Обнаружено, что некоторые андроиды лгут о патчах безопасности [обновление]

Обновление, 13 апреля: Google дал следующее заявление грани:

Мы хотели бы поблагодарить Karsten Nohl и Jakob Kell за их постоянные усилия по укреплению безопасности экосистемы Android. Мы работаем с ними над улучшением механизмов их обнаружения, чтобы учитывать ситуации, когда устройство использует альтернативное обновление безопасности вместо предложенного Google обновления безопасности. Обновления безопасности - это один из многих слоев, используемых для защиты устройств и пользователей Android. Встроенные средства защиты платформы, такие как «песочница» для приложений, и службы безопасности, такие как Google Play Protect, также важны. Эти уровни безопасности в сочетании с огромным разнообразием экосистемы Android способствуют выводам исследователей о том, что удаленная эксплуатация устройств Android остается сложной задачей.

Пропущенные исправления, безусловно, делают ваш телефон более уязвимым по сравнению с современными, но даже в этом случае это не означает, что вы полностью незащищены. Ежемесячные исправления определенно помогают, но существуют общие меры для обеспечения того, чтобы все телефоны Android имели некоторый уровень повышенной безопасности.

Раз в месяц Google обновляет Бюллетень по безопасности Android и выпускает новые ежемесячные исправления для исправления уязвимостей и ошибок, как только они появляются. Не секрет, что многие OEM-производители не спешат обновлять свое оборудование с помощью указанных исправлений, но теперь выяснилось, что некоторые из них утверждают, что обновили свои телефоны, хотя на самом деле ничего не изменилось.

Это открытие было сделано Карстеном Нолом и Якобом Леллом из Исследовательских лабораторий безопасности, и их результаты были недавно представлены на конференции по безопасности Hack in the Box в этом году в Амстердаме. Нол и Лелл исследовали программное обеспечение 1200 телефонов Android от Google, Samsung, OnePlus, ZTE и других и, сделав это, обнаружили, что некоторые из этих компаний меняют внешний вид исправлений безопасности при обновлении своих телефонов без их фактической установки.

Samsung Galaxy J3 от 2016 года утверждал, что имел 12 патчей, которые просто не были установлены на телефоне.

Ожидается, что некоторые из пропущенных патчей будут сделаны случайно, но Нол и Лелл сталкивались с определенными телефонами, которые просто не складывались. Например, в то время как Samsung Galaxy J5 от 2016 года точно перечислял патчи, которые у него были, у J3 того же года, похоже, были все патчи с 2017 года, несмотря на отсутствие 12 из них.

Исследование также показало, что тип процессора, используемого в телефоне, может влиять на то, будет ли он обновляться с помощью патча безопасности. Было обнаружено, что устройства с чипами Exynos от Samsung имеют очень мало пропущенных патчей, тогда как на устройствах с MediaTek в среднем было 9, 7 отсутствующих патчей.

Пройдя все телефоны во время их тестирования, Нол и Лелл создали диаграмму, в которой указано, сколько патчей пропущено OEM-производителями, но все еще утверждается, что они установлены. Такие компании, как Sony и Samsung, пропустили только от 0 до 1, но было обнаружено, что TCL и ZTE пропускают 4 или более.

• 0-1 пропущенных патчей (Google, Sony, Samsung, Wiko)
• 1-3 пропущенных патча (Xiaomi, OnePlus, Nokia)
• 3-4 пропущенных патча (HTC, Huawei, LG, Motorola)
• 4+ пропущенных патча (TCL, ZTE)

Вскоре после того, как эти результаты были объявлены, Google заявил, что будет проводить расследования в отношении каждого из виновных OEM-производителей, чтобы выяснить, что именно происходит и почему пользователи лгут о том, какие патчи они делают, а какие нет.

Даже с учетом сказанного, что вы думаете об этом? Вы удивлены новостями, и повлияет ли это на телефоны, которые вы покупаете в будущем? Выключите звук в комментариях ниже.

Почему я до сих пор использую BlackBerry KEYone весной 2018 года