Google možda dijeli razine sigurnosnih zakrpa za Android radi bržih sigurnosnih ažuriranja

Dugo vremena u svojoj ranoj povijesti, Android je imao reputaciju manje sigurnog od iOS-a zbog Appleovog pristupa aplikacijama "ograđenog vrta". Nije nešto u što ćemo zaroniti, ali jasno je da je Google napravio velike korake u zaštiti Androida od ranjivosti. Ne samo da tvrtka nudi nove sigurnosne značajke u najnovijoj verziji Androida, Android P, ali također pružaju "sigurnost na nivou poduzeća" u svojim najnovijim uređajima zahvaljujući hardverskom sigurnosnom modulu u Google Pixel 2/2 XL. Održavanje sigurnog uređaja također zahtijeva stalna ažuriranja kako bi se zakrpale i sve najnovije prijetnje, zbog čega je Google mjesečni bilteni o sigurnosti za sve proizvođače i prodavače uređaja da ugrade zakrpe protiv svih poznatih aktivnih i potencijalnih ranjivosti. Sada se čini da tvrtka možda mijenja sustav Android Security Patch pružajući način da

razlikovati razinu zakrpe okvira Android i razinu zakrpe dobavljača zajedno s bootloaderom, kernelom itd. ili podijeliti razine sigurnosnih zakrpa kako bi OEM-ovi mogli pružiti čista ažuriranja okvira ili bolje identificirati korisnika koju razinu zakrpe koriste.

---

Mjesečne sigurnosne zakrpe za Android - Uvod

Svi znamo da su sigurnosne zakrpe važne, osobito nakon što je niz visokoprofilnih ranjivosti objavljen u drugoj polovici prošle godine. The BlueBorne ranjivost napao je Bluetooth protokol i zakrpan je u Mjesečne zakrpe za rujan 2017, PUKOTINA cilja na slabost u Wi-Fi WPA2 i zakrpana je prosinca 2017, a ranjivosti Spectre/Meltdown uglavnom su popravljene s Zakrpe za siječanj 2018. Krpanje ranjivosti poput ovih obično zahtijeva suradnju s dobavljačem hardvera (kao što je Broadcom i Qualcomm) jer se ranjivost odnosi na hardversku komponentu kao što je Wi-Fi ili Bluetooth čip ili CPU. S druge strane, postoje problemi u operativnom sustavu Android kao što je ovaj toast message overlay attack koji zahtijevaju samo ažuriranje Android Frameworka kako bi se popravili.

Kad god Google izbaci mjesečnu sigurnosnu zakrpu, proizvođači uređaja moraju popraviti SVE ranjivosti navedeno u sigurnosnom biltenu za taj mjesec ako žele reći da je njihov uređaj siguran do te mjesečne zakrpe razini. Svaki mjesec postoje dvije razine sigurnosne zakrpe koje uređaj može zadovoljiti: razina zakrpe 1. u mjesecu ili 5. u mjesecu. Ako uređaj kaže da pokreće razinu zakrpe od 1. u mjesecu (npr. 1. travnja umjesto 5. travnja), to znači da međuverzija sadrži sve zakrpe okvira I dobavljača iz prošlomjesečnog izdanja plus sve zakrpe okvira iz najnovijeg sigurnosnog biltena. S druge strane, ako uređaj kaže da pokreće razinu zakrpe od 5. u mjesecu (5. travnja, za primjer), to znači da sadrži sve zakrpe okvira i dobavljača iz prošlog i ovog mjeseca bilten. Evo tablice koja prikazuje osnovnu razliku između mjesečnih razina zakrpa:

Vjerojatno ste upoznati s očajnom situacijom sa sigurnosnim zakrpama u ekosustavu Androida. Grafikon u nastavku pokazuje da Google i Essential pružaju najbrža mjesečna ažuriranja sigurnosnih zakrpa, dok druge tvrtke zaostaju. OEM-u mogu proći mjeseci da donese najnovije zakrpe na uređaj, na primjer kako OnePlus 5 i OnePlus 5T nedavno primio Travanjska sigurnosna zakrpa kada su prethodno bili na prosinačkoj zakrpi.

Status sigurnosne zakrpe za Android od veljače 2018. Izvor: @SecX13

Problem s pružanjem ažuriranja sigurnosne zakrpe za Android nije nužno u tome što su proizvođači originalne opreme lijeni, jer ponekad to može biti izvan njihove kontrole. Kao što smo ranije spomenuli, mjesečna ažuriranja sigurnosnih zakrpa često zahtijevaju suradnju hardvera dobavljača, što može uzrokovati kašnjenja ako dobavljač ne može držati korak s mjesečnom sigurnosnom zakrpom bilteni. Kako bi se borio protiv toga, čini se da bi Google mogao početi odvajati razinu sigurnosne zakrpe za Android Framework od razine zakrpe dobavljača (i moguće bootloader i razina jezgre) tako da bi u budućnosti OEM-ovi mogli pružiti sigurnost isključivo Android okvira nadopune.

---

Brže ažuriranje sigurnosnih zakrpa za Android za ranjivosti okvira?

Nova počiniti pojavio se u Android Open Source Project (AOSP) gerrit koji upućuje na "sigurnosnu zakrpu dobavljača prop" koji bi bio definiran u datotekama Android.mk kad god se radi nova verzija za uređaj stvorio. Ovo svojstvo će se zvati "ro.vendor.build.security_patch" i bit će analogno "ro.build.version.security_patch" koji trenutno postoji na svim Android uređajima za određivanje mjesečne razine sigurnosne zakrpe za Android.

Ovo novo svojstvo će nam umjesto toga reći "VENDOR_SECURITY_PATCH" razini uređaja, koja može ali ne mora odgovarati razini sigurnosne zakrpe Android Framework. Na primjer, uređaj može raditi na najnovijim zakrpama okvira iz travnja 2018. zajedno sa zakrpama dobavljača iz veljače 2018. Razlikujući dvije razine sigurnosnih zakrpa, moguće je da Google namjerava dopustiti proizvođačima originalne opreme isporuku najnovije sigurnosne zakrpe za OS Android iako dobavljači nisu dali ažurirane zakrpe za tu mjesečnu zakrpu razini.

Alternativno, Google može prikazati samo minimum dviju razina zakrpa (uz moguće razine zakrpa za pokretanje i kernel) kako bi se točnije pokazalo korisniku na kojoj je sigurnosnoj zakrpi njegov uređaj. Još nemamo potvrdu o namjeri iza ove zakrpe, ali se nadamo da ćemo uskoro saznati više.

U najmanju ruku, ovo će biti od pomoći za nas na Projekt TrebleGeneričke slike sustava (GSI) i drugi prilagođeni ROM-ovi koji se temelje na AOSP-u jer često prilagođeni ROM-ovi pružaju samo ažuriranja okvira bez krpanja svih dobavljača, bootloader i kernel zakrpe koje su navedene u mjesečnom sigurnosnom biltenu, tako da neusklađenost izaziva zabunu među korisnicima jer misle da koriste najnovije zakrpe, au stvarnosti je njihov uređaj samo djelomično zakrpan u odnosu na najnoviju mjesečnu sigurnost bilten.