Android 오픈 소스 프로젝트에서 발견한 최근 커밋에 따르면 Google은 공급업체 보안 패치 수준과 Android 프레임워크 보안 패치를 구별하기 위해 수준. 이를 통해 OEM은 하드웨어 공급업체가 수정 사항을 제공할 때까지 기다리는 동안 Android를 계속 업데이트할 수 있습니다.
초기 역사에서 오랜 기간 동안 Android는 Apple의 애플리케이션에 대한 "벽으로 둘러싸인 정원" 접근 방식으로 인해 iOS보다 보안이 덜하다는 평판을 얻었습니다. 과거의 평판이 정당한지 여부는 우리가 깊이 알아볼 내용이 아니지만 Google이 취약점으로부터 Android를 보호하는 데 큰 진전을 이루었다는 것은 분명합니다. 최신 버전의 안드로이드에서 새로운 보안 기능을 제공할 뿐만 아니라, 안드로이드 P을 제공하고 있지만 '엔터프라이즈급 보안" Google Pixel 2/2 XL의 하드웨어 보안 모듈 덕분에 최신 기기에서 사용할 수 있습니다. 기기를 안전하게 유지하려면 최신 위협을 모두 패치하기 위한 지속적인 업데이트도 필요합니다. 이것이 바로 Google이 월간 보안 게시판 모든 장치 제조업체와 공급업체는 알려진 모든 활성 및 잠재적 취약점에 대한 패치를 통합해야 합니다. 이제 회사는 다음 방법을 제공하여 Android 보안 패치 시스템을 변경할 수 있는 것으로 보입니다. Android 프레임워크 패치 수준과 공급업체 패치 수준을 구분합니다. 부트로더, 커널 등과 함께 OEM이 순수 프레임워크 업데이트를 제공할 수 있도록 보안 패치 수준을 분할하거나 사용자가 실행 중인 패치 수준을 더 잘 식별할 수 있습니다.
월간 Android 보안 패치 - 입문서
우리 모두는 보안 패치가 중요하다는 것을 알고 있습니다. 특히 작년 하반기에 일련의 주목할만한 취약점이 공개된 이후에는 더욱 그렇습니다. 그만큼 블루본 취약점 Bluetooth 프로토콜을 공격하여 패치되었습니다. 2017년 9월 월간 패치, 크랙 Wi-Fi WPA2의 약점을 표적으로 삼아 패치되었습니다. 2017년 12월, Spectre/Meltdown 취약점은 대부분 다음과 같이 수정되었습니다.
2018년 1월 패치. 이와 같은 취약점을 패치하려면 일반적으로 하드웨어 공급업체(예: Broadcom)와의 협력이 필요합니다. 및 Qualcomm) 취약점은 Wi-Fi나 Bluetooth 칩과 같은 하드웨어 구성 요소 또는 CPU. 반면, 안드로이드 운영체제에는 다음과 같은 문제가 있습니다. 토스트 메시지 오버레이 공격 이 문제를 해결하려면 Android 프레임워크만 업데이트하면 됩니다.Google이 월간 보안 패치를 출시할 때마다 기기 제조업체는 모든 취약점을 수정해야 합니다. 기기가 해당 월별 패치까지 안전하다고 말하고 싶은 경우 해당 월의 보안 게시판에 설명되어 있습니다. 수준. 매달 장치가 충족할 수 있는 두 가지 보안 패치 수준이 있습니다. 즉, 매월 1일 또는 5일의 패치 수준입니다. 기기에 매월 1일부터 패치 수준이 실행되고 있다고 표시되는 경우(예: 4월 5일이 아닌 4월 1일) 이는 빌드에 지난달 릴리스의 모든 프레임워크 및 공급업체 패치와 최신 보안 게시판의 모든 프레임워크 패치가 포함되어 있음을 의미합니다. 반면, 기기에서 해당 월 5일(4월 5일)부터 패치 수준을 실행 중이라고 표시되는 경우 예), 이는 지난 달과 이번 달의 모든 프레임워크 및 공급업체 패치가 포함되어 있음을 의미합니다. 회보. 다음은 월별 패치 수준 간의 기본적인 차이점을 보여주는 표입니다.
