毎月の Android セキュリティ パッチ更新の仕組み

Google は 2015 年 8 月から毎月セキュリティ情報を発行しています。 これらのセキュリティ情報には、Android フレームワーク、Linux カーネル、およびその他のクローズド ソース ベンダー コンポーネントに影響を与える、修正された公開されたセキュリティ脆弱性のリストが含まれています。 速報内のすべての脆弱性は、Google によって発見されたか、 会社に開示された. リストされているすべての脆弱性には、共通脆弱性および暴露 (CVE) 番号と、関連する脆弱性が含まれています。 参照先、脆弱性の種類、重大度評価、および影響を受ける AOSP バージョン (影響を受ける場合) 該当する）。 Android セキュリティ パッチの仕組みの背後にあるプロセスは一見単純そうに見えますが、実際には多少の違いがあります。 舞台裏で複雑なやり取りが行われるため、携帯電話は毎月、または（できれば）ほぼ毎月の通信が可能になります。 パッチ。

実際、セキュリティ パッチは何によって作成されるのでしょうか?

お気づきかもしれませんが、実は毎月、 二 セキュリティパッチレベル。 これらのパッチの形式は、YYYY-MM-01 または YYYY-MM-05 です。 YYYY と MM は明らかにそれぞれ年と月を表しますが、紛らわしいことに、「01」と「05」は実際にはそのセキュリティ パッチ レベルがリリースされた月の日を表しません。 代わりに、01 と 05 は実際には毎月同じ日にリリースされる 2 つの異なるセキュリティ パッチ レベルです。末尾に 01 が付いたパッチ レベルには Android フレームワークへの修正が含まれていますが、 ない ベンダー パッチまたはアップストリーム Linux カーネル パッチ。 上で定義したように、ベンダー パッチは、Wi-Fi や Bluetooth のドライバーなどのクローズド ソース コンポーネントに対する修正を指します。 -05 で示されるセキュリティ パッチ レベルには、これらのベンダー パッチと Linux カーネルのパッチが含まれています。 理解に役立つ以下の表を見てください。

もちろん、一部の OEM は、独自のパッチやアップデートをセキュリティ アップデートに含めることを選択する場合もあります。 ほとんどの OEM は Android に対して独自の見解を持っているため、たとえば、Huawei には存在しない脆弱性が Samsung の携帯電話に存在する可能性があることは当然です。 これらの OEM の多くは、独自のセキュリティ情報も公開しています。

• Googleピクセル
• ファーウェイ
• LG
• モトローラ
• HMD グローバル
• サムスン

Google から携帯電話へのセキュリティ パッチのタイムライン

セキュリティ パッチのタイムラインはおよそ 30 日間ですが、すべての OEM がそのタイムライン全体を利用できるわけではありません。 見てみましょう 2019 年 5 月のセキュリティ パッチ たとえば、このパッチの作成の背後にあるタイムライン全体を分析できます。 のような企業 不可欠 セキュリティアップデートをなんとか入手する 同じ日に Google Pixel と同じように、どうやってそれを実現しているのでしょうか? 短くて簡単な答えは、それらは Android パートナー. 2019 年 5 月のセキュリティ情報 5月6日に出版されました、Google PixelsとEssential Phoneの両方がほぼ即時にアップデートされます。

Android パートナーであることの意味

どの企業でも Android パートナーになれるわけではありませんが、基本的にはすべての主要な Android OEM がなれることは間違いありません。 Android パートナーは、マーケティング資料で Android ブランドを使用するライセンスを付与された企業です。 また、以下に概説されている要件を満たす限り、Google モバイル サービス (GMS - ほぼすべての Google サービスを指します) を出荷することも許可されています。 互換性定義ドキュメント (CDD) を取得し、互換性テスト スイート (CTS)、ベンダー テスト スイート (VTS)、Google テスト スイート (GTS)、およびその他のいくつかのテストに合格します。 企業のセキュリティ パッチ プロセスには明確な違いがあります。 そうではありません Android パートナー。

• Android フレームワークのパッチは、セキュリティ情報がリリースされる 1 ～ 2 日前に AOSP にマージされた後、利用可能になります。
• アップストリーム Linux カーネル パッチは、利用可能になったら厳選して入手できます。
• クローズドソース コンポーネントに対する SoC ベンダーからの修正は、SoC ベンダーとの契約に応じて利用可能です。 ベンダーが OEM にクローズド ソース コンポーネントのソース コードへのアクセスを許可している場合、OEM は問題を自分で修正できることに注意してください。 OEM がソース コードにアクセスできない場合は、ベンダーが修正プログラムを発行するまで待つ必要があります。

Android パートナーであれば、すぐに非常に簡単に利用できるようになります。 Android パートナーには、Android フレームワークに関するすべての問題と Linux カーネルの問題について、セキュリティ情報が公開される少なくとも 30 日前に通知されます。 Google は、OEM が統合してテストできるようにすべての問題に対応するパッチを提供していますが、ベンダー コンポーネントのパッチはベンダーに依存します。 たとえば、2019 年 5 月のセキュリティ情報で明らかにされた Android フレームワークの問題に対するパッチは、少なくとも 2019 年 3 月 20 日* には Android パートナーに提供されました。 それは 多く 延長戦の時間。

*注: Google は、最新のセキュリティ情報のパッチを公開リリースまで更新することができ、頻繁に更新します。 これらの更新は、新しい脆弱性やバグが見つかった場合、Google が月例速報から特定のパッチを削除することを決定した場合に行われる可能性があります。 重要なコンポーネントが破壊されるため、以前のバージョンのパッチによって発生したバグを解決するために Google がパッチを更新した場合など、 理由。

携帯電話にセキュリティ パッチを受信するまでに、なぜこれほど長い時間待つ必要があるのですか?

