Google променя политиката за публикуване на поправки на уязвимости в Android

Проектът GrapheneOS, който разработва алтернативен свободен фърмуер за Android, насочен към увеличаване на безопасността и осигуряване на конфиденциалност, съобщи за изменения, въведени от Google в политиката за публикуване на поправки на уязвимости за платформата Android и разкриване на информация за уязвимости. Октомврийският доклад за уязвимостите в Android е публикуван без съдържание.

Отсега нататък Google първоначално предоставя поправки за сигурност за Android единствено на OEM производители по закрити канали с споразумение за конