לפי התחייבות שגילינו לאחרונה בפרויקט הקוד הפתוח של אנדרואיד, גוגל מתכוננת כדי להבחין בין רמת תיקון האבטחה של הספק לבין תיקון האבטחה של Android Framework רָמָה. זה מאפשר ליצרני OEM לעדכן את אנדרואיד בזמן שהם ממתינים לספקי חומרה שיספקו תיקונים.
במשך תקופה ארוכה בהיסטוריה המוקדמת שלה, לאנדרואיד היה מוניטין של פחות מאובטח מ-iOS בגלל גישת ה"גן המוקף חומה" של אפל ליישומים. האם מוניטין העבר הזה ראוי או לא, זה לא משהו שאנחנו הולכים לצלול אליו, אבל ברור שגוגל עשתה צעדים גדולים באבטחת אנדרואיד מפני נקודות תורפה. לא רק שהחברה מספקת תכונות אבטחה חדשות בגרסה האחרונה של אנדרואיד, אנדרואיד P, אבל הם גם מספקים "אבטחה ברמה ארגוניתבמכשירים האחרונים שלהם הודות למודול אבטחת חומרה ב-Google Pixel 2/2 XL. שמירה על אבטחת המכשיר דורשת גם עדכונים מתמשכים כדי לתקן את כל האיומים האחרונים, וזו הסיבה ש-Google עלוני אבטחה חודשיים לכל יצרניות וספקי המכשירים לשלב תיקונים כנגד כל הפגיעויות הפעילות והפוטנציאליות המוכרות. כעת, נראה שהחברה עשויה לבצע שינויים במערכת אבטחת ה-Android Patch על ידי מתן דרך להבחין בין רמת התיקון של מסגרת אנדרואיד לרמת התיקון של הספק
יחד עם טוען האתחול, הקרנל וכו'. לפצל את רמות תיקון האבטחה כדי שיצרני OEM יוכלו לספק עדכוני מסגרת טהורים או לזהות טוב יותר למשתמש איזו רמת תיקון הם מריצים.תיקוני אבטחה חודשיים לאנדרואיד - פריימר
כולנו יודעים שתיקוני אבטחה חשובים, במיוחד לאחר ששורת נקודות תורפה בעלות פרופיל גבוה פורסמו לציבור במחצית השנייה של השנה שעברה. ה פגיעות BlueBorne תקף את פרוטוקול ה-Bluetooth ותוקן ב- תיקונים חודשיים של ספטמבר 2017, קראק מכוון לחולשה ב-Wi-Fi WPA2 ותוקן דצמבר 2017, ופגיעות ה-Spectre/Meltdown תוקנו בעיקר עם ה- תיקוני ינואר 2018. תיקון פגיעויות כגון אלה דורשות בדרך כלל שיתוף פעולה עם ספק חומרה (כגון Broadcom ו-Qualcomm) מכיוון שהפגיעות נוגעת לרכיב חומרה כגון שבב ה-Wi-Fi או ה-Bluetooth או מעבד. מצד שני, יש בעיות במערכת ההפעלה אנדרואיד כמו זו התקפת שכבת-על של הודעות טוסט שדורשים רק עדכון ל-Android Framework כדי לתקן.
בכל פעם שגוגל משיקה תיקון אבטחה חודשי, יצרני המכשירים נדרשים לתקן את כל הפגיעויות מתואר בעלון האבטחה של אותו חודש אם הם רוצים לומר שהמכשיר שלהם מאובטח עד לאותו תיקון חודשי רָמָה. בכל חודש, ישנן שתי רמות תיקון אבטחה שמכשיר יכול לעמוד בהן: רמת התיקון ב-1 לחודש או ב-5 לחודש. אם מכשיר אומר שהוא פועל ברמת תיקון מהראשון לחודש (למשל. 1 באפריל ולא 5 באפריל), אז זה אומר שה-build מכיל את כל התיקונים של המסגרת והספקים מההוצאה של החודש האחרון בתוספת כל תיקוני המסגרת מעלון האבטחה החדש ביותר. מצד שני, אם מכשיר אומר שהוא פועל ברמת תיקון מה-5 לחודש (5 באפריל, עבור לדוגמה), אז זה אומר שהוא מכיל את כל התיקונים של המסגרת והספקים מהחודש שעבר ומהחודש הזה עָלוֹן. להלן טבלה המדגימה את ההבדל הבסיסי בין רמות התיקון החודשיות:
רמת תיקון אבטחה חודשית |
1 באפריל |
5 באפריל |
|---|---|---|
מכיל תיקוני מסגרת אפריל |
כן |
כן |
מכיל תיקוני ספק אפריל |
לא |
כן |
מכיל תיקוני מסגרת מרץ |
כן |
כן |
מכיל תיקוני ספק מרץ |
כן |
כן |
אתה בוודאי מכיר עד כמה עגום מצב תיקון האבטחה במערכת האקולוגית של אנדרואיד. התרשים שלהלן מראה שגוגל ו-Essential מספקות את עדכוני תיקון האבטחה החודשיים המהירים ביותר בעוד חברות אחרות מפגרות. יכול לקחת חודשים עד ש-OEM יביא את התיקונים העדכניים ביותר למכשיר, כגון איך OnePlus 5 ו-OnePlus 5T לאחרונה קיבל את תיקון אבטחה באפריל כשהם היו בעבר על התיקון של דצמבר.
