Деякі андроїдські вірші виявили, що брешуть про патчі безпеки [оновлення]

Оновлення, 13 квітня. Google надав наступну заяву до Verge:

Ми хотіли б подякувати Карстен Нол та Якоб Келл за їхні постійні зусилля щодо посилення безпеки екосистеми Android. Ми працюємо з ними над вдосконаленням механізмів їх виявлення для обліку ситуацій, коли пристрій використовує альтернативне оновлення безпеки замість запропонованого Google оновлення безпеки. Оновлення безпеки є одним із багатьох шарів, що використовуються для захисту пристроїв та користувачів Android. Вбудовані засоби захисту платформ, такі як пісочниця програм та служби безпеки, такі як Google Play Protect, так само важливі. Ці рівні безпеки - у поєднанні з величезною різноманітністю екосистеми Android - сприяють висновкам дослідників про те, що віддалене використання пристроїв Android залишається складним завданням.

Пропущені патчі, безумовно, роблять ваш телефон більш вразливим у порівнянні з тими, які є сучасними, але навіть це не означає, що ви абсолютно не захищені. Щомісячні виправлення, безумовно, допомагають, але існують загальні заходи для того, щоб усі телефони Android мали певний рівень підвищеної безпеки.

Раз на місяць Google оновлює Бюлетень щодо безпеки Android та випускає нові щомісячні виправлення, щоб виправити вразливості та помилки, як тільки вони з’являться. Ні для кого не секрет, що багато виробників оригіналу не поспішають оновлювати обладнання за допомогою зазначених патчів, але зараз виявлено, що деякі з них стверджують, що оновили свої телефони, коли насправді нічого взагалі не змінилося.

Це одкровення зробили Карстен Нол та Якоб Лелл із лабораторій досліджень безпеки, а їхні висновки були нещодавно представлені на цьогорічній конференції з безпеки в Харкові в Амстердамі. Ноль і Лелл вивчили програмне забезпечення 1200 телефонів Android від Google, Samsung, OnePlus, ZTE та інших, і, зробивши це, виявили, що деякі з цих компаній змінюють зовнішній вигляд патча безпеки при оновленні своїх телефонів, фактично не встановлюючи їх.

Samsung Galaxy J3 з 2016 року стверджував, що має 12 патчів, які просто не були встановлені на телефоні.

Очікується, що деякі пропущені виправлення будуть зроблені випадково, але Ноль і Лелл натрапили на певні телефони, де речі просто не склалися. Наприклад, хоча Galaxy J5 від 2016 року від Samsung точно перелічив патчі, які він мав, J3 з того ж року, здавалося, мав кожен патч з 2017 року, незважаючи на відсутність 12 з них.

Дослідження також виявило, що тип процесора, який використовується в телефоні, може впливати на те, чи оновлюється він патчем безпеки чи ні. Було виявлено, що на пристроях із чіпами Exynos Samsung є дуже мало пропущених патчів, тоді як у пристроїв MediaTek в середньому 9, 7 пропущених патчів.

Провівши всі телефони під час тестування, Ноль та Лелл створили діаграму, в якій було викладено кількість патчів оригіналів, які пропустили, але все-таки стверджували, що встановлені. Такі компанії, як Sony та Samsung, пропустили лише від 0 до 1, але виявлено, що TCL і ZTE пропускають 4 і більше.

• 0-1 пропущені виправлення (Google, Sony, Samsung, Wiko)
• 1-3 пропущені виправлення (Xiaomi, OnePlus, Nokia)
• 3-4 пропущених виправлення (HTC, Huawei, LG, Motorola)
• 4+ пропущених патчів (TCL, ZTE)

Незабаром після оприлюднення цих висновків Google заявив, що розпочинає розслідування кожного з винних оригіналів виробників, щоб з’ясувати, що саме відбувається і чому користувачів брешуть про те, які патчі вони роблять, а ні - ні.

Навіть з урахуванням сказаного, що ви ставитесь до цього? Ви здивовані новиною, і чи вплине це на телефони, які ви купуєте вперед? Звучить у коментарях нижче.

Чому я все ще використовую BlackBerry KEYone навесні 2018 року