월간 Android 보안 패치 업데이트의 작동 방식

구글은 2015년 8월부터 월간 보안 게시판을 게시하고 있습니다. 이러한 보안 게시판에는 Android 프레임워크, Linux 커널 및 기타 비공개 소스 공급업체 구성 요소에 영향을 미치는 수정된 공개된 보안 취약점 목록이 포함되어 있습니다. 게시판의 모든 취약점은 Google에서 발견했거나 회사에 공개됨. 나열된 모든 취약성에는 관련 취약점과 함께 CVE(Common Vulnerability and Exposures) 번호가 있습니다. 참조, 취약점 유형, 심각도 평가, 영향을 받는 AOSP 버전(해당하는 경우) 해당되는). 그러나 Android 보안 패치의 작동 방식은 겉으로는 단순해 보이지만 실제로는 다소 휴대폰이 매달 또는 (희망적으로) 거의 매달 받을 수 있도록 하는 복잡한 앞뒤 상황 패치.

실제로 보안 패치를 만드는 것은 무엇입니까?

매달 실제로는 둘 보안 패치 수준. 이러한 패치의 형식은 YYYY-MM-01 또는 YYYY-MM-05입니다. YYYY와 MM은 분명히 각각 연도와 월을 나타내지만, 혼란스럽게도 "01"과 "05"는 해당 보안 패치 수준이 릴리스된 달의 날짜를 실제로 의미하지 않습니다. 대신 01과 05는 실제로 매달 같은 날 출시되는 서로 다른 두 가지 보안 패치 수준입니다. 끝에 01이 있는 패치 수준에는 Android 프레임워크에 대한 수정 사항이 포함되어 있지만 ~ 아니다 공급업체 패치 또는 업스트림 Linux 커널 패치. 위에서 정의한 공급업체 패치는 Wi-Fi 및 Bluetooth용 드라이버와 같은 비공개 소스 구성 요소에 대한 수정 사항을 나타냅니다. -05로 표시된 보안 패치 수준에는 이러한 공급업체 패치와 Linux 커널의 패치가 포함되어 있습니다. 아래 표를 보시면 이해에 도움이 될 것입니다.

물론 일부 OEM은 자체 패치와 업데이트를 보안 업데이트에 포함시키기로 선택할 수도 있습니다. 대부분의 OEM은 Android에 대해 자체적인 견해를 가지고 있으므로 예를 들어 Huawei에는 존재하지 않는 삼성 휴대폰에는 취약점이 있을 수 있다는 점만 이해가 됩니다. 이러한 OEM 중 다수는 자체 보안 게시판도 게시합니다.

• 구글 픽셀
• 화웨이
• 엘지
• 모토로라
• HMD 글로벌
• 삼성

Google에서 휴대전화로 보안 패치를 적용하는 타임라인

보안 패치의 일정은 대략 30일 정도이지만 모든 OEM이 해당 일정의 전체 기간을 이용할 수 있는 것은 아닙니다. 다음을 살펴보자. 2019년 5월 보안 패치 예를 들어, 이 패치를 만든 이후의 전체 일정을 분석할 수 있습니다. 같은 회사 필수적인 보안 업데이트를 받아내세요 같은 날에 Google Pixel과 마찬가지로 어떻게 작동하나요? 짧고 간단한 대답은 그들이 안드로이드 파트너. 2019년 5월 보안 공지 5월 6일에 출판되었습니다, Google Pixel과 Essential Phone 모두 거의 즉시 업데이트됩니다.

Android 파트너가 된다는 것은 무엇을 의미하나요?

아무 회사나 Android 파트너가 될 수는 없지만, 기본적으로 모든 주요 Android OEM이 그렇습니다. Android 파트너는 마케팅 자료에 Android 브랜딩을 사용할 수 있는 라이선스를 부여받은 회사입니다. 또한 다음에 설명된 요구 사항을 충족하는 한 Google 모바일 서비스(GMS - 거의 모든 Google 서비스를 의미)를 배송할 수 있습니다. 호환성 정의 문서(CDD)를 작성하고 CTS(호환성 테스트 도구 모음), VTS(공급업체 테스트 도구 모음), GTS(Google 테스트 도구 모음) 및 기타 몇 가지 테스트를 통과합니다. 다음을 수행하는 회사의 보안 패치 프로세스에는 뚜렷한 차이가 있습니다. 그렇지 않다 안드로이드 파트너.

