Cara Kerja Pembaruan Patch Keamanan Android Bulanan

Google telah menerbitkan buletin keamanan bulanan sejak Agustus 2015. Buletin keamanan ini berisi daftar kerentanan keamanan yang diungkapkan dan telah diperbaiki yang memengaruhi kerangka kerja Android, kernel Linux, dan komponen vendor sumber tertutup lainnya. Setiap kerentanan dalam buletin ditemukan oleh Google atau diungkapkan kepada perusahaan. Setiap kerentanan yang terdaftar memiliki nomor Kerentanan dan Eksposur Umum (CVE), beserta nomor terkait referensi, jenis kerentanan, penilaian tingkat keparahan, dan versi AOSP yang terpengaruh (jika berlaku). Namun terlepas dari proses yang tampak sederhana di balik cara kerja patch keamanan Android, sebenarnya ada sesuatu yang kurang bolak-balik yang rumit di belakang layar yang memungkinkan ponsel Anda menjadi bulanan atau (mudah-mudahan) hampir bulanan tambalan.

Apa sebenarnya yang dimaksud dengan patch keamanan?

Anda mungkin telah memperhatikan bahwa setiap bulan sebenarnya ada dua tingkat patch keamanan. Format patch ini adalah YYYY-MM-01 atau YYYY-MM-05. Meskipun YYYY dan MM jelas mewakili tahun dan bulan, namun "01" dan "05" yang membingungkan sebenarnya tidak menandakan hari di bulan saat tingkat patch keamanan tersebut dirilis. Sebaliknya, 01 dan 05 sebenarnya adalah dua tingkat patch keamanan berbeda yang dirilis pada hari yang sama setiap bulan - tingkat patch dengan 01 di akhir berisi perbaikan pada kerangka Android tetapi bukan patch vendor atau patch kernel Linux hulu. Patch vendor, seperti yang kami definisikan di atas, merujuk pada perbaikan pada komponen sumber tertutup seperti driver untuk Wi-Fi dan Bluetooth. Tingkat patch keamanan yang ditandai dengan -05 berisi patch vendor ini serta patch di kernel Linux. Perhatikan tabel di bawah ini yang mungkin dapat membantu pemahaman.

Tentu saja, beberapa OEM mungkin memilih untuk memasukkan patch dan pembaruan mereka sendiri ke dalam pembaruan keamanan juga. Sebagian besar OEM memiliki pandangan mereka sendiri terhadap Android, jadi masuk akal jika Anda memiliki, misalnya, kerentanan pada ponsel Samsung yang tidak ada pada Huawei. Banyak dari OEM ini juga menerbitkan buletin keamanan mereka sendiri.

• Google Piksel
• Huawei
• LG
• Motorola
• HMD Global
• Samsung

Garis waktu patch keamanan dari Google ke ponsel Anda

Patch keamanan memiliki jangka waktu sekitar 30 hari, meskipun tidak semua OEM dapat memanfaatkan seluruh jangka waktu tersebut. Mari kita lihat Patch keamanan Mei 2019 misalnya, dan kami dapat menguraikan keseluruhan timeline di balik pembuatan patch ini. Perusahaan seperti Penting berhasil mengeluarkan pembaruan keamanan mereka di hari yang sama seperti Google Pixel, jadi bagaimana cara mereka melakukannya? Jawaban singkat dan sederhananya adalah mereka adalah Mitra Android. Buletin keamanan Mei 2019 diterbitkan pada tanggal 6 Mei, dengan Google Pixel dan Telepon Esensial mendapatkan pembaruan yang hampir seketika.

