Eksklusif: Google berencana untuk melonggarkan pembaruan keamanan untuk Android Enterprise Direkomendasikan

Sedangkan Android merupakan sistem operasi smartphone yang dominan secara keseluruhan menurut data dari IDC, iOS Apple adalah OS pilihan bagi sebagian besar perusahaan. Sangat mudah untuk mengetahui alasannya: Apple memperbarui perangkat iOS-nya secara umum jauh lebih lama dan lebih konsisten dibandingkan kebanyakan pembuat perangkat Android memperbarui ponsel cerdas mereka, iPhone mudah dikonfigurasi dan dikelola, dan SKU yang didukung jauh lebih sedikit jika perusahaan memilih Apel. Namun ada juga alasan bagi perusahaan untuk memilih perangkat Android, termasuk pengurangan biaya dan lebih banyak fleksibilitas dalam perangkat keras. Untuk menjadikan Android lebih menarik di tempat kerja, Google meluncurkan "Android for Work" pada awal tahun 2015 (yang kemudian berganti nama menjadi "Android Enterprise" pada akhir tahun 2016). Kemudian pada awal tahun 2018, Google meluncurkan

Program Android Enterprise Direkomendasikan (AER). untuk mensertifikasi perangkat untuk penggunaan bisnis. Google menyusun serangkaian persyaratan yang harus dipenuhi perangkat untuk menjadi "Direkomendasikan Android Enterprise", termasuk spesifikasi perangkat keras minimum, dukungan untuk penerapan massal, ketersediaan perangkat yang tidak terkunci, konsistensi perilaku aplikasi yang berjalan di profil terkelola, dan pengiriman pembaruan keamanan Android dalam waktu 90 hari sejak rilis selama minimal tiga hari. bertahun-tahun.

Namun, dokumen ditemukan oleh pengembang Android @deletescape yang ditinjau oleh Pengembang XDA mengungkapkan bahwa Google berencana melonggarkan persyaratan pembaruan keamanan untuk perangkat Android Enterprise Rekomendasi. Sebaliknya, Google mendorong vendor untuk lebih transparan tentang cara mereka menangani pembaruan keamanan. Menurut @deletescape, dokumen-dokumen ini dibagikan kepada vendor dalam 15 hari terakhir. Oleh karena itu, meskipun kami tidak dapat menjamin bahwa usulan perubahan pada Android Enterprise Rekomendasi ini akan berhasil ke dalam daftar persyaratan akhir, setidaknya kami dapat mengonfirmasi bahwa Google baru-baru ini mempertimbangkan hal ini perubahan.

Saat ini ada 170 perangkat Android yang berbeda itulah yang Direkomendasikan Android Enterprise. HMD Global, Sony, Motorola, OPPO, dan tentu saja, Google, tawarkan perangkat yang AER. Bahkan OnePlus sedang mempertimbangkan untuk mensertifikasi perangkatnya dalam program ini. Namun, merek ponsel pintar konsumen terkenal bukanlah satu-satunya perusahaan yang menjual perangkat Android Enterprise Rekomendasi. Ponsel cerdas yang tangguh dari perusahaan seperti Zebra, Honeywell, Sonim, dan lainnya termasuk dalam program ini, dan sekarang bahkan operator dapat menjual perangkat AER langsung ke bisnis, asalkan mereka segera menyetujui rilis pemeliharaan keamanan.

Alur penyediaan perangkat di Android 10. Sumber: Jason Bayton

Itu daftar persyaratan yang dibutuhkan untuk masuk ke AER tidak terlalu banyak—lebih banyak lagi perangkat Android yang dapat masuk dalam daftar mengingat persyaratan perangkat keras dasar yang rendah. Bahkan persyaratan perangkat lunak AER tidak memerlukan banyak perubahan dari vendor, sebagaimana diuraikan dalam beberapa dokumen internal Google. Salah satu dokumen menguraikan bagaimana vendor harus mendesain lencana ikon untuk aplikasi di profil kerja, menambahkan tab khusus untuk aplikasi profil kerja di peluncur, memisahkan target berbagi untuk aplikasi di profil pribadi dan kerja, melakukan pramuat aplikasi Google tertentu, dan mengelola data lintas profil komunikasi. Dokumen lain menguraikan persyaratan UX untuk tab peluncur profil kerja, Pengaturan Cepat profil kerja ubin, dialog profil kerja, pesan pendidikan peluncur, peralihan konteks, dan desain sistem lainnya elemen. Persyaratan ini bertujuan untuk mempromosikan standar minimum konsistensi UX perangkat keras dan perangkat lunak yang dapat diterima di antara perangkat Android Enterprise Rekomendasi.