• 보안 게시판이 출시되기 1~2일 전에 AOSP에 병합된 후 Android 프레임워크 패치를 사용할 수 있습니다.
• 업스트림 Linux 커널 패치는 사용 가능해지면 선별적으로 선택할 수 있습니다.
• 비공개 소스 구성 요소에 대한 SoC 공급업체의 수정 사항은 SoC 공급업체와의 계약에 따라 제공됩니다. 공급업체가 OEM에게 비공개 소스 구성 요소의 소스 코드에 대한 액세스 권한을 부여한 경우 OEM이 직접 문제를 해결할 수 있습니다. OEM이 소스 코드에 액세스할 수 없는 경우 공급업체가 수정 사항을 발행할 때까지 기다려야 합니다.

Android 파트너라면 즉시 훨씬 더 쉽게 작업을 수행할 수 있습니다. Android 파트너는 게시판이 공개되기 최소 30일 전에 모든 Android 프레임워크 문제 및 Linux 커널 문제에 대한 알림을 받습니다. Google은 OEM이 병합하고 테스트할 수 있도록 모든 문제에 대한 패치를 제공하지만 공급업체 구성요소 패치는 공급업체에 따라 다릅니다. 예를 들어, 2019년 5월 보안 게시판에 공개된 Android 프레임워크 문제에 대한 패치는 적어도 2019년 3월 20일*에 Android 파트너에게 제공되었습니다. 그건 많은 추가 시간.

*참고: Google은 공개 출시될 때까지 최신 보안 게시판에 대한 패치를 업데이트할 수 있으며 종종 업데이트합니다. 새로운 취약점과 버그가 발견되거나 Google이 월간 게시판에서 특정 패치를 삭제하기로 결정한 경우 이러한 업데이트가 발생할 수 있습니다. 중요한 구성 요소가 손상되었기 때문에 Google이 이전 버전의 패치에서 발생한 버그를 해결하기 위해 패치를 업데이트하는 경우, 원인.

휴대폰에 보안 패치를 받기까지 왜 그렇게 오래 기다려야 합니까?

Android 파트너(읽기: 모든 주요 OEM)가 출시보다 훨씬 앞서 보안 패치를 받은 것은 사실입니다. 많은 사람들은 보안 업데이트가 출시된 후 몇 달 동안 보안 업데이트를 받지 못할 수도 있다는 사실을 뼈저리게 알고 있습니다. 풀어 주다. 이는 일반적으로 네 가지 이유 중 하나로 귀결됩니다.

• OEM은 기존 코드와 충돌할 수 있으므로 보안 패치를 수용하기 위해 대대적인 기술 변경을 수행해야 할 수도 있습니다.
• 공급업체는 비공개 소스 구성 요소에 대한 업데이트 소스 코드를 제공하는 데 시간이 오래 걸립니다.
• 통신사 인증에는 시간이 걸릴 수 있습니다.
• 기업에서는 동시에 기능을 출시하지 않고 보안 업데이트를 출시하기를 꺼릴 수도 있습니다.

이 모든 것이 기업이 보안 패치를 출시하지 않는 타당한 이유이지만 최종 사용자는 항상 이에 대해 신경 쓰지 않습니다. 물론 최종 사용자도 항상 보안 패치에 신경을 쓰는 것은 아닙니다. 물론 그래야 하지만요. Project Treble과 같은 이니셔티브 확장된 리눅스 LTS, 그리고 프로젝트 메인라인 이러한 보안 패치를 병합하는 데 따른 기술적 어려움을 제거하는 데 도움이 되지만 OEM이 지속적으로 업데이트를 내놓으려고 노력하도록 만드는 것만으로는 충분하지 않습니다. 일반 커널 이미지(GKI)를 사용하면 SoC 공급업체와 OEM은 업스트림 Linux 커널 패치를 더 쉽게 병합할 수 있지만 내년까지는 GKI가 탑재된 첫 번째 장치를 볼 수 없을 것 같습니다.