Apa artinya menjadi Mitra Android

Tidak sembarang perusahaan bisa menjadi Mitra Android, meskipun pada dasarnya semua OEM Android besar bisa menjadi Mitra tersebut. Mitra Android adalah perusahaan yang diberikan lisensi untuk menggunakan merek Android dalam materi pemasaran. Mereka juga diperbolehkan mengirimkan Layanan Seluler Google (GMS - mengacu pada hampir semua layanan Google) selama memenuhi persyaratan yang diuraikan dalam Compatibility Definition Document (CDD) dan lulus Compatibility Test Suite (CTS), Vendor Test Suite (VTS), Google Test Suite (GTS), dan beberapa tes lainnya. Terdapat perbedaan mencolok dalam proses patch keamanan untuk perusahaan yang melakukan hal tersebut tidak Mitra Android.

• Patch kerangka kerja Android tersedia bagi mereka setelah digabungkan ke dalam AOSP 1-2 hari sebelum buletin keamanan dirilis.
• Patch kernel Linux upstream dapat dipilih setelah tersedia.
• Perbaikan dari vendor SoC untuk komponen sumber tertutup tersedia bergantung pada perjanjian dengan vendor SoC. Perhatikan bahwa jika vendor telah memberikan OEM akses ke kode sumber komponen sumber tertutup, maka OEM dapat memperbaiki masalahnya sendiri. Jika OEM tidak memiliki akses ke kode sumber, maka mereka harus menunggu vendor mengeluarkan perbaikan.

Jika Anda adalah Mitra Android, Anda akan langsung mendapatkan segalanya dengan lebih mudah. Mitra Android diberitahu tentang semua masalah kerangka kerja Android dan masalah kernel Linux setidaknya 30 hari sebelum buletin dipublikasikan. Google menyediakan patch untuk semua masalah agar OEM dapat menggabungkan dan mengujinya, meskipun patch komponen vendor bergantung pada vendornya. Patch untuk masalah kerangka kerja Android yang diungkapkan dalam buletin keamanan bulan Mei 2019, misalnya, telah diberikan kepada mitra Android setidaknya sejak tanggal 20 Maret 2019*. Itu sebuah banyak waktu tambahan.

*Catatan: Google dapat, dan sering kali memang demikian, memperbarui patch untuk buletin keamanan terbaru hingga rilis publik. Pembaruan ini dapat terjadi jika ditemukan kerentanan dan bug baru, jika Google memutuskan untuk menghapus patch tertentu dari buletin bulanan karena merusak komponen penting, jika Google memperbarui patch untuk mengatasi bug yang dibuat oleh versi patch sebelumnya, dan lainnya alasan.

Mengapa saya harus menunggu begitu lama untuk menerima patch keamanan di ponsel saya?

Meskipun benar bahwa Mitra Android (baca: semua OEM besar) menerima patch keamanan jauh sebelum mereka dirilis, banyak yang sangat menyadari bahwa mereka mungkin tidak akan menerima pembaruan keamanan selama berbulan-bulan setelahnya melepaskan. Hal ini umumnya disebabkan oleh salah satu dari empat alasan.

• OEM mungkin perlu melakukan perubahan teknis besar-besaran untuk mengakomodasi patch keamanan, karena mungkin bertentangan dengan kode yang ada.
• Vendor lambat dalam menyediakan kode sumber pembaruan untuk komponen sumber tertutup.
• Sertifikasi operator mungkin memerlukan waktu.
• Perusahaan mungkin tidak bersedia merilis pembaruan keamanan tanpa merilis fitur pada saat yang bersamaan.

Meskipun semua ini adalah alasan yang sah bagi bisnis untuk tidak merilis patch keamanan, pengguna akhir tidak selalu peduli dengan hal tersebut. Memang benar, pengguna akhir juga tidak selalu peduli dengan patch keamanan, meskipun mereka seharusnya peduli. Inisiatif seperti Project Treble, Linux LTS yang diperluas, Dan Jalur Utama Proyek membantu menghilangkan kesulitan teknis dalam menggabungkan patch keamanan ini, namun hal ini tidak cukup untuk membuat OEM secara konsisten berupaya mengeluarkan pembaruan. Dengan Generic Kernel Image, atau GKI, vendor SoC dan OEM akan lebih mudah menggabungkan patch kernel Linux upstream, meskipun kemungkinan besar kita tidak akan melihat perangkat pertama dengan GKI hingga tahun depan.