Namun, tampaknya perangkat harus segera mendapatkan pembaruan patch keamanan setiap bulannya Buletin Keamanan Android (ASB) telah terbukti menjadi penghalang yang terlalu tinggi bagi banyak vendor.

Google Mendorong Transparansi Pembaruan untuk Android Enterprise Direkomendasikan

Pengembang Android @deletescape, yang baru-baru ini membagikan bocoran drafnya Dokumen Definisi Kompatibilitas Google untuk Android 11, memperoleh bocoran draf persyaratan Android Enterprise Rekomendasi baru untuk perangkat yang menjalankan Android 11. Di bawah "Keamanan Perangkat", yang telah kami reproduksi di bawah, Google mengusulkan penghapusan sejumlah persyaratan untuk program AER. Berdasarkan aturan baru yang diusulkan ini, perangkat AER tidak lagi dijamin menerima pembaruan patch keamanan dalam waktu 90 hari sejak ASB. Menariknya, salah satu baris dalam grafik menunjukkan bahwa Google sebenarnya memperketat persyaratan ini dari 90 hari menjadi 30 hari dengan perpindahan ke Android 10, namun Google masih belum memperbarui persyaratan tersebut. daftar persyaratan publik untuk mencerminkan perubahan ini. Meskipun demikian, berdasarkan usulan perubahan, persyaratan ini tidak lagi berlaku untuk perangkat Android Enterprise Rekomendasi yang menjalankan Android 11. Selain itu, vendor juga tidak lagi diharuskan memberikan pembaruan keamanan rutin selama 3 tahun untuk perangkat AER. Namun, mereka tetap diwajibkan untuk memberikan pembaruan "Rilis Pemeliharaan Keamanan Darurat" (ESMR), yang mungkin berarti mereka hanya perlu meluncurkan pembaruan yang berisi perbaikan untuk keamanan penting kerentanan.

Android 10 versus Android 11 - Persyaratan Keamanan Perangkat untuk Android Enterprise Direkomendasikan

Kategori	Nomor seri	HARUS / MUNGKIN	Atribut dan Implementasi	Komentar
Q (Android 10)	R (Android 11)
Keamanan Perangkat	1	MUNGKIN	Mengoperasikan Program Hadiah Kerentanan OEM (VRP)	Mengoperasikan Program Hadiah Kerentanan OEM (VRP)
2	MUNGKIN	Dukungan StrongBox	Dukungan StrongBox
3	MUNGKIN	Dukungan Keystore yang didukung perangkat keras	Dukungan Keystore yang didukung perangkat keras
4	MUNGKIN	Dukungan pengesahan ID perangkat	Dukungan pengesahan ID perangkat
5	MUNGKIN	Dukungan pengesahan utama	Dukungan pengesahan utama
6	Pembaruan keamanan 30 hari	Persyaratan dihapus	Diganti dengan persyaratan transparansi Keamanan
7	HARUS	Dukungan 3 tahun untuk Rilis Pemeliharaan Keamanan Darurat (ESMR)	Dukungan 3 tahun untuk Rilis Pemeliharaan Keamanan Darurat (ESMR)	Diganti dengan persyaratan transparansi Keamanan
8	Enkripsi berbasis file - diaktifkan secara default. Menggunakan implementasi AOSP.	Persyaratan dihapus	Ini adalah persyaratan GMS yang diberlakukan untuk semua perangkat
9	Pembaruan keamanan 90 hari	Persyaratan dihapus	Diganti dengan persyaratan transparansi Keamanan
10	Dukungan pembaruan keamanan 3 tahun (mungkin sub ESMR tahun ke-3)	Persyaratan dihapus	Diganti dengan persyaratan transparansi Keamanan
11	Publikasikan tingkat patch keamanan terbaru	Persyaratan dihapus	Diganti dengan persyaratan transparansi Keamanan