Android パートナー (つまり、すべての主要な OEM) がセキュリティ パッチをリリースよりかなり前に受け取ったのは事実ですが、 リリース後、数か月はセキュリティ アップデートが提供されない可能性があることを多くの人が痛感しています。 リリース。 これは通常、4 つの理由のいずれかに当てはまります。

• OEM は、既存のコードと競合する可能性があるため、セキュリティ パッチに対応するために大幅な技術的変更を加える必要がある場合があります。
• ベンダーは、クローズド ソース コンポーネントの更新ソース コードの提供が遅いです。
• 通信事業者の認証には時間がかかる場合があります。
• 企業は、機能を同時にリリースせずにセキュリティ アップデートをリリースすることを望まない場合があります。

これらはすべて、企業がセキュリティ パッチをリリースしない正当な理由ですが、エンドユーザーはそれらのどれも常に気にしているわけではありません。 確かに、エンドユーザーはセキュリティ パッチを常に気にしているわけではありませんが、気にする必要があります。 Project Treble などの取り組み、 拡張 Linux LTS、 そして プロジェクトのメインライン は、これらのセキュリティ パッチをマージする際の技術的な問題を解決するのに役立ちますが、OEM がアップデートを提供するよう継続的に努力するにはそれだけでは十分ではありません。 汎用カーネル イメージ (GKI) を使用すると、SoC ベンダーと OEM はアップストリームの Linux カーネル パッチを簡単にマージできるようになりますが、GKI を備えた最初のデバイスが登場するのは来年になる可能性があります。

しかし、ほとんどの人が知らない興味深い情報は、主要な OEM が次のことを行っているということです。 しなければならない デバイスの発売から 1 年以内に「少なくとも 4 つのセキュリティ更新プログラム」を提供し、全体では 2 年間の更新プログラムを提供します。 Googleはこれらの具体的な条件を確認していないが、「OEM契約にセキュリティパッチを組み込むことに取り組んでいる」ことは認めた。 Android Enterprise Recommendation (AER) デバイスに関しては、デバイスは 3 年間、リリースから 90 日以内にセキュリティ アップデートを取得する必要があります。 堅牢な AER デバイスが必要です 5年 セキュリティアップデートの. Android One デバイスは、3 年間毎月セキュリティ アップデートを取得することになっています。

セキュリティ パッチには何が含まれていますか?

セキュリティ パッチは単なるアップデートの 1 つですが、一般的にはシステム全体の改善や変更ではなく、個々のフレームワークやシステム モジュールに対する変更ではるかに小規模です。 Google は毎月、デバイス OEM に、現在サポートされているすべての主要な Android バージョンのパッチとセキュリティ テスト スイートを含む zip ファイルを提供します。 このテスト スイートは、OEM がセキュリティ パッチのギャップを発見するのに役立ちます。 何も見逃さないようにするために パッチが適切にマージされていることを確認します。 月が経つにつれ、Google は、特に実装に問題がある場合に、特定のパッチをオプションとするなどの小規模な修正を行う可能性があります。

カスタムROMについてはどうですか？

スマートフォンにセキュリティ アップデートがあまり提供されない場合でも、必ずしもカスタム ROM に切り替えたほうが良いというわけではありません。 他の方法では入手できないセキュリティ更新プログラムを入手できるのは事実ですが、それは話の半分にすぎません。 ブートローダーのロックを解除すると、ソフトウェア側のセキュリティが強化されている場合でも、デバイスが物理的な攻撃を受けやすくなります。 カスタム ROM を使用するべきではないということではありません。ブートローダーがロックされたままの場合には、カスタム ROM を使用する際には当てはまらない別の懸念事項があるというだけです。 ソフトウェア面の方が心配な場合は、セキュリティ パッチが頻繁に適用されるカスタム ROM を使用する方が良いでしょう。

しかし、YYYY-MM-01 パッチと YYYY-MM-05 パッチの違いについて話したのを覚えていますか? -05 パッチ レベルには、Linux カーネル パッチとベンダー パッチ (クローズド ソース ソフトウェアに適用されるパッチ) が含まれています。 これは、カスタム ROM 開発者が、開発対象の OEM が何であれ、OEM が更新された BLOB をリリースするかどうかに左右されることを意味します。 メーカーによって更新されているデバイスの場合はこれで問題ありませんが、そうでないデバイスの場合、適用されるパッチは Android フレームワークと Linux カーネルにのみ適用できます。 これが LineageOS の理由です トラストインターフェイス 2 つのセキュリティ パッチ レベルを示しています。1 つはプラットフォーム、もう 1 つはベンダーです。 サポートされていないデバイス用のカスタム ROM は、最新のパッチをすべて完全に統合することはできませんが、古い古い ROM よりも安全になります。