Czy zastanawiałeś się kiedyś, jak działają comiesięczne aktualizacje poprawek zabezpieczeń Androida? Nie zastanawiaj się więcej, ponieważ mamy dla Ciebie tylko elementarz, dzięki któremu zrozumiesz cały proces.
Od sierpnia 2015 r. Google publikuje comiesięczne biuletyny dotyczące bezpieczeństwa. Te biuletyny bezpieczeństwa zawierają listę ujawnionych i naprawionych luk w zabezpieczeniach, które wpływają na platformę Android, jądro Linuksa i inne komponenty dostawców o zamkniętym kodzie źródłowym. Każda luka w biuletynach została odkryta przez Google lub ujawnione firmie. Każda wymieniona luka ma numer Common Vulnerabilities and Exposures (CVE) wraz z powiązanymi referencje, typ luki, ocena ważności i wersja AOSP, której dotyczy (jeśli odpowiedni). Ale pomimo pozornie uproszczonego procesu działania poprawek zabezpieczeń Androida, w rzeczywistości jest w tym trochę skomplikowane przejścia tam i z powrotem za kulisami, które pozwalają Twojemu telefonowi pobierać co miesiąc lub (miejmy nadzieję) prawie co miesiąc łaty.
Co właściwie stanowi łatkę bezpieczeństwa?
Być może zauważyłeś, że tak naprawdę jest ich co miesiąc dwa poziomy poprawek zabezpieczeń. Format tych poprawek to RRRR-MM-01 lub RRRR-MM-05. Podczas gdy RRRR i MM oczywiście oznaczają odpowiednio rok i miesiąc, „01” i „05” w rzeczywistości myląco nie oznaczają dnia miesiąca, w którym wydano dany poziom poprawki zabezpieczeń. Zamiast tego 01 i 05 to w rzeczywistości dwa różne poziomy poprawek bezpieczeństwa wydawane tego samego dnia każdego miesiąca — poziom łatki z liczbą 01 na końcu zawiera poprawki do środowiska Androida, ale nie łatki dostawców lub łatki jądra Linuksa. Jak zdefiniowaliśmy powyżej, poprawki dostawców odnoszą się do poprawek komponentów o zamkniętym kodzie źródłowym, takich jak sterowniki Wi-Fi i Bluetooth. Poziom poprawek bezpieczeństwa oznaczony przez -05 zawiera te poprawki dostawców, a także poprawki w jądrze Linuksa. Spójrz na poniższą tabelę, która może pomóc w zrozumieniu.
Miesięczny poziom poprawek zabezpieczeń |
2019-04-01 |
2019-04-05 |
|---|---|---|
Zawiera kwietniowe poprawki Framework |
Tak |
Tak |
Zawiera kwietniowego dostawcę + poprawki jądra |
NIE |
Tak |
Zawiera marcowe poprawki Framework |
Tak |
Tak |
Zawiera marcowego dostawcę + poprawki jądra |
Tak |
Tak |
Oczywiście niektórzy producenci OEM mogą zdecydować się na dodanie własnych poprawek i aktualizacji do aktualizacji zabezpieczeń. Większość producentów OEM ma własne zdanie na temat Androida, więc logiczne jest, że możesz mieć na przykład lukę w telefonie Samsung, która nie istnieje w Huawei. Wielu z tych producentów OEM publikuje także własne biuletyny dotyczące bezpieczeństwa.
- Google Pixel
- Huaweia
- LG
- Motoroli
- HMD Global
- SAMSUNG
Harmonogram wprowadzenia poprawki zabezpieczeń od Google do Twojego telefonu
Harmonogram poprawek zabezpieczeń obejmuje mniej więcej około 30 dni, chociaż nie każdy producent OEM może wykorzystać cały ten harmonogram. Przyjrzyjmy się Łatka bezpieczeństwa z maja 2019 r na przykład i możemy rozłożyć całą oś czasu stojącą za stworzeniem tej łatki. Firmy takie jak Niezbędny udało się pobrać aktualizacje zabezpieczeń tego samego dnia jak Google Pixel, więc jak oni to robią? Krótka i prosta odpowiedź jest taka, że są to Partner Androida. Biuletyn bezpieczeństwa z maja 2019 r ukazał się 6 maja, a zarówno Google Pixels, jak i Essential Phone otrzymają aktualizacje niemal natychmiast.
