Zgodnie z niedawnym zobowiązaniem, które wykryliśmy w ramach projektu Android Open Source, Google się do tego przygotowuje aby rozróżnić poziom poprawki zabezpieczeń dostawcy od poprawki zabezpieczeń Android Framework poziom. Dzięki temu producenci OEM mogą na bieżąco aktualizować Androida, czekając, aż dostawcy sprzętu dostarczą poprawki.
Przez długi czas w swojej wczesnej historii Android miał reputację mniej bezpiecznego niż iOS ze względu na podejście Apple do aplikacji w postaci „ogrodu otoczonego murem”. Nie będziemy się w to zagłębiać, czy ta dawna reputacja jest zasłużona, ale jasne jest, że Google poczynił ogromne postępy w zabezpieczaniu Androida przed lukami w zabezpieczeniach. Firma nie tylko udostępnia nowe funkcje bezpieczeństwa w najnowszej wersji Androida, Android P, ale zapewniają także „bezpieczeństwo klasy korporacyjnej" w swoich najnowszych urządzeniach dzięki sprzętowemu modułowi bezpieczeństwa w Google Pixel 2/2 XL. Zapewnienie bezpieczeństwa urządzenia wymaga również ciągłych aktualizacji w celu łatania wszystkich najnowszych zagrożeń, dlatego też Google to robi
miesięczne biuletyny bezpieczeństwa aby wszyscy producenci i sprzedawcy urządzeń włączyli poprawki przeciwko wszystkim znanym aktywnym i potencjalnym lukom w zabezpieczeniach. Teraz wydaje się, że firma może wprowadzać zmiany w systemie Android Security Patch, udostępniając sposób rozróżnij poziom poprawki platformy Android od poziomu poprawki dostawcy wraz z bootloaderem, jądrem itp. albo podzielić poziomy poprawek zabezpieczeń, aby producenci OEM mogli dostarczać aktualizacje wyłącznie platformy, albo lepiej określić użytkownikowi, z jakiego poziomu poprawki korzystają.Comiesięczne poprawki zabezpieczeń Androida — wprowadzenie
Wszyscy wiemy, że poprawki zabezpieczeń są ważne, zwłaszcza po tym, jak w drugiej połowie ubiegłego roku upubliczniono szereg głośnych luk w zabezpieczeniach. The Luka BlueBorne zaatakował protokół Bluetooth i został załatany w Comiesięczne łaty z września 2017 r, KRACK celuje w słabość Wi-Fi WPA2 i została załatana Grudzień 2017, a luki w zabezpieczeniach Spectre/Meltdown zostały w większości naprawione za pomocą pliku Poprawki ze stycznia 2018 r. Łatanie takich luk zwykle wymaga współpracy z dostawcą sprzętu (takim jak Broadcom i Qualcomm), ponieważ luka dotyczy komponentu sprzętowego, takiego jak układ Wi-Fi lub Bluetooth lub PROCESOR. Z drugiej strony w systemie operacyjnym Android występują takie problemy Atak nakładki wiadomości toastowej które wymagają jedynie aktualizacji Android Framework, aby je naprawić.
Za każdym razem, gdy Google udostępnia comiesięczną poprawkę zabezpieczeń, producenci urządzeń są zobowiązani do naprawienia WSZYSTKICH luk o których mowa w biuletynie bezpieczeństwa z danego miesiąca, jeśli chcą potwierdzić, że ich urządzenie jest bezpieczne zgodnie z tą comiesięczną łatką poziom. Każdego miesiąca istnieją dwa poziomy poprawek zabezpieczeń, które urządzenie może spełnić: poziom poprawek pierwszego dnia miesiąca lub piątego dnia miesiąca. Jeśli urządzenie twierdzi, że posiada aktualizację z pierwszego dnia miesiąca (np. 1 kwietnia, a nie 5 kwietnia), oznacza to, że kompilacja zawiera wszystkie poprawki platformy ORAZ poprawki dostawców z wydania z ostatniego miesiąca oraz wszystkie poprawki platformy z najnowszego biuletynu bezpieczeństwa. Z drugiej strony, jeśli urządzenie twierdzi, że ma zainstalowaną aktualizację z 5-go dnia miesiąca (5 kwietnia np. przykład), oznacza to, że zawiera wszystkie poprawki platformy i dostawców z poprzedniego i bieżącego miesiąca biuletyn. Oto tabela ilustrująca podstawową różnicę pomiędzy miesięcznymi poziomami poprawek:
Miesięczny poziom poprawek zabezpieczeń |
1 kwietnia |
5 kwietnia |
|---|---|---|
Zawiera kwietniowe poprawki Framework |
Tak |
Tak |
Zawiera naszywki dostawcy z kwietnia |
NIE |
Tak |
Zawiera marcowe poprawki Framework |
Tak |
Tak |
Zawiera marcowe naszywki dostawcy |
Tak |
Tak |
Prawdopodobnie wiesz, jak fatalna jest sytuacja z poprawkami bezpieczeństwa w ekosystemie Androida. Poniższy wykres pokazuje, że Google i Essential zapewniają najszybsze comiesięczne aktualizacje poprawek zabezpieczeń, podczas gdy inne firmy pozostają w tyle. Wprowadzenie najnowszych poprawek do urządzenia przez producenta OEM może zająć miesiące, np OnePlusa 5 i OnePlusa 5T niedawno otrzymał Kwietniowa poprawka bezpieczeństwa kiedy były wcześniej w grudniowej łatce.
