Google расскажет о проблемах популярных Android-смартфонов
Несмотря на то что в последнее время среди производителей смартфонов стало даже модно поддерживать свои аппараты в актуальном состоянии, регулярно их обновляя, от ежемесячных патчей безопасности для них всегда было меньше толку, чем для устройств линейки Google Pixel. Ведь если «пиксели» работают на базе чистого Android, то и проблемы безопасности у них одни, а в прошивках сторонних производителей, которые в процессе их проектирования наверняка допускают ошибки, проблемы эти совершенно другие. Но Google решила исследовать и их.
Android Partner Vulnerability Initiative - новая инициатива Google по выявлению уязвимостей в сторонних смартфонах
Google будет изучать проблемы безопасности смартфонов сторонних производителей в рамках программы Android Partner Vulnerability Initiative. Таким образом в компании хотят ускорить исправление недостатков в прошивках всех аппаратов под управлением Android, а не только Google Pixel, делая это максимально прозрачно для пользователей. Если раньше Google исследовала только недостатки чистой версии Android и не смотрела дальше, то теперь в планы поискового гиганта входит обнаружение уязвимостей и за пределами стоковой операционки.
Откуда берутся уязвимости в Android
В Android-смартфонах немало уязвимостей, но провоцирует их не Google, а сами производители
Несмотря на то что Google не несет ответственности за уязвимости в прошивках смартфонов, которые были вызваны использованием кастомных оболочек и лаунчеров, они «потенциально способны оказывать негативное влияние на состояние безопасности устройств на Android и их пользователей». Именно так в компании объяснили необходимость запуска новой инициативы по выявлению проблем безопасности в сторонних аппаратах. Проще говоря, Google не устраивает, что из-за халатности производителей, неспособных самостоятельно обнаружить и исправить существующие баги и бреши, страдает авторитет Android.
Безусловно, сама по себе программа Android Partner Vulnerability Initiative - это дело благое, учитывая, что производители довольно часто допускают ошибки при проектировании своих прошивок, а потом не исправляют их. Но пока вопросов к инициативе все-таки больше чем ответов:
- Является ли участие в программе обязательным для производителей
- Как Google выбирает, смартфоны какого производителя проверять
- Смогут ли производители отказаться от того, чтобы их смартфоны проверяли
- Являются ли уязвимости, которые нашла Google, обязательными к исправлению
- Будут ли какие-то строго очерченные сроки исправления уязвимостей, найденных Google
- Будут ли исправления включаться в ежемесячные патчи безопасности или их нужно будет выпускать отдельно
- Кто будет должен разрабатывать обновления с исправлениями уязвимостей
- Как поступать, если производители сочтут «уязвимость», найденную Google, особенностью своей прошивки
Обновления безопасности Android
Ежемесячных обновлений безопасности будет недостаточно для защиты всех Android-смартфонов
На данный момент известно, что Google проверила только некоторые смартфоны Meizu и выпустила по ним так называемый бюллетень безопасности. Это список всех уязвимостей, которые были найдены в прошивке проверенного аппарата. Точно такой же бюллетень Google ежемесячно публикует по своим собственным аппаратам. Другое дело, что она предварительно исправляет все бреши в прошивках своих аппаратов, чтобы злоумышленники не смогли ими воспользоваться в личных целях. А в случае с Meizu я бы не был уверен в том, что найденные уязвимости кто-то исправил.
Поэтому сейчас перед Google стоит задача по формированию эффективного инструмента воздействия на производителей, которых явно следует обязать исправлять критические уязвимости, найденные экспертами поискового гиганта. Ведь в противном случае высока вероятность, что бюллетень безопасности, который будет публиковать Google, сможет просто стать отличным руководством к действию для хакеров, которые начнут направо-налево взламывать уязвимые устройства. Но поскольку поисковому гиганту до сих пор не удалось убедить вендоров хотя бы просто адаптировать уже готовые патчи безопасности, я думаю, что из новой инициативы ничего путного не выйдет.
