Kuidas igakuised Androidi turvapaiga värskendused töötavad

Google on avaldanud igakuiseid turvabülletääne alates 2015. aasta augustist. Need turvabülletäänid sisaldavad loendit avalikustatud turvaaukudest, mis on parandatud ja mis mõjutavad Androidi raamistikku, Linuxi tuuma ja muid suletud lähtekoodiga hankija komponente. Iga bülletäänide haavatavus avastas kas Google või avalikustati ettevõttele. Igal loetletud haavatavusel on ühiste haavatavuste ja kokkupuute (CVE) number koos sellega seotud viited, haavatavuse tüüp, tõsiduse hinnang ja mõjutatud AOSP versioon (kui kohaldatav). Kuid vaatamata näiliselt lihtsustatud protsessile, kuidas Androidi turvapaigad töötavad, on seal tegelikult mõnevõrra keeruline kulisside taga edasi-tagasi, mis võimaldab teie telefonil igakuiselt või (loodetavasti) peaaegu igakuiselt plaastrid.

Mis tegelikult teeb turvapaiga?

Võib-olla olete märganud, et iga kuu on neid tegelikult 

kaks turvapaiga tasemed. Nende plaastrite vorming on kas AAAA-KK-01 või AAAA-KK-05. Kuigi YYYY ja MM tähistavad ilmselgelt vastavalt aastat ja kuud, ei tähenda "01" ja "05" segadusse ajades tegelikult selle kuu päeva, mil see turbepaiga tase avaldati. Selle asemel on 01 ja 05 tegelikult kaks erinevat turvapaiga taset, mis avaldatakse igal kuul samal päeval – paiga tase, mille lõpus on 01, sisaldab Androidi raamistiku parandusi, kuid mitte tarnija paigad või ülesvoolu Linuxi kerneli paigad. Müüja plaastrid, nagu me eespool määratlesime, viitavad suletud lähtekoodiga komponentide, näiteks Wi-Fi ja Bluetoothi ​​draiverite parandustele. Turvapaiga tase, mida tähistab tähis -05, sisaldab nii neid tarnija plaastreid kui ka Linuxi tuuma plaastreid. Vaadake allolevat tabelit, mis võib aidata mõista.

Muidugi võivad mõned originaalseadmete tootjad valida oma paigad ja värskendused ka turvavärskendusteks. Enamikul originaalseadmete tootjatel on Androidist oma arvamus, seega on loogiline, et teil võib olla näiteks Samsungi telefoni haavatavus, mida Huaweil pole. Paljud neist originaalseadmete tootjatest avaldavad ka oma turvabülletääne.

• Google Pixel
• Huawei
• LG
• Motorola
• HMD Global
• Samsung

Google'i turvapaiga ajaskaala teie telefonile

Turvapaikade ajaskaala ulatub ligikaudu 30 päevani, kuigi mitte kõik originaalseadmete tootjad ei saa seda ajaskaala täispikkuses kasutada. Heidame pilgu peale Mai 2019 turvapaik näiteks ja me saame selle paiga loomise taga oleva kogu ajaskaala jaotada. Ettevõtetele meeldib Hädavajalik saavad oma turvavärskendused välja samal päeval nagu Google Pixel, kuidas nad seda teevad? Lühike ja lihtne vastus on, et nad on Androidi partner. Mai 2019 turvabülletään ilmus 6. mail, kus nii Google Pixels kui ka Essential Phone saavad peaaegu kohe värskendusi.

Mida tähendab olla Androidi partner?

Mitte ükski ettevõte ei saa olla Androidi partner, kuigi põhimõtteliselt on seda kõik suuremad Androidi originaalseadmete tootjad. Androidi partnerid on ettevõtted, kellele on antud litsents Androidi kaubamärgi kasutamiseks turundusmaterjalides. Neil on lubatud tarnida ka Google'i mobiiliteenuseid (GMS – viitab peaaegu kõigile Google'i teenustele), kui need vastavad dokumendis kirjeldatud nõuetele. Ühilduvuse määratlusdokument (CDD) ja läbida ühilduvustesti komplekt (CTS), tarnija testikomplekt (VTS), Google Test Suite (GTS) ja veel mõned testid. Ettevõtete puhul on turvapaiga protsessis selgeid erinevusi ei ole Androidi partner.

• Androidi raamistiku paigad on neile saadaval pärast AOSP-ga ühendamist 1–2 päeva enne turvabülletääni avaldamist.
• Ülesvoolu Linuxi kerneli plaastreid saab kohe valida, kui need on saadaval.
• SoC-müüjate parandused suletud lähtekoodiga komponentide jaoks on saadaval olenevalt SoC-müüjaga sõlmitud lepingutest. Pange tähele, et kui müüja on andnud originaalseadmete tootjale juurdepääsu suletud lähtekoodiga komponendi(de) lähtekoodile, saab OEM probleemi(d) ise lahendada. Kui originaalseadmete tootjal pole juurdepääsu lähtekoodile, peavad nad ootama, kuni tarnija paranduse väljastab.

Kui olete Androidi partner, on teil kohe palju lihtsam. Androidi partnereid teavitatakse kõigist Androidi raamistiku ja Linuxi tuuma probleemidest vähemalt 30 päeva enne bülletääni avalikustamist. Google pakub originaalseadmete tootjatele liitmiseks ja testimiseks plaastreid kõikide probleemide jaoks, kuigi müüja komponentide paigad sõltuvad müüjast. Näiteks 2019. aasta mai turvabülletäänis avalikustatud Androidi raamistiku probleemide paigad esitati Androidi partneritele vähemalt 20. märtsil 2019*. See on a palju lisaajast.