Stan poprawki zabezpieczeń systemu Android na luty 2018 r. Źródło: @SecX13
Problem z dostarczaniem aktualizacji poprawek zabezpieczeń systemu Android niekoniecznie wynika z lenistwa producentów OEM, ponieważ czasami może to wymknąć się spod ich kontroli. Jak wspomnieliśmy wcześniej, comiesięczne aktualizacje poprawek bezpieczeństwa często wymagają współpracy sprzętu dostawcy, co może powodować opóźnienia, jeśli dostawca nie jest w stanie nadążać za comiesięcznymi poprawkami zabezpieczeń biuletyny. Aby temu zaradzić, wydaje się, że Google może zacząć oddzielać poziom poprawki zabezpieczeń Android Framework od poziomu poprawki dostawcy (i ewentualnie poziom bootloadera i jądra), aby w przyszłości producenci OEM mogli zapewnić bezpieczeństwo wyłącznie platformy Android aktualizacje.
Szybsze aktualizacje poprawek zabezpieczeń Androida pod kątem luk w zabezpieczeniach?
Nowy popełniać pojawił się w projekcie Android Open Source Project (AOSP), który wskazuje na „łatkę bezpieczeństwa dostawcy prop”, który będzie zdefiniowany w plikach Android.mk za każdym razem, gdy tworzona jest nowa kompilacja urządzenia Utworzony. Obiekt ten będzie nosił nazwę „ro.vendor.build.security_patch" i będzie analogiczne do "ro.build.version.security_patch", który obecnie istnieje na wszystkich urządzeniach z Androidem, aby określić miesięczny poziom poprawki zabezpieczeń Androida.
Zamiast tego ta nowa właściwość poinformuje nas o „VENDOR_SECURITY_PATCH" poziomu urządzenia, który może, ale nie musi, odpowiadać poziomowi poprawki zabezpieczeń Android Framework. Na przykład na urządzeniu mogą być zainstalowane najnowsze poprawki platformy z kwietnia 2018 r. oraz poprawki dostawców z lutego 2018 r. Rozróżniając dwa poziomy poprawek zabezpieczeń, możliwe jest, że Google zamierza pozwolić producentom OEM na dostarczanie najnowsze poprawki zabezpieczeń systemu operacyjnego Android, mimo że dostawcy nie udostępnili zaktualizowanych poprawek dla tej comiesięcznej łatki poziom.
Alternatywnie, Google może po prostu wyświetlić minimum z dwóch poziomów poprawek (wraz z poziomami programu ładującego i poprawek jądra), aby dokładniej pokazać użytkownikowi, jaka poprawka zabezpieczeń jest zainstalowana na jego urządzeniu. Nie mamy jeszcze potwierdzenia co do intencji stojącej za tą łatką, ale mamy nadzieję, że wkrótce dowiemy się więcej.
Przynajmniej będzie to pomocne dla tych z nas Projekt TrebleOgólne obrazy systemu (GSI) i inne niestandardowe ROMy oparte na AOSP, ponieważ często niestandardowe ROMy dostarczają jedynie aktualizacje frameworka bez łatania wszystkich dostawców, bootloader i poprawki do jądra, które są określone w miesięcznym biuletynie bezpieczeństwa, zatem niezgodność powoduje zamieszanie wśród użytkowników myślą, że korzystają z najnowszych poprawek, podczas gdy w rzeczywistości ich urządzenie jest tylko częściowo wyposażone w najnowsze miesięczne zabezpieczenia biuletyn.