谷歌怒了！因为Android安全更新

Posted 2021-04-27 程序员干货站

碎片化问题一直困扰着谷歌，对于android这样一个“免费”的系统而言，谷歌近年来似乎一直在加强其话语权……

部分Android厂商隐瞒事实

德国Security Research Lab的安全研究人员们，前不久有一项惊人的发现。在对1200款Android 设备的操作系统代码进行逆向工程之后，Karsten Nohl 和 Jakob Lell 发现某些智能手机制造商未能诚实地给设备打上安全补丁。两人的工作，主要是检查代码，以确认手机设置中引用的安全补丁，是否已经真的被应用。

然而在许多情况下，他们都发现了一个“真空地带”—— 某些厂商其实没有完整地打上补丁。

Wired 报道称，SRL 研究人员揪出了多家不诚实的厂商，就算是小米、一加、诺基亚之类的大牌，平均也有不慎疏漏的 1~3 个安全补丁。

此外，与厂商所宣称的相比，来自 HTC、摩托罗拉、以及 LG 的设备，缺失的补丁数量也有 3~4 个。而中兴和 TCL 手机的平均缺失补丁数量超过了 4 个。

SRL 还指出了缺失补丁和手机采用的芯片组之间的关联数据，那些采用了廉价处理器的低端机，更有可能跳过一些补丁。

比如在采用联发科机型的设备上，平均缺失的补丁数量为 9.7 个。相比之下，采用三星处理器的设备，被跳过的数量就要少很多。

Google 对 SRL 的研究表示赞赏，但指出其分析的部分设备可能并未得到 Android 认证、或者没有遵从该公司的安全标准。更重要的是，Google 指出，现代 Android 手机的安全功能已经到位，即便包含了未修补的漏洞，也很难被破解。

此外，在某些情况下，厂商可能会从设备中移除一个易受攻击的功能，而不是修复它，这也可能是某些漏洞缺失的一个客观原因。

最后，Google 表示会与 SRL 深入调查合作，Nohl 也认同了该公司关于“某些未打补丁的设备仍然难以被破解”的观点，这得益于 Google 部署的许多安全措施。

将强制厂商定期推送Android安全更新

尽管在移动操作系统市场的整体份额很高，但多年以来，Android 一直面对着系统更新和安全补丁不够及时的巨大压力。究其原因，其实出在向终端用户推送的“最后一公里”上。

好消息是，为了改变这一现状，Google 已经下定决心，以强制原始设备（OEM）制造商定期推送安全更新。在上周召开的 I/O 2018 开发者大会上，谷歌移动安全部门领导人 Dave Kleidermacher 向大家传递了这方面的信息。

他表示，根据合同，OEM 合作伙伴有义务定期发布补丁，称其致力于在 OEM 协议中强调这方面的重要性。这么做的好处是，将有大幅增加的设备和用户会定期收到安全补丁。

XDA-Developers 率先报道了这一消息，感兴趣的朋友可直接跳转到视频的 2:10 处，不过 Google 并未立即回应和披露更多细节（比如已经与哪些厂商签订了合约）。

3月的时候，Kleidermacher 曾在接受 Cnet 采访时表示：当前 Android 的安全性，已经与竞争对手相当。期间他还提到会向 OEM 厂商施压，以要求它们更快地推出补丁。

然而 4 月份的时候，有安全研究人员发现，部分 Android 手机制造商在安全更新中撒了谎，隐瞒了它们没有打上全部补丁的事实（本站传送门）。

显然，这一次谷歌有点生气了……