Открити са някои Android адеми, които лъжат за пачове за сигурност [актуализация]

Актуализация, 13 април: Google даде следното изявление на Verge:

Бихме искали да благодарим на Карстен Нол и Якоб Кел за техните непрекъснати усилия за засилване на сигурността на екосистемата Android. Работим с тях, за да подобрим механизмите им за откриване, за да отчитаме ситуации, в които дадено устройство използва алтернативна актуализация на защитата вместо предложената от Google актуализация на сигурността. Актуализациите за сигурност са един от многото слоеве, използвани за защита на Android устройства и потребители. Вградените защити на платформата, като например пясъчни приложения и услуги за сигурност, като Google Play Protect, са също толкова важни. Тези слоеве на сигурност - комбинирани с огромното разнообразие на екосистемата Android - допринасят за изводите на изследователите, че отдалечената експлоатация на устройства с Android остава предизвикателство.

Пропуснатите лепенки със сигурност правят телефона ви по-уязвим в сравнение с тези, които са актуални, но въпреки това, това не означава, че сте напълно незащитени. Месечните пластири определено помагат, но съществуват общи мерки, за да се гарантира, че всички телефони с Android имат някакво ниво на подобрена сигурност.

Веднъж месечно Google актуализира бюлетина за сигурност на Android и пуска нови месечни лепенки, за да коригира уязвимостите и грешките веднага щом изскачат. Не е тайна, че много OEM производители бавно актуализират хардуера си с споменатите корекции, но сега е открито, че някои от тях твърдят, че са актуализирали телефоните си, когато всъщност нищо не се е променило изобщо.

Това откровение направиха Карстен Нол и Якоб Лел от лаборатории за изследвания в областта на сигурността, а техните открития бяха представени неотдавна на тазгодишната конференция за сигурност Hack in the Box в Амстердам. Нол и Лел проучиха софтуера на 1200 Android телефона от Google, Samsung, OnePlus, ZTE и други и, като направиха това, установиха, че някои от тези компании променят външния вид на пачовете за сигурност, когато актуализират телефоните си, без всъщност да ги инсталират.

Galaxy J3 на Samsung от 2016 г. твърди, че има 12 лепенки, които просто не са били инсталирани на телефона.

Очаква се някои от пропуснатите лепенки да бъдат направени случайно, но Нол и Лел попаднаха на определени телефони, където нещата просто не се сумиха. Например, докато Galaxy J5 на Samsung от 2016 г. точно изброяваше пачовете, които имаше, J3 от същата година изглежда има всеки отделен кръпка от 2017 г. насам, въпреки че липсва 12 от тях.

Изследването също така разкри, че типът процесор, използван в телефона, може да окаже влияние върху това дали се актуализира или не с пач за защита. Установено е, че устройствата с чипове Exynos на Samsung имат много малко прескачани кръпки, докато тези с MediaTek такива средно с 9, 7 липсващи лепенки.

След като преминаха през всички телефони в тестовете си, Нол и Лел създадоха диаграма, очертаваща колко пачове OEM производители са пропуснали, но все пак се твърди, че са инсталирани. Компании като Sony и Samsung пропуснаха само между 0 и 1, но се установи, че TCL и ZTE прескачат 4 или повече.

• 0-1 пропуснати кръпки (Google, Sony, Samsung, Wiko)
• 1-3 пропуснати кръпки (Xiaomi, OnePlus, Nokia)
• 3-4 пропуснати кръпки (HTC, Huawei, LG, Motorola)
• 4+ пропуснати кръпки (TCL, ZTE)

Малко след обявяването на тези констатации, Google заяви, че ще започне разследване на всеки от виновните OEM производители, за да разбере какво точно се случва и защо потребителите се лъжат, кои пачове правят и не.

Дори и с казаното, какво мислите за това? Изненадани ли сте от новината и това ще се отрази ли на телефоните, които купувате, напред? Озвучете в коментарите по-долу.

Защо все още използвам BlackBerry KEYone през пролетта на 2018 г.