Нам врут про патчи безопасности Android?

Компания Google ежемесячно выпускает патчи безопасности для Android устройств. Самыми первыми их получают телефоны серии Pixel и Nexus, а затем уже сторонние OEM-производители получают доступ к скачиванию последней версии патча безопасности с актуальными исправлениями. Но похоже, что некоторые компании грешат тем, что устанавливают на свои устройства не все обновления.

Компания Google пытается заставить десятки производителей смартфонов Android, регулярно выпускать обновления программного обеспечения, ориентированные на безопасность.

Производители не следят за безопасностью?

Согласно последнему отчету, который опубликовала издательство Wired, большая часть Android телефонов не получает актуальные обновления безопасности.

Эту тревожную новость обнаружила немецкая Лаборатория безопасности (Security Research Labs). Штаб квартира компании находится в Берлине. Ее основная задача — обеспечить развитие безопасности в сфере мобильной связи, фокусируясь на современных технологиях, которые могут подвергнуть многих людей риску.

Нам лгут об исправлениях безопасности?

Результатами своей двухлетней работы Лаборатория «Security Research Labs» поделилась на конференции по безопасности Hack in the Box в Амстердаме. Также, кроме анализа кода операционной системы Android, компания тщательно проверяла действительно ли телефоны содержат последние исправления безопасности, указанные в настройках.

Как оказалось, больше половины OEM-производителей сообщали пользователям, что у них установлены последние патчи безопасности, в то время как устройство до сих оставалось по факту уязвимым. Многие компании пропускали десятки обновлений для своих устройств, оставляя телефоны уязвимыми для широкого набора известных методов взлома.

Просто меняют цифру в названии патча

Компания SRL проверила официальные прошивки 1200 телефонов от более чем 10 производителей на наличие исправлений, из каждого патча безопасности Android, выпущенного в 2017 года.

Проверялись устройства, сделанные не только самой компанией Google, но и основными производителями телефонов Android, такими как Samsung, Motorola и HTC, а также известными китайскими компаниями, такими как ZTE, Xiaomi, Oneplus, Huawei и TCL

Тестирование показало, что производители чаще всего грешат сменой даты, вместо установки реального патча. Они сообщают пользователям, что устанавливают исправления, но на самом деле не делают этого, создавая ложное чувство безопасности.

Крупные компании, могут случайно пропустить какой патч исправлений, который не является критическим. Другие производители почему-то преднамеренно обманывают своих пользователей.

Учитывая такую ​​скрытую несогласованность, обычному пользователю практически невозможно узнать, какие исправления установлены на его телефоне.

Сколько патчей пропускает каждый производитель?

После усреднения результатов каждого телефона, проверенного в лабораториях SRL, были подведены итоги, где производителей разделили на четыре категории. Разделение на группы основывается на том, насколько точно указанные производителями исправления соответствуют реальности в 2017 году, причем основное внимание уделяется только телефонам, получившим по меньшей мере один патч в октябре 2017 или новее.

Кто меньше всего думает о безопасности:

Телефоны от основных поставщиков Android устройств, включая Xiaomi и Nokia, в среднем составляли от одного до трех отсутствующих патчей, и даже крупные поставщики, такие как HTC, Motorola и LG, пропустили от трех до четырех исправлений, которые, по их утверждению, были установлены.

Меньше всего о реальной безопасности своих пользователей думают китайские фирмы TCL и ZTE, на всех телефонах не было в среднем более четырех патчей, которые, по их утверждению, были установлены.

В своем отчете SRL показала в качестве одной из возможных причин отсутствия исправлений — это какой процессор установлен в телефоне. Чаще всего, устройства, которые использовали чипы от тайваньской фирмы MediaTek, не имели более 9 обновлений.

Вторая причина — дешевые телефоны с большей вероятностью пропускают исправления, а также склонны использовать более дешевые чипы.

Конечно, и компания Сяоми грешит на задержку обновлений. Часто разработчики что-то мудрят с версиями патчей безопасности, например выпуская обновление за апрель в марте. Но согласно исследованию немецкой лаборатории SRL, Xiaomi вошла во вторую категорию. Это значит, что в реальности пользователи смартфонов защищены на 80-90%.