Niektoré Android oems zistili, že klamú o bezpečnostných záplatách [update]

Aktualizácia, 13. apríla: Spoločnosť Google vydala Verge toto vyhlásenie:

Chceli by sme sa poďakovať Karsten Nohl a Jakob Kell za ich neustále úsilie o posilnenie bezpečnosti ekosystému Android. Pracujeme s nimi na zlepšovaní ich detekčných mechanizmov tak, aby sa zohľadnili situácie, keď zariadenie namiesto aktualizácie navrhovanej spoločnosťou Google používa alternatívnu aktualizáciu zabezpečenia. Aktualizácie zabezpečenia sú jednou z mnohých vrstiev, ktoré sa používajú na ochranu zariadení a používateľov systému Android. Vstavané ochrany platforiem, ako sú karantény aplikácií a bezpečnostné služby, ako napríklad Google Play Protect, sú rovnako dôležité. Tieto úrovne bezpečnosti - spolu s obrovskou rozmanitosťou ekosystému Android - prispievajú k záverom vedcov, že vzdialené využívanie zariadení Android zostáva náročné.

Zmeškané opravy určite robia váš telefón zraniteľnejším v porovnaní s tými, ktoré sú aktuálne, ale to ešte neznamená, že ste úplne nechránení. Mesačné opravy určite pomáhajú, ale existujú všeobecné opatrenia, ktoré zabezpečujú, že všetky telefóny s Androidom majú určitú úroveň zvýšenej bezpečnosti.

Raz mesačne aktualizuje spoločnosť Google Bulletin zabezpečenia systému Android a vydáva nové mesačné opravy, aby opravila zraniteľné miesta a chyby hneď, ako sa objavia. Nie je žiadnym tajomstvom, že veľa výrobcov OEM pomaly aktualizuje svoj hardvér pomocou uvedených opráv, ale teraz sa zistilo, že niektorí z nich tvrdia, že aktualizovali svoje telefóny, keď sa v skutočnosti nič nezmení.

Toto odhalenie urobili Karsten Nohl a Jakob Lell z laboratórií bezpečnostného výskumu a ich zistenia boli nedávno predstavené na tohtoročnej konferencii Hack na bezpečnostnej schránke v Amsterdame. Nohl a Lell preskúmali softvér 1200 telefónov s Androidom od spoločností Google, Samsung, OnePlus, ZTE a ďalších a zistili, že niektoré z týchto spoločností menia vzhľad bezpečnostných záplat pri aktualizácii svojich telefónov bez ich skutočnej inštalácie.

Galaxy J3 spoločnosti Samsung od roku 2016 tvrdila, že má 12 opráv, ktoré jednoducho neboli nainštalované do telefónu.

Očakáva sa, že niektoré zmeškané záplaty sa stanú nešťastnými, ale Nohl a Lell narazili na niektoré telefóny, kde sa veci jednoducho nepridali. Napríklad, zatiaľ čo Galaxy J5 spoločnosti Samsung od roku 2016 presne uvádzala náplasti, ktoré mala, J3 z toho istého roku mala od roku 2017 každú náplasť napriek tomu, že ich chýba 12.

Výskum tiež odhalil, že typ procesora použitého v telefóne môže mať vplyv na to, či sa aktualizuje pomocou bezpečnostnej opravy. Zistilo sa, že zariadenia s čipmi Exynos od spoločnosti Samsung majú len málo preskočených opráv, zatiaľ čo zariadenia s médiami MediaTek majú v priemere 9, 7 chýbajúcich opráv.

Po absolvovaní všetkých telefónov pri testovaní Nohl a Lell vytvorili tabuľku, v ktorej je uvedený počet záplat OEM, ktoré stále chýbajú, ale stále sú nainštalované. Spoločnosti ako Sony a Samsung chýbali iba medzi 0 a 1, ale zistilo sa, že TCL a ZTE preskakujú 4 alebo viac.

• 0-1 zmeškané opravy (Google, Sony, Samsung, Wiko)
• 1-3 zmeškané opravy (Xiaomi, OnePlus, Nokia)
• 3-4 zmeškané opravy (HTC, Huawei, LG, Motorola)
• 4+ zmeškané náplasti (TCL, ZTE)

Krátko po oznámení týchto zistení spoločnosť Google uviedla, že začne vyšetrovanie každého z vinníkov OEM, aby zistila, čo presne sa deje a prečo sú používatelia klamaní o tom, ktoré opravy robia a ktoré nemajú.

Aj napriek tomu bolo povedané, čo si o tom myslíte? Ste prekvapení správami a bude to mať vplyv na telefóny, ktoré kupujete, do budúcnosti? Zvuk v komentároch nižšie.

Prečo stále používam BlackBerry KEYone na jar 2018