Baca selengkapnya

Seperti disebutkan dalam bagan, Google mengusulkan untuk mengganti sebagian besar persyaratan ini dengan persyaratan "transparansi" yang baru. Memang Google sedang mengusulkan penambahan bagian baru bertajuk "Transparansi Pembaruan Keamanan/OS." Persyaratan baru merinci bagaimana vendor akan diminta untuk mempublikasikan informasi seperti tanggal akhir masa pakai rilis pemeliharaan keamanan, patch keamanan terbaru yang tersedia, seberapa sering perangkat akan menerima pembaruan, perbaikan apa yang terdapat dalam setiap pembaruan, pengiriman dan pembaruan perangkat lunak yang direncanakan pada perangkat, dan banyak lagi. Menariknya, Google juga mewajibkan perangkat Android 11 menjalani pengujian sertifikasi oleh Google Aliansi ioXt sebelum mereka bisa menjadi Android Enterprise Direkomendasikan. Aliansi ioXt adalah aliansi perusahaan yang bertujuan meningkatkan keamanan produk IoT. Anggotanya termasuk Amazon, Facebook, Google, NXP, dan banyak lagi. Google mengatakan bahwa memiliki sertifikasi ini akan menambah transparansi, mungkin karena sertifikasi ini akan memberikan perusahaan merupakan metrik independen tentang seberapa aman perangkat tertentu, bukan hanya milik Google jaminan.

Persyaratan Transparansi Pembaruan Keamanan/OS (Baru) untuk Android Enterprise Direkomendasikan

Kategori	Nomor seri	HARUS / MUNGKIN	Atribut dan Implementasi	Komentar
Q (Android 10)	R (Android 11)
Transparansi Pembaruan Keamanan/OS	1	HARUS	HARUS mempublikasikan informasi pembaruan berikut di situs web OEM- Tanggal akhir dukungan SMR (tanggal terakhir perangkat akan menerima SMR)- Terbaru patch keamanan tersedia- Frekuensi pembaruan yang akan diterima perangkat- Perbaikan yang terdapat dalam patch keamanan, termasuk khusus OEM perbaikan	Mengubah persyaratan dari dukungan SMR menjadi transparansi SMR/patch/pembaruan
2	HARUS	HARUS mempublikasikan informasi OS berikut di situs web OEM- OS yang disertakan dengan perangkat- Versi OS utama saat ini- Semua pembaruan versi OS utama yang akan diterima perangkat	Mengubah persyaratan dari dukungan ke transparansi, misalnya: Pixel 3- Versi terkirim - Android 9- Ver Saat Ini - Android 10- Versi utama yang diharapkan - Android 11
3	HARUS	Kirimkan perangkat ke sertifikasi IoXT	Penilaian IoXT menambah transparansi

Baca selengkapnya

Bukan rahasia lagi bahwa vendor mengalami kesulitan dalam meluncurkan pembaruan patch keamanan bulanan. Ada banyak sekali alasan mengapa hal ini terjadi: penundaan sertifikasi operator, menunggu patch dari chipset, dan lainnya vendor, kesulitan dalam menerapkan patch pada kerangka Android yang banyak dimodifikasi dan kernel Linux out-of-tree, dan lagi. Beberapa pengguna Android bahkan telah memperhatikan cara beberapa vendor gagal memenuhi persyaratan AER. Sementara upaya pengembangan dan perjanjian lisensi Google telah dilakukan membantu meningkatkan seberapa cepat pembaruan keamanan diluncurkan untuk banyak perangkat, pembaruan tersebut jelas belum mampu memenuhi persyaratan patch keamanan saat ini untuk program Android Enterprise Rekomendasi. Melonggarkan persyaratan ini demi meningkatkan transparansi akan membantu menjadikan program ini lebih mudah diakses kepada vendor dan juga memberikan kepercayaan lebih kepada perusahaan terhadap perangkat tertentu yang mereka pilih pekerja.

Tentu saja, usulan pelonggaran pembaruan patch keamanan bukan satu-satunya perubahan yang mungkin terjadi pada program Android Enterprise Direkomendasikan untuk Android 11. Google juga berencana untuk meningkatkan persyaratan perangkat keras minimum dari RAM 2 GB menjadi RAM 3 GB, memperketat persyaratan pelatihan, dan menerapkan serangkaian persyaratan baru untuk UX profil kerja. Namun, sebagian besar perubahan ini tidak akan berdampak pada pekerja berpengetahuan. Android di perusahaan telah berkembang pesat sejak awal berdirinya. Jika Anda tertarik mempelajari lebih lanjut tentang sejarahnya, saya sarankan membaca artikel luar biasa ini dari Jason Bayton.