaiga, peavad seadmetootjad parandama KÕIK turvaaugud kirjeldatud selle kuu turvabülletäänis, kui nad tahavad öelda, et nende seade on kuni selle igakuise paigani turvaline tasemel. Igal kuul on kaks turvapaiga taset, millele seade võib vastata: paiga tase kuu 1. kuupäeval või kuu 5. kuupäeval. Kui seade ütleb, et see töötab plaastri tasemel alates kuu 1. kuupäevast (nt. 1. aprillil, mitte 5. aprillil), tähendab see, et järg sisaldab kõiki raamistiku JA tarnija plaastreid eelmise kuu väljalaskest ning kõiki uusima turbebülletääni raamistiku plaastreid. Teisest küljest, kui seade ütleb, et see töötab plaastri tasemel alates kuu 5. kuupäevast (5. aprill, näide), siis see tähendab, et see sisaldab kõiki eelmise ja selle kuu raamistiku ja hankija plaastreid bülletään. Siin on tabel, mis illustreerib peamist erinevust igakuiste plaastritasemete vahel:
Igakuine turvapaiga tase |
1. aprill |
5. aprill |
|---|---|---|
Sisaldab aprilli raamistiku plaastreid |
Jah |
Jah |
Sisaldab aprilli müüja plaastreid |
Ei |
Jah |
Sisaldab märtsi raamistiku plaastreid |
Jah |
Jah |
Sisaldab märtsikuu müüjaplaastreid |
Jah |
Jah |
Tõenäoliselt olete kursis sellega, kui halb on turvapaiga olukord Androidi ökosüsteemis. Allolev diagramm näitab, et Google ja Essential pakuvad kiireimaid igakuisi turvapaikade värskendusi, samas kui teised ettevõtted jäävad maha. OEM-il võib kuluda kuid, et tuua seadmesse uusimad paigad, näiteks kuidas OnePlus 5 ja OnePlus 5T sai hiljuti kätte Aprilli turvapaik kui nad olid varem detsembri plaastril.
Androidi turvapaiga olek 2018. aasta veebruari seisuga. Allikas: @SecX13
Androidi turvapaiga värskenduste pakkumise probleem ei seisne tingimata selles, et originaalseadmete tootjad on laisad, kuna mõnikord võib see olla nende kontrolli alt väljas. Nagu varem mainisime, nõuavad igakuised turvapaiga värskendused sageli riistvara koostööd hankija, mis võib põhjustada viivitusi, kui tarnija ei suuda igakuise turvapaigaga sammu pidada bülletäänid. Selle vastu võitlemiseks näib, et Google võib hakata Android Frameworki turvapaiga taset eraldama müüja paiga tasemest (ja võib-olla ka alglaaduri ja kerneli tasemel), et tulevikus saaksid originaalseadmete tootjad pakkuda puhtalt Androidi raamistiku turvalisust uuendused.
Androidi turvapaiga kiiremad värskendused raamistiku haavatavuste jaoks?
Uus pühenduma on ilmunud Android Open Source Project (AOSP) gerritis, mis vihjab "müüja turvapaigale prop", mis määratletakse Android.mk-failides alati, kui seadme jaoks luuakse uus versioon loodud. Seda vara nimetatakse "ro.vendor.build.security_patch"ja on analoogne ""ro.build.version.security_patch", mis on praegu olemas kõigis Android-seadmetes, et määrata igakuine Androidi turvapaiga tase.
See uus vara ütleb meile hoopis "VENDOR_SECURITY_PATCH" seadme tasemel, mis võib, kuid ei pruugi vastata Android Frameworki turvapaiga tasemele. Näiteks võib seade töötada viimaste 2018. aasta aprilli raamistiku paikade ja 2018. aasta veebruari raamistiku paikadega. Kahe turbepaiga taseme eristamisel on võimalik, et Google kavatseb lasta originaalseadmete tootjatel tarnida Android OS-i uusimad turvapaigad, kuigi müüjad pole selle igakuise paiga jaoks värskendatud plaastreid pakkunud tasemel.
Alternatiivina, Google võib kuvada ainult miinimumi kahest paigatasemest (kõrvuti võib-olla alglaaduri ja kerneli paigatasemega), et kasutajale täpsemalt näidata, mis turvapaigal tema seade on. Meil pole veel kinnitust selle plaastri kavatsuse kohta, kuid loodame peagi rohkem teada saada.
Vähemalt on see kasulik neile, kes me oleme Projekt TrebleÜldised süsteemipildid (GSI-d) ja muud AOSP-põhised kohandatud ROM-id, kuna sageli pakuvad kohandatud ROM-id ainult raamistiku värskendusi ilma kogu tarnijat parandamata, bootloader ja kerneli paigad, mis on määratud igakuises turvabülletäänis, nii et mittevastavus põhjustab kasutajate seas segadust, kuna arvavad, et nad kasutavad uusimaid plaastreid, kuigi tegelikkuses on nende seade ainult osaliselt paigatud uusima igakuise turvalisuse vastu bülletään.