Co to znaczy być partnerem Androida
Nie każda firma może być partnerem Androida, chociaż w zasadzie każdy większy producent OEM Androida nim jest. Partnerzy Androida to firmy, które uzyskały licencję na używanie marki Android w materiałach marketingowych. Mogą także dostarczać usługi mobilne Google (GMS – odnosi się do prawie wszystkich usług Google), o ile spełniają wymagania określone w Compatibility Definition Document (CDD) i przejść pakiet testów zgodności (CTS), zestaw testów dostawcy (VTS), zestaw testów Google (GTS) i kilka innych testów. Istnieją wyraźne różnice w procesie stosowania poprawek zabezpieczeń w przypadku firm, które nie są partnerem Androida.
- Poprawki frameworku Android są dla nich dostępne po włączeniu do AOSP na 1-2 dni przed publikacją biuletynu bezpieczeństwa.
- Upstreamowe poprawki jądra Linuksa można wybierać, gdy tylko będą dostępne.
- Poprawki od dostawców SoC dla komponentów o zamkniętym kodzie źródłowym są dostępne w zależności od umów z dostawcą SoC. Należy pamiętać, że jeśli sprzedawca zapewnił OEM dostęp do kodu źródłowego komponentów o zamkniętym kodzie źródłowym, wówczas OEM może sam rozwiązać problem. Jeśli producent OEM nie ma dostępu do kodu źródłowego, musi poczekać, aż dostawca wyda poprawkę.
Jeśli jesteś partnerem Androida, od razu masz to o wiele łatwiejsze. Partnerzy Androida są powiadamiani o wszystkich problemach związanych ze strukturą Androida i jądrem Linuksa co najmniej 30 dni przed upublicznieniem biuletynu. Google udostępnia poprawki dla wszystkich problemów, które producenci OEM mogą scalić i przetestować, chociaż poprawki komponentów dostawcy zależą od dostawcy. Na przykład poprawki dotyczące problemów ze strukturą Androida ujawnione w biuletynie bezpieczeństwa z maja 2019 r. zostały udostępnione partnerom Androida co najmniej już 20 marca 2019 r.*. To jest działka dodatkowego czasu.
*Uwaga: Google może i często to robi, aktualizować poprawki do najnowszego biuletynu bezpieczeństwa aż do publicznego udostępnienia. Te aktualizacje mogą mieć miejsce, jeśli zostaną znalezione nowe luki i błędy, jeśli Google zdecyduje się usunąć określone poprawki z comiesięcznego biuletynu z powodu uszkodzenia kluczowych komponentów, jeśli Google zaktualizuje łatkę w celu usunięcia błędu powstałego w poprzedniej wersji łatki i inne powodów.
Dlaczego muszę tak długo czekać, aby otrzymać poprawkę zabezpieczeń na moim telefonie?
Chociaż prawdą jest, że partnerzy Androida (czytaj: wszyscy główni producenci OEM) otrzymali poprawki zabezpieczeń na długo przed swoimi wielu użytkowników ma bolesną świadomość, że prawdopodobnie nie otrzymają aktualizacji zabezpieczeń przez kilka miesięcy po jej wydaniu uwolnienie. Zwykle wynika to z jednego z czterech powodów.
- Producenci OEM mogą być zmuszeni do wprowadzenia poważnych zmian technicznych, aby uwzględnić poprawkę zabezpieczeń, ponieważ może ona kolidować z istniejącym kodem.
- Dostawca powoli udostępnia kod źródłowy aktualizacji dla komponentów o zamkniętym kodzie źródłowym.
- Certyfikacja przewoźnika może zająć trochę czasu.
- Firmy mogą nie chcieć wypuszczać aktualizacji zabezpieczeń, nie udostępniając jednocześnie żadnej funkcji.
Chociaż wszystkie te powody stanowią uzasadnione powody, dla których firma nie powinna publikować łatki bezpieczeństwa, użytkownik końcowy nie zawsze przejmuje się którymkolwiek z nich. Trzeba przyznać, że użytkownik końcowy również nie zawsze przejmuje się poprawkami bezpieczeństwa, choć powinien. Inicjatywy takie jak Project Treble, rozszerzony Linux LTS, I Główna linia projektu pomagają eliminować trudności techniczne związane z łączeniem tych poprawek bezpieczeństwa, ale to nie wystarczy, aby producenci OEM konsekwentnie starali się wypuszczać aktualizacje. Dzięki ogólnemu obrazowi jądra, czyli GKI, dostawcy SoC i producenci OEM będą mieli łatwiejszy czas na łączenie wcześniejszych poprawek jądra Linuksa, choć prawdopodobnie pierwsze urządzenia z GKI zobaczymy dopiero w przyszłym roku.