그러나 대부분이 모르는 흥미로운 정보는 주요 OEM이 ~ 해야 하다 장치 출시 후 1년 이내에, 전체 업데이트는 2년 이내에 "4개 이상의 보안 업데이트"를 제공합니다. Google은 이러한 특정 조건을 확인하지 않았지만 회사는 "[그들의] OEM 계약에 보안 패치를 구축하기 위해 노력했다"고 확인했습니다. AER(Android Enterprise 권장) 장치의 경우 장치는 출시 후 90일 이내에 3년 동안 보안 업데이트를 받아야 합니다. 다음을 얻으려면 견고한 AER 장치가 필요합니다. 5 년 보안 업데이트. Android One 기기는 3년 동안 매달 보안 업데이트를 받아야 합니다.

보안 패치에는 무엇이 포함되어 있나요?

보안 패치는 또 다른 업데이트일 뿐이지만 일반적으로 시스템 전체의 개선이나 변경보다는 개별 프레임워크 및 시스템 모듈의 변경으로 훨씬 더 작습니다. 매달 Google은 보안 테스트 모음과 함께 현재 지원되는 모든 주요 Android 버전에 대한 패치가 포함된 zip 파일을 기기 OEM에 제공합니다. 이 테스트 스위트는 OEM이 보안 패치의 격차를 파악하는 데 도움이 됩니다. 그들이 아무것도 놓치지 않도록 하기 위해 패치가 적절하게 병합되었는지 확인합니다. 한 달이 지나면서 Google은 특히 패치 구현에 문제가 있는 경우 하나의 특정 패치를 선택 사항으로 결정하는 등 사소한 수정을 가할 수 있습니다.

맞춤형 ROM은 어떻습니까?

스마트폰에 보안 업데이트가 많이 제공되지 않는다고 해서 반드시 맞춤형 ROM으로 전환하는 것이 더 낫다는 의미는 아닙니다. 다른 방법으로는 얻을 수 없는 보안 업데이트를 받게 된다는 것은 사실이지만 이는 전체 이야기의 절반에 불과합니다. 부트로더를 잠금 해제하면 소프트웨어 측면에서 보안이 강화되더라도 장치에 대한 물리적 공격에 취약해집니다. 이는 사용자 정의 ROM을 사용해서는 안 된다는 의미가 아니라, 부트로더가 잠겨 있는 경우 적용되지 않는 다른 문제가 있다는 것입니다. 소프트웨어 측면이 더 걱정된다면 자주 보안 패치를 받는 맞춤형 ROM을 사용하는 것이 더 좋습니다.

하지만 우리가 YYYY-MM-01 패치와 YYYY-MM-05 패치의 차이점에 대해 이야기했던 것을 기억하시나요? -05 패치 수준에는 Linux 커널 패치와 공급업체 패치(비공개 소스 소프트웨어에 적용되는 패치)가 포함되어 있습니다. 이는 맞춤형 ROM 개발자가 자신이 개발하는 OEM이 무엇이든, OEM이 업데이트된 Blob을 출시하는지 여부에 따라 결정된다는 의미입니다. 이는 제조업체에서 계속 업데이트하는 장치에는 문제가 없지만 그렇지 않은 장치의 경우 적용된 패치는 Android 프레임워크 및 Linux 커널에만 적용될 수 있습니다. 이것이 바로 LineageOS의 신뢰 인터페이스 두 가지 보안 패치 수준이 표시됩니다. 하나는 플랫폼이고 다른 하나는 공급업체입니다. 지원되지 않는 장치에 대한 사용자 정의 ROM이 모든 최신 패치를 완전히 통합할 수는 없지만 오래되고 오래된 ROM보다 더 안전합니다.