*Märkus. Google saab värskendada uusima turbebülletääni plaastreid ja seda sageli teebki kuni avaliku väljalaskmiseni. Need värskendused võivad ilmneda, kui leitakse uusi haavatavusi ja vigu, kui Google otsustab teatud paigad kuubülletäänist eemaldada kriitiliste komponentide purunemise tõttu, kui Google värskendab plaastrit, et lahendada paiga eelmise versiooni tekitatud viga ja muud põhjustel.

Miks ma pean nii kaua ootama, et saada oma telefoni turvapaiga?

Kuigi on tõsi, et Androidi partnerid (loe: kõik suuremad originaalseadmete tootjad) said turvapaigad palju enne oma väljalase, on paljud valusalt teadlikud, et nad ei saa tõenäoliselt turvavärskendust kuude jooksul pärast seda vabastada. See on üldiselt tingitud ühest neljast põhjusest.

• OEM-idel võib olla vaja teha suuri tehnilisi muudatusi, et turvapaigale lisada, kuna see võib olemasoleva koodiga vastuolus olla.
• Tarnija ei paku suletud lähtekoodiga komponentidele lähtekoodi värskendusi.
• Vedaja sertifitseerimine võib võtta aega.
• Ettevõtted ei pruugi olla nõus turbevärskendust välja andma ilma funktsiooni samal ajal välja laskmata.

Kuigi need kõik on mõjuvad põhjused, miks ettevõte turbepaika ei avalda, ei huvita lõppkasutajat alati ükski neist. Tõsi küll, ka lõppkasutaja ei hooli alati turvapaikadest, kuigi peaks. Sellised algatused nagu Project Treble, laiendatud Linux LTS, ja Projekti põhiliin aitavad kõrvaldada nende turvapaikade liitmisel tekkivad tehnilised raskused, kuid sellest ei piisa, et panna originaalseadmete tootjad järjekindlalt värskendusi välja panema. Generic Kernel Image ehk GKI abil on SoC müüjatel ja originaalseadmete tootjatel lihtsam ülesvoolu Linuxi kerneli plaastreid liita, kuigi tõenäoliselt näeme esimesi GKI-ga seadmeid alles järgmisel aastal.

Kuid huvitav teave, mida enamik ei tea, on suured originaalseadmete tootjad peab pakkuda "vähemalt neli turvavärskendust" aasta jooksul pärast seadme käivitamist ja kokku 2 aastat värskendusi. Google ei ole neid konkreetseid tingimusi kinnitanud, kuid ettevõte kinnitas, et nad "töötasid [oma] OEM-lepingutesse turvapaigaldamisega". Android Enterprise Recommended (AER) seadmete puhul peavad seadmed hankima turvavärskendused 90 päeva jooksul pärast avaldamist 3 aasta jooksul. Selle saamiseks on vaja vastupidavaid AER-seadmeid 5 aastat turvavärskendustest. Android One'i seadmed peaksid saama turvavärskendusi iga kuu 3 aasta jooksul.

Mis on turvapaigas?

Turvaparandus on lihtsalt järjekordne värskendus, kuigi üldiselt palju väiksem üksikute raamistike ja süsteemimoodulite muudatustega, mitte kogu süsteemi hõlmavate täiustuste või muudatustega. Google pakub iga kuu seadme originaalseadmete tootjatele ZIP-faili, mis sisaldab plaastreid kõigi praegu veel toetatud peamiste Androidi versioonide jaoks koos turvatestikomplektiga. See testikomplekt aitab originaalseadmete tootjatel leida lünki turvapaikades, et nad millestki ilma ei jääks ja et plaastrid liideti asjakohaselt. Kuu möödudes võib Google teha väiksemaid muudatusi, näiteks otsustada, et üks konkreetne plaaster on valikuline, eriti kui selle rakendamisel on probleeme.

Aga kohandatud ROM-id?

Kui teie nutitelefon ei saa palju turvavärskendusi, ei tähenda see tingimata, et teil oleks parem kohandatud ROM-ile lülituda. Kuigi on tõsi, et saate turvavärskendusi, mida te muidu poleks saanud, on see vaid pool loost. Alglaaduri avamine jätab teid vastuvõtlikuks teie seadme füüsiliste rünnakute suhtes, isegi kui tarkvara on turvalisus tugevdatud. See ei tähenda, et te ei peaks kasutama kohandatud ROM-e, vaid nende kasutamisel on muid probleeme, mis ei kehti, kui teie alglaadur on lukus. Kui olete rohkem mures asjade tarkvaralise poole pärast, on teil siiski parem kasutada kohandatud ROM-i, millele tehakse sageli turvapaigad.

Kuid pidage meeles, et me rääkisime YYYY-MM-01 ja YYYY-MM-05 plaastrite erinevusest? Paigutustase -05 sisaldab nii Linuxi tuuma plaastreid kui ka tarnija plaastreid – suletud lähtekoodiga tarkvarale rakendatavaid plaastreid. See tähendab, et kohandatud ROM-i arendajad on sõltumata sellest, kas OEM-i jaoks nad arendavad, ja sellest, kas OEM avaldab värskendatud plekid või mitte. See sobib seadmete jaoks, mida tootja veel värskendab, kuid seadmete jaoks, mida ei värskenda, saab rakendatud plaastreid rakendada ainult Androidi raamistikule ja Linuxi tuumale. See on põhjus, miks LineageOS Usaldusliides näitab kahte turbepaiga taset – üks on platvorm ja teine ​​tarnija. Kuigi toetamata seadmete kohandatud ROM-id ei suuda kõiki uusimaid plaastreid täielikult integreerida, on need turvalisemad kui vanem, aegunud ROM.