Ale interesującą informacją, o której większość nie wie, jest to, że główni producenci OEM musieć zapewnić „co najmniej cztery aktualizacje zabezpieczeń” w ciągu roku od premiery urządzenia i łącznie 2 lata aktualizacji. Firma Google nie potwierdziła tych konkretnych warunków, ale potwierdziła, że „pracowała nad włączeniem poprawek zabezpieczeń do [swoich] umów OEM”. Jeśli chodzi o urządzenia z systemem Android Enterprise Rekomendowane (AER), urządzenia muszą otrzymywać aktualizacje zabezpieczeń w ciągu 90 dni od wydania przez 3 lata. Wymagane są wytrzymałe urządzenia AER 5 lat aktualizacji zabezpieczeń. Urządzenia z Androidem One mają otrzymywać aktualizacje zabezpieczeń co miesiąc przez 3 lata.
Co zawiera poprawka zabezpieczeń?
Łatka bezpieczeństwa to po prostu kolejna aktualizacja, choć generalnie o wiele mniejsza i zawiera zmiany w poszczególnych frameworkach i modułach systemu, a nie ulepszenia lub zmiany w całym systemie. Co miesiąc Google udostępnia producentom OEM urządzeń plik ZIP zawierający poprawki do wszystkich głównych, obecnie obsługiwanych wersji Androida, a także zestaw testów bezpieczeństwa. Ten zestaw testów pomaga producentom OEM wykryć luki w poprawkach zabezpieczeń, aby mieć pewność, że niczego im nie brakuje i że poprawki zostały odpowiednio połączone. W miarę upływu miesiąca Google może wprowadzać drobne zmiany, na przykład zdecydować, że jedna konkretna poprawka jest opcjonalna, szczególnie w przypadku problemów z jej wdrożeniem.
A co z niestandardowymi ROMami?
Jeśli Twój smartfon nie otrzymuje wielu aktualizacji zabezpieczeń, nie musi to koniecznie oznaczać, że lepiej będzie przejść na niestandardową pamięć ROM. Chociaż prawdą jest, że otrzymasz aktualizacje zabezpieczeń, których w innym przypadku byś nie otrzymał, to tylko połowa historii. Odblokowanie programu ładującego naraża Cię na fizyczne ataki na Twoje urządzenie, nawet jeśli po stronie oprogramowania zabezpieczenia są zwiększone. Nie oznacza to, że nie powinieneś używać niestandardowych ROM-ów, po prostu istnieją inne obawy dotyczące ich używania, które nie mają zastosowania, jeśli program ładujący jest zablokowany. Jeśli bardziej martwisz się o stronę oprogramowania, nadal lepiej będzie, jeśli zdecydujesz się na niestandardową pamięć ROM, która będzie otrzymywać częste poprawki zabezpieczeń.
Ale pamiętasz, że rozmawialiśmy o różnicy między poprawkami YYYY-MM-01 i YYYY-MM-05? Poziom poprawki -05 zawiera poprawki jądra Linuksa, a także poprawki dostawców - poprawki zastosowane do oprogramowania o zamkniętym kodzie źródłowym. Oznacza to, że programiści niestandardowych pamięci ROM są zdani na łaskę dowolnego producenta OEM, dla którego tworzą, i tego, czy OEM wypuści zaktualizowane obiekty BLOB, czy nie. Jest to w porządku w przypadku urządzeń, które są nadal aktualizowane przez producenta, ale w przypadku urządzeń, które tego nie robią, zastosowane poprawki można zastosować tylko do środowiska Androida i jądra Linuksa. Właśnie dlatego LineageOS Interfejs zaufania pokazuje dwa poziomy poprawek zabezpieczeń – jeden dotyczy platformy, a drugi dostawcy. Mimo że niestandardowe ROMy dla nieobsługiwanych urządzeń nie są w stanie w pełni zintegrować wszystkich najnowszych poprawek, będą bezpieczniejsze niż starsze, przestarzałe ROMy.