Otkriveno je da neki androidi izgleda lažu o sigurnosnim zakrpama [update]

Ažuriranje, 13. travnja: Google je Vergeu dao sljedeću izjavu:

Želimo zahvaliti Karsten Nohl i Jakobu Kellu na njihovim kontinuiranim naporima na jačanju sigurnosti Android ekosustava. Radimo s njima na poboljšanju njihovih mehanizama otkrivanja da bi objasnili situacije u kojima uređaj koristi alternativno sigurnosno ažuriranje umjesto sigurnosnog ažuriranja koje predlaže Google. Sigurnosna ažuriranja jedan su od mnogih slojeva koji se koriste za zaštitu Android uređaja i korisnika. Ugrađena zaštita platforme, kao što su program za prijenos sanduka u aplikaciju i sigurnosne usluge, poput Google Play Protect-a, jednako su važne. Ovi slojevi sigurnosti - u kombinaciji s ogromnom raznolikošću Android ekosustava - pridonose zaključcima istraživača kako daljinsko iskorištavanje Android uređaja i dalje ostaje izazov.

Propuštene zakrpe zasigurno čine vaš telefon ranjivijim u usporedbi s onima koji su aktualni, ali iako je tako, to ne znači da ste u potpunosti nezaštićeni. Mjesečne zakrpe definitivno pomažu, ali postoje opće mjere kako bi se osiguralo da svi Android telefoni imaju određenu razinu poboljšane sigurnosti.

Jednom mjesečno Google ažurira Android Security Bulletin i objavljuje nove mjesečne zakrpe kako bi popravio ranjivosti i pogreške čim se pojave. Nije tajna da mnogi OEM proizvođači sporo ažuriraju svoj hardver navedenim zakrpama, ali sada je otkriveno da neki od njih tvrde da su ažurirali svoje telefone kada se, u stvari, ništa uopće nije promijenilo.

Ovo otkriće objavili su Karsten Nohl i Jakob Lell iz sigurnosnih istraživačkih laboratorija, a njihovi su nalazi nedavno predstavljeni na ovogodišnjoj sigurnosnoj konferenciji Hack in the Box u Amsterdamu. Nohl i Lell pregledali su softver 1200 Android telefona od Googlea, Samsung-a, OnePlus-a, ZTE-a i drugih te su, radeći to, otkrili da neke od tih kompanija mijenjaju izgled sigurnosne zakrpe prilikom ažuriranja svojih telefona, a da ih zapravo nisu instalirale.

Samsungov Galaxy J3 iz 2016. tvrdio je da ima 12 zakrpa koje jednostavno nisu instalirane na telefonu.

Očekuje se da će neki propušteni flasteri biti napravljeni slučajno, ali Nohl i Lell naišli su na određene telefone na kojima se stvari jednostavno nisu zbrajale. Na primjer, dok je Samsungov Galaxy J5 iz 2016. precizno popisao zakrpe koje je imao, čini se da će J3 iz iste godine imati svaki pojedinačni zakrpa od 2017. godine, unatoč tome što im je nedostajalo 12.

Istraživanje je također otkrilo da vrsta procesora koji se koristi u telefonu može utjecati na to hoće li se ažurirati sigurnosnom zakrpom ili ne. Otkriveno je da uređaji s Samsungovim Exynos čipovima imaju vrlo malo preskočenih zakrpa, dok oni s MediaTekovim prosjekom imaju 9, 7 zakrpa koje nedostaju.

Nakon što su pregledali sve telefone na svom testiranju, Nohl i Lell stvorili su tablicu u kojoj je istaknuto koliko su patchovi OEM promašili, ali i dalje se tvrdi da su instalirani. Tvrtke poput Sony i Samsung propustile su samo između 0 i 1, ali za TCL i ZTE je pronađeno da preskaču 4 ili više.

• 0-1 propuštene zakrpe (Google, Sony, Samsung, Wiko)
• 1-3 propuštene zakrpe (Xiaomi, OnePlus, Nokia)
• 3-4 propuštene zakrpe (HTC, Huawei, LG, Motorola)
• 4+ propuštene zakrpe (TCL, ZTE)

Ubrzo nakon što su ta otkrića objavljena, Google je rekao da će pokrenuti istragu svakog krivog OEM proizvođača kako bi otkrio o čemu se točno radi i zašto korisnici lažu o tome koje zakrpe rade, a koji nemaju.

Čak i uz spomenuto, što mislite o ovome? Jeste li iznenađeni vijestima i hoće li to utjecati na telefone koje kupujete u naprijed? Zvuk isključite u komentarima ispod.

Zašto još uvijek koristim BlackBerry KEYone u proljeće 2018. godine