סטטוס תיקון אבטחה של Android נכון לפברואר 2018. מקור: @SecX13
הבעיה באספקת עדכוני אבטחה של אנדרואיד היא לא בהכרח שיצרני OEM עצלנים, מכיוון שלפעמים זה יכול להיות מחוץ לשליטתם. כפי שהזכרנו קודם לכן, עדכוני תיקון אבטחה חודשיים דורשים לעתים קרובות שיתוף פעולה של חומרה ספק, מה שעלול לגרום לעיכובים אם הספק אינו מסוגל לעמוד בקצב של תיקון האבטחה החודשי עלונים. כדי להילחם בזה, נראה שגוגל עשויה להתחיל להפריד את רמת תיקון האבטחה של Android Framework מרמת תיקון הספק (ואולי רמת האתחול ורמת הליבה) כך שבעתיד יצרני OEM יוכלו לספק אבטחת מסגרת אנדרואיד גרידא עדכונים.
עדכוני תיקון אבטחה מהירים יותר של אנדרואיד עבור פרצות מסגרת?
חדש לְבַצֵעַ הופיע בפרויקט הקוד הפתוח של Android (AOSP) gerrit שמרמז על "תיקון אבטחה של הספק prop" אשר יוגדר בקבצי Android.mk בכל פעם שמתבצע בנייה חדשה עבור מכשיר נוצר. נכס זה ייקרא "ro.vendor.build.security_patch"ויהיה מקביל ל"ro.build.version.security_patch" שקיים כעת בכל מכשירי האנדרואיד כדי לציין את רמת תיקון האבטחה החודשי של אנדרואיד.
הנכס החדש הזה יגיד לנו במקום זאת את "VENDOR_SECURITY_PATCH" רמת המכשיר, אשר עשויה להתאים לרמת תיקון האבטחה של Android Framework או לא. לדוגמה, ייתכן שמכשיר פועל על תיקוני המסגרת האחרונים של אפריל 2018 יחד עם תיקוני הספק של פברואר 2018. על ידי הבחנה בין שתי רמות תיקון האבטחה, ייתכן שגוגל מתכוונת לאפשר ליצרני OEM לשלוח את תיקוני האבטחה האחרונים של מערכת ההפעלה אנדרואיד למרות שהספקים לא סיפקו תיקונים מעודכנים עבור אותו תיקון חודשי רָמָה.
לחלופין, גוגל יכול רק להציג את המינימום משתי רמות התיקון (לצד אולי רמות ה-bootloader ו-kernel patch) על מנת להראות למשתמש בצורה מדויקת יותר באיזה תיקון אבטחה נמצא המכשיר שלו. עדיין אין לנו אישור על הכוונה מאחורי התיקון הזה, אבל אנחנו מקווים לגלות יותר בקרוב.
לכל הפחות, זה יעזור לאלו מאיתנו פרויקט טרבלתמונות מערכת כלליות (GSIs) ו-ROMs מותאמים אישית אחרים מבוססי AOSP, מכיוון שלעתים קרובות ROMs מותאמים אישית מספקים רק עדכוני מסגרת מבלי לתקן את כל הספק, טוען אתחול, ותיקוני ליבה המצוינים בעלון אבטחה חודשי, כך שחוסר ההתאמה גורם לבלבול בקרב המשתמשים כשהם חושבים שהם מריצים את התיקונים העדכניים ביותר כאשר במציאות המכשיר שלהם תוקן רק חלקית כנגד האבטחה החודשית העדכנית ביותר עָלוֹן.