Namun informasi menarik yang sebagian besar tidak diketahui adalah OEM besar itu harus menyediakan "setidaknya empat pembaruan keamanan" dalam waktu satu tahun setelah peluncuran perangkat, dan 2 tahun pembaruan secara keseluruhan. Google belum mengonfirmasi persyaratan spesifik ini, namun perusahaan mengonfirmasi bahwa mereka "bekerja untuk membangun patch keamanan ke dalam perjanjian OEM [mereka]". Sedangkan untuk perangkat Android Enterprise Recomended (AER), perangkat wajib mendapatkan update keamanan dalam waktu 90 hari sejak dirilis selama 3 tahun. Perangkat AER yang kokoh diperlukan untuk mendapatkannya 5 tahun pembaruan keamanan. Perangkat Android One seharusnya mendapatkan pembaruan keamanan setiap bulan selama 3 tahun.

Apa yang ada di patch keamanan?

Patch keamanan hanyalah pembaruan lain, meskipun umumnya jauh lebih kecil dengan perubahan pada kerangka kerja individu dan modul sistem daripada perbaikan atau perubahan seluruh sistem. Setiap bulan, Google menyediakan file zip kepada OEM perangkat yang berisi patch untuk semua versi Android utama yang saat ini masih didukung, bersama dengan rangkaian pengujian keamanan. Rangkaian pengujian ini membantu OEM menemukan celah dalam patch keamanan, untuk memastikan bahwa mereka tidak melewatkan apa pun dan tambalan-tambalan itu telah digabungkan dengan tepat. Seiring berjalannya waktu, Google mungkin akan melakukan revisi kecil seperti memutuskan bahwa satu patch tertentu bersifat opsional, khususnya jika ada masalah saat menerapkannya.

Bagaimana dengan ROM khusus?

Jika ponsel cerdas Anda tidak mendapatkan banyak pembaruan keamanan, bukan berarti Anda lebih baik beralih ke ROM khusus. Meskipun benar bahwa Anda akan mendapatkan pembaruan keamanan yang tidak akan Anda dapatkan jika tidak melakukannya, itu hanya setengah dari cerita. Membuka kunci bootloader membuat Anda rentan terhadap serangan fisik pada perangkat Anda, meskipun dari sisi perangkat lunak, keamanannya diperketat. Itu tidak berarti Anda tidak boleh menggunakan ROM khusus, hanya saja ada kekhawatiran lain saat menggunakannya yang tidak berlaku jika bootloader Anda tetap terkunci. Jika Anda lebih khawatir tentang sisi perangkat lunak, lebih baik Anda menggunakan ROM khusus yang sering mendapatkan patch keamanan.

Tapi ingat kita pernah membicarakan perbedaan antara patch YYYY-MM-01 dan YYYY-MM-05? Level patch -05 berisi patch kernel Linux serta patch vendor - patch yang diterapkan pada perangkat lunak sumber tertutup. Ini berarti pengembang ROM khusus bergantung pada OEM apa pun yang mereka kembangkan, dan apakah OEM merilis blob yang diperbarui atau tidak. Hal ini sah-sah saja untuk perangkat yang masih diupdate oleh pabrikan, namun untuk perangkat yang tidak, patch yang diterapkan hanya dapat diterapkan pada framework Android dan kernel Linux. Inilah sebabnya LineageOS' Antarmuka Kepercayaan menunjukkan dua tingkat patch keamanan - satu adalah platform, yang lainnya adalah vendor. Meskipun ROM khusus untuk perangkat yang tidak didukung tidak dapat sepenuhnya mengintegrasikan semua patch terbaru, ROM tersebut akan lebih aman dibandingkan ROM lama dan ketinggalan jaman.