Glede na nedavno objavo, ki smo jo odkrili v odprtokodnem projektu Android, se Google pripravlja za razlikovanje med ravnijo varnostnega popravka proizvajalca in varnostnim popravkom Android Framework raven. To proizvajalcem originalne opreme omogoča, da Android posodabljajo, medtem ko čakajo, da prodajalci strojne opreme zagotovijo popravke.
Dolgo časa v svoji zgodnji zgodovini je imel Android sloves, da je manj varen kot iOS zaradi Applovega pristopa k aplikacijam z "obzidanim vrtom". Ali je ta pretekli sloves zaslužen ali ne, se ne bomo poglobili v to, vendar je jasno, da je Google naredil velike korake pri zaščiti Androida pred ranljivostmi. Ne le, da podjetje zagotavlja nove varnostne funkcije v najnovejši različici Androida, Android P, vendar zagotavljajo tudi "varnost na ravni podjetja" v svojih najnovejših napravah zahvaljujoč varnostnemu modulu strojne opreme v telefonu Google Pixel 2/2 XL. Ohranjanje varnosti naprave zahteva tudi nenehne posodobitve za popravke vseh najnovejših groženj, zato ima Google
mesečne varnostne biltene za vse izdelovalce in prodajalce naprav, da vključijo popravke za vse znane aktivne in potencialne ranljivosti. Zdaj se zdi, da podjetje morda spreminja sistem varnostnih popravkov za Android, tako da ponuja način za razlikovati med ravnjo popravka ogrodja Android in ravnjo popravka prodajalca skupaj z zagonskim nalagalnikom, jedrom itd. bodisi razdeliti ravni varnostnih popravkov, tako da lahko proizvajalci originalne opreme zagotovijo čiste posodobitve ogrodja ali pa uporabniku bolje identificirati, katero raven popravka uporabljajo.Mesečni varnostni popravki za Android – uvod
Vsi vemo, da so varnostni popravki pomembni, zlasti po tem, ko je bil v drugi polovici lanskega leta v javnosti objavljen niz odmevnih ranljivosti. The Ranljivost BlueBorne napadel protokol Bluetooth in bil zakrpan v Mesečni popravki za september 2017, KRAK cilja na šibkost v Wi-Fi WPA2 in je bil popravljen december 2017, in ranljivosti Spectre/Meltdown so bile večinoma odpravljene z Obliži za januar 2018. Popravljanje ranljivosti, kot je ta, običajno zahteva sodelovanje s prodajalcem strojne opreme (kot je Broadcom in Qualcomm), ker se ranljivost nanaša na komponento strojne opreme, kot je čip Wi-Fi ali Bluetooth ali procesor. Po drugi strani pa obstajajo težave v operacijskem sistemu Android, kot je ta toast message overlay napad ki zahtevajo le posodobitev ogrodja Android, da jih popravijo.
Vsakič, ko Google uvede mesečni varnostni popravek, morajo proizvajalci naprav odpraviti VSE ranljivosti v varnostnem biltenu za ta mesec, če želijo povedati, da je njihova naprava varna do tega mesečnega popravka raven. Vsak mesec obstajata dve stopnji varnostnega popravka, ki ju naprava lahko izpolni: raven popravka 1. v mesecu ali 5. v mesecu. Če naprava pravi, da izvaja raven popravka od 1. v mesecu (npr. 1. aprila in ne 5. aprila), potem to pomeni, da zgradba vsebuje vse popravke ogrodja IN prodajalca iz izdaje prejšnjega meseca ter vse popravke ogrodja iz najnovejšega varnostnega biltena. Po drugi strani pa, če naprava pravi, da izvaja raven popravka od 5. v mesecu (5. aprila za primer), potem to pomeni, da vsebuje vsa ogrodja in popravke dobavitelja iz prejšnjega in tega meseca bilten. Tukaj je tabela, ki ponazarja osnovno razliko med ravnmi mesečnih popravkov:
Raven mesečnega varnostnega popravka |
1. april |
5. april |
|---|---|---|
Vsebuje aprilske popravke ogrodja |
ja |
ja |
Vsebuje aprilske popravke prodajalca |
št |
ja |
Vsebuje marčevske popravke ogrodja |
ja |
ja |
Vsebuje marčevske popravke dobaviteljev |
ja |
ja |
Verjetno ste seznanjeni s tem, kako žalostna je situacija z varnostnimi popravki v ekosistemu Android. Spodnja tabela prikazuje, da Google in Essential zagotavljata najhitrejše mesečne posodobitve varnostnih popravkov, medtem ko druga podjetja zaostajajo. Lahko traja več mesecev, da proizvajalec originalne opreme na napravo prenese najnovejše popravke, na primer, kako OnePlus 5 in OnePlus 5T pred kratkim prejel Aprilski varnostni popravek ko so bili prej na decembrskem popravku.
