Podľa nedávneho záväzku, ktorý sme objavili v projekte Android Open Source Project, Google pripravuje na rozlíšenie úrovne bezpečnostnej opravy dodávateľa a bezpečnostnej opravy Android Framework úrovni. To umožňuje výrobcom OEM udržiavať Android aktualizovaný, zatiaľ čo čakajú, kým predajcovia hardvéru poskytnú opravy.
Po dlhú dobu vo svojej ranej histórii mal Android povesť toho, že je menej bezpečný ako iOS, kvôli prístupu Apple k aplikáciám „walled garden“. To, či je táto minulá povesť zaslúžená alebo nie, nie je niečo, do čoho sa budeme ponoriť, ale je jasné, že spoločnosť Google urobila veľké pokroky v zabezpečení Androidu proti zraniteľnostiam. Nielenže spoločnosť poskytuje nové bezpečnostné funkcie v najnovšej verzii Androidu, Android Pale poskytujú aj „bezpečnosť na podnikovej úrovni“ vo svojich najnovších zariadeniach vďaka hardvérovému bezpečnostnému modulu v Google Pixel 2/2 XL. Zabezpečenie zariadenia si tiež vyžaduje nepretržité aktualizácie na opravu všetkých najnovších hrozieb, čo je dôvod, prečo má Google
mesačné bezpečnostné bulletiny pre všetkých výrobcov a predajcov zariadení, aby začlenili záplaty proti všetkým známym aktívnym a potenciálnym zraniteľnostiam. Teraz sa zdá, že spoločnosť môže robiť zmeny v systéme Android Security Patch poskytnutím spôsobu rozlišovať medzi úrovňou opravy rámca Android a úrovňou opravy dodávateľa spolu s bootloaderom, jadrom atď. buď rozdeliť úrovne bezpečnostných opráv, aby OEM mohli poskytovať čisté aktualizácie rámca, alebo lepšie identifikovať používateľovi, akú úroveň opráv používajú.Mesačné opravy zabezpečenia systému Android – základný náter
Všetci vieme, že bezpečnostné záplaty sú dôležité, najmä potom, čo bol v druhej polovici minulého roka zverejnený rad významných zraniteľností. The Zraniteľnosť BlueBorne napadol protokol Bluetooth a bol opravený v Mesačné záplaty zo septembra 2017, KRACK sa zameriava na slabinu Wi-Fi WPA2 a bol opravený decembra 2017a zraniteľnosti Spectre/Meltdown boli väčšinou opravené pomocou Náplasti z januára 2018. Opravovanie zraniteľností, ako sú tieto, si zvyčajne vyžaduje spoluprácu s dodávateľom hardvéru (ako je Broadcom a Qualcomm), pretože sa zraniteľnosť týka hardvérového komponentu, ako je čip Wi-Fi alebo Bluetooth alebo CPU. Na druhej strane existujú problémy v operačnom systéme Android, ako je tento útok prekryvnej správy toast ktoré na opravu vyžadujú iba aktualizáciu rámca Android.
Vždy, keď Google vydá mesačnú bezpečnostnú opravu, výrobcovia zariadení musia opraviť VŠETKY chyby zabezpečenia uvedené v mesačnom bezpečnostnom bulletine, ak chcú povedať, že ich zariadenie je zabezpečené až do tejto mesačnej opravy úrovni. Každý mesiac existujú dve úrovne opráv zabezpečenia, ktoré môže zariadenie spĺňať: úroveň opravy k 1. dňu v mesiaci alebo k 5. dňu v mesiaci. Ak zariadenie hovorí, že používa úroveň opravy od prvého dňa v mesiaci (napr. 1. apríla namiesto 5. apríla), potom to znamená, že zostava obsahuje všetky záplaty rámca A dodávateľa z vydania za posledný mesiac plus všetky záplaty rámca z najnovšieho bezpečnostného bulletinu. Na druhej strane, ak zariadenie uvádza, že používa úroveň opravy od 5. dňa v mesiaci (5. apríla, napr. napríklad), potom to znamená, že obsahuje všetky opravy rámca a dodávateľov z minulého a tohto mesiaca bulletin. Tu je tabuľka, ktorá ilustruje základný rozdiel medzi mesačnými úrovňami opráv:
Úroveň mesačnej bezpečnostnej opravy |
1. apríla |
5. apríla |
|---|---|---|
Obsahuje aprílové rámcové opravy |
Áno |
Áno |
Obsahuje aprílové záplaty dodávateľa |
Nie |
Áno |
Obsahuje March Framework Patchs |
Áno |
Áno |
Obsahuje marcové záplaty dodávateľov |
Áno |
Áno |
Pravdepodobne ste oboznámení s tým, aká žalostná je situácia s bezpečnostnými záplatami v ekosystéme Androidu. Tabuľka nižšie ukazuje, že Google a Essential poskytujú najrýchlejšie mesačné aktualizácie bezpečnostných opráv, zatiaľ čo ostatné spoločnosti zaostávajú. Môže trvať mesiace, kým OEM prinesie do zariadenia najnovšie záplaty, ako napr OnePlus 5 a OnePlus 5T nedávno dostal Aprílová bezpečnostná záplata keď boli predtým na decembrovom patchi.
Stav bezpečnostnej opravy systému Android k februáru 2018. Zdroj: @SecX13
Problém s poskytovaním aktualizácií Android Security Patch nie je nevyhnutne v tom, že OEM sú leniví, pretože niekedy to môže byť mimo ich kontroly. Ako sme už spomenuli, mesačné aktualizácie bezpečnostných záplat často vyžadujú spoluprácu hardvéru dodávateľa, čo môže spôsobiť oneskorenie, ak dodávateľ nie je schopný držať krok s mesačnou bezpečnostnou záplatou bulletiny. Zdá sa, že spoločnosť Google môže začať s oddeľovaním úrovne bezpečnostnej opravy rámca Android od úrovne opravy dodávateľa, aby tomu zabránila (a možno aj úroveň zavádzača a jadra), aby v budúcnosti mohli výrobcovia OEM poskytovať čisto rámec zabezpečenia systému Android aktualizácie.
Rýchlejšie aktualizácie bezpečnostných opráv systému Android pre chyby zabezpečenia?
Nový zaviazať sa sa objavil v gerrite projektu Android Open Source Project (AOSP), ktorý naznačuje „záplatu zabezpečenia dodávateľa prop", ktorý by bol definovaný v súboroch Android.mk vždy, keď sa vytvára nová zostava pre zariadenie vytvorené. Táto vlastnosť sa bude volať "ro.vendor.build.security_patch"a bude analogický s"ro.build.version.security_patch", ktorý v súčasnosti existuje na všetkých zariadeniach so systémom Android, aby sa určila mesačná úroveň opravy zabezpečenia systému Android.
Táto nová vlastnosť nám namiesto toho povie „VENDOR_SECURITY_PATCH" úroveň zariadenia, ktorá sa môže alebo nemusí zhodovať s úrovňou bezpečnostnej opravy platformy Android. Zariadenie môže napríklad bežať na najnovších opravách rámca z apríla 2018 spolu s opravami dodávateľov z februára 2018. Rozlišovaním medzi dvoma úrovňami bezpečnostných opráv je možné, že Google má v úmysle dovoliť OEM výrobcom najnovšie bezpečnostné záplaty operačného systému Android, aj keď predajcovia neposkytli aktualizované záplaty pre túto mesačnú záplatu úrovni.
Prípadne, Google môže zobraziť len minimum z dvoch úrovní opráv (možno popri úrovni opráv zavádzača a jadra), aby sa používateľovi presnejšie ukázalo, na akej bezpečnostnej oprave je jeho zariadenie. Zatiaľ nemáme potvrdenie o zámere tejto opravy, ale dúfame, že sa čoskoro dozvieme viac.
Prinajmenšom to bude užitočné pre tých z nás Projekt TrebleVšeobecné systémové obrázky (GSI) a ďalšie vlastné ROM založené na AOSP, pretože vlastné ROM často poskytujú iba aktualizácie rámca bez opravy všetkých dodávateľov, bootloader a opravy jadra, ktoré sú špecifikované v mesačnom bulletine zabezpečenia, takže nesúlad spôsobuje zmätok medzi používateľmi, myslia si, že používajú najnovšie záplaty, aj keď v skutočnosti je ich zariadenie iba čiastočne opravené podľa najnovšieho mesačného zabezpečenia bulletin.