월별 보안 패치 수준 |
4월 1일 |
4월 5일 |
|---|---|---|
4월 프레임워크 패치 포함 |
예 |
예 |
4월 공급업체 패치 포함 |
아니요 |
예 |
March Framework 패치가 포함되어 있습니다. |
예 |
예 |
3월 공급업체 패치가 포함되어 있습니다 |
예 |
예 |
아마도 Android 생태계의 보안 패치 상황이 얼마나 암울한지 잘 알고 계실 것입니다. 아래 차트는 Google과 Essential이 가장 빠른 월별 보안 패치 업데이트를 제공하는 반면 다른 회사들은 뒤처져 있음을 보여줍니다. OEM이 장치에 최신 패치를 적용하는 데 몇 달이 걸릴 수 있습니다. OnePlus 5 및 OnePlus 5T 최근에 받았습니다 4월 보안 패치 이전에 12월 패치였을 때였습니다.
2018년 2월 기준 Android 보안 패치 상태입니다. 원천: @SecX13
Android 보안 패치 업데이트 제공 시 문제가 반드시 OEM이 게으른 것은 아니며 때로는 통제할 수 없을 수도 있습니다. 앞서 언급했듯이 월별 보안 패치 업데이트에는 하드웨어의 협력이 필요한 경우가 많습니다. 공급업체가 월간 보안 패치를 따라잡지 못하는 경우 지연이 발생할 수 있습니다. 게시판. 이 문제를 해결하기 위해 Google은 Android 프레임워크 보안 패치 수준을 공급업체 패치 수준에서 분리하기 시작할 것으로 보입니다. (그리고 부트로더 및 커널 수준도 가능) 향후 OEM이 순전히 Android 프레임워크 보안을 제공할 수 있을 것입니다. 업데이트.
프레임워크 취약점에 대한 Android 보안 패치 업데이트가 더 빨라지나요?
새로운 저지르다 Android 오픈 소스 프로젝트(AOSP) gerrit에 "공급업체 보안 패치"를 암시하는 것으로 나타났습니다. prop"은 기기의 새 빌드가 생성될 때마다 Android.mk 파일에 정의됩니다. 만들어진. 이 속성은 "ro.vendor.build.security_patch"는 "와 유사합니다.ro.build.version.security_patch"는 월간 Android 보안 패치 수준을 지정하기 위해 현재 모든 Android 기기에 존재합니다.
대신 이 새로운 속성은 "VENDOR_SECURITY_PATCH' 수준은 Android 프레임워크 보안 패치 수준과 일치할 수도 있고 일치하지 않을 수도 있습니다. 예를 들어 장치는 2018년 2월 공급업체 패치와 함께 최신 2018년 4월 프레임워크 패치에서 실행될 수 있습니다. 두 가지 보안 패치 수준을 구별함으로써 Google은 OEM이 공급업체가 해당 월별 패치에 대한 업데이트 패치를 제공하지 않았음에도 불구하고 최신 Android OS 보안 패치 수준.
대안으로, Google 최소값만 표시될 수도 있습니다. 사용자에게 장치에 어떤 보안 패치가 있는지 더 정확하게 표시하기 위해 두 가지 패치 수준(부트로더 및 커널 패치 수준과 함께) 중 하나를 선택합니다. 이번 패치의 의도에 대해서는 아직 확인되지 않았지만, 곧 더 많은 정보가 나올 수 있기를 바랍니다.
적어도 이것은 우리 같은 사람들에게는 도움이 될 것입니다. 프로젝트 트레블일반 시스템 이미지 (GSI) 및 기타 AOSP 기반 맞춤 ROM은 종종 맞춤 ROM과 마찬가지로 모든 공급업체에 패치를 적용하지 않고 프레임워크 업데이트만 제공합니다. 부트로더와 커널 패치는 월간 보안 게시판에 명시되어 있으므로 불일치로 인해 사용자들 사이에 혼란을 야기합니다. 실제로는 장치가 최신 월간 보안에 대해 부분적으로만 패치되어 있는데 최신 패치를 실행하고 있다고 생각합니다. 회보.