Stanje varnostnega popravka za Android od februarja 2018. Vir: @SecX13
Težava pri zagotavljanju posodobitev varnostnih popravkov za Android ni nujno v tem, da so proizvajalci originalne opreme leni, saj je včasih lahko izven njihovega nadzora. Kot smo že omenili, mesečne posodobitve varnostnih popravkov pogosto zahtevajo sodelovanje strojne opreme prodajalca, kar lahko povzroči zamude, če prodajalec ne more slediti mesečnemu varnostnemu popravku bilteni. Za boj proti temu se zdi, da bo Google morda začel ločevati raven varnostnega popravka Android Framework od ravni popravka prodajalca (in morda raven zagonskega nalagalnika in jedra), tako da bodo proizvajalci originalne opreme v prihodnosti morda lahko zagotovili izključno varnost okvira Android posodobitve.
Hitrejše posodobitve varnostnih popravkov za Android za ranljivosti ogrodja?
Nov zavezati se je pojavil v projektu Android Open Source Project (AOSP) gerrit, ki namiguje na "varnostni popravek prodajalca prop", ki bi bil definiran v datotekah Android.mk vsakič, ko se pripravlja nova zgradba za napravo ustvarili. Ta lastnost se bo imenovala "ro.vendor.build.security_patch" in bo analogen "ro.build.version.security_patch«, ki trenutno obstaja v vseh napravah Android za določitev mesečne ravni varnostnega popravka za Android.
Ta nova lastnost nam bo namesto tega povedala "VENDOR_SECURITY_PATCH" naprave, ki se lahko ujema ali ne ujema z ravnjo varnostnega popravka Android Framework. Naprava lahko na primer deluje na najnovejših popravkih ogrodja iz aprila 2018 skupaj s popravki dobavitelja iz februarja 2018. Z razlikovanjem med obema nivojema varnostnih popravkov je možno, da namerava Google proizvajalcem originalne opreme dovoliti pošiljanje najnovejše varnostne popravke OS Android, čeprav prodajalci niso zagotovili posodobljenih popravkov za ta mesečni popravek raven.
Alternativno, Google lahko prikaže samo minimum dveh ravni popravkov (poleg možnosti zagonskega nalagalnika in ravni popravkov jedra), da bi uporabniku natančneje pokazali, na katerem varnostnem popravku je njegova naprava. Nimamo še potrditve namere za tem popravkom, vendar upamo, da bomo kmalu izvedeli več.
Vsaj to bo koristno za tiste med nami Projekt TrebleGenerične sistemske slike (GSI) in drugi ROM-i po meri, ki temeljijo na AOSP, saj ROM-i po meri pogosto zagotavljajo samo posodobitve ogrodja, ne da bi popravili vse prodajalce, zagonski nalagalnik in popravki jedra, ki so določeni v mesečnem varnostnem biltenu, zato neujemanje povzroča zmedo med uporabniki, ko mislijo, da uporabljajo najnovejše popravke, čeprav je v resnici njihova naprava le delno popravljena glede na najnovejšo mesečno varnost bilten.