banner.jpg)
相關(guān)專題：
碎片化問題一直困擾著谷歌，對于Android這樣一個“免費”的系統(tǒng)而言，谷歌近年來似乎一直在加強其話語權(quán)……
部分Android廠商隱瞞事實
德國Security Research Lab的安全研究人員們，前不久有一項驚人的發(fā)現(xiàn)。在對1200款A(yù)ndroid 設(shè)備的操作系統(tǒng)代碼進行逆向工程之后，Karsten Nohl 和 Jakob Lell 發(fā)現(xiàn)某些智能手機制造商未能誠實地給設(shè)備打上安全補丁。兩人的工作，主要是檢查代碼，以確認(rèn)手機設(shè)置中引用的安全補丁，是否已經(jīng)真的被應(yīng)用。
然而在許多情況下，他們都發(fā)現(xiàn)了一個“真空地帶”—— 某些廠商其實沒有完整地打上補丁。
Wired 報道稱，SRL 研究人員揪出了多家不誠實的廠商，就算是小米、一加、諾基亞之類的大牌，平均也有不慎疏漏的 1~3 個安全補丁。
此外，與廠商所宣稱的相比，來自 HTC、摩托羅拉、以及 LG 的設(shè)備，缺失的補丁數(shù)量也有 3~4 個。而中興和 TCL 手機的平均缺失補丁數(shù)量超過了 4 個。
SRL 還指出了缺失補丁和手機采用的芯片組之間的關(guān)聯(lián)數(shù)據(jù)，那些采用了廉價處理器的低端機，更有可能跳過一些補丁。
比如在采用聯(lián)發(fā)科機型的設(shè)備上，平均缺失的補丁數(shù)量為 9.7 個。相比之下，采用三星處理器的設(shè)備，被跳過的數(shù)量就要少很多。
Google 對 SRL 的研究表示贊賞，但指出其分析的部分設(shè)備可能并未得到 Android 認(rèn)證、或者沒有遵從該公司的安全標(biāo)準(zhǔn)。更重要的是，Google 指出，現(xiàn)代 Android 手機的安全功能已經(jīng)到位，即便包含了未修補的漏洞，也很難被破解。
此外，在某些情況下，廠商可能會從設(shè)備中移除一個易受攻擊的功能，而不是修復(fù)它，這也可能是某些漏洞缺失的一個客觀原因。
最后，Google 表示會與 SRL 深入調(diào)查合作，Nohl 也認(rèn)同了該公司關(guān)于“某些未打補丁的設(shè)備仍然難以被破解”的觀點，這得益于 Google 部署的許多安全措施。
將強制廠商定期推送Android安全更新
盡管在移動操作系統(tǒng)市場的整體份額很高，但多年以來，Android 一直面對著系統(tǒng)更新和安全補丁不夠及時的巨大壓力。究其原因，其實出在向終端用戶推送的“最后一公里”上。
好消息是，為了改變這一現(xiàn)狀，Google 已經(jīng)下定決心，以強制原始設(shè)備（OEM）制造商定期推送安全更新。在本周召開的 I/O 2018 開發(fā)者大會上，谷歌移動安全部門領(lǐng)導(dǎo)人 Dave Kleidermacher 向大家傳遞了這方面的信息。
他表示，根據(jù)合同，OEM 合作伙伴有義務(wù)定期發(fā)布補丁，稱其致力于在 OEM 協(xié)議中強調(diào)這方面的重要性。這么做的好處是，將有大幅增加的設(shè)備和用戶會定期收到安全補丁。
XDA-Developers 率先報道了這一消息，感興趣的朋友可直接跳轉(zhuǎn)到視頻的 2:10 處，不過 Google 并未立即回應(yīng)和披露更多細節(jié)（比如已經(jīng)與哪些廠商簽訂了合約）。
3月的時候，Kleidermacher 曾在接受 Cnet 采訪時表示：當(dāng)前 Android 的安全性，已經(jīng)與競爭對手相當(dāng)。期間他還提到會向 OEM 廠商施壓，以要求它們更快地推出補丁。
然而 4 月份的時候，有安全研究人員發(fā)現(xiàn)，部分 Android 手機制造商在安全更新中撒了謊，隱瞞了它們沒有打上全部補丁的事實（本站傳送門）。
顯然，這一次谷歌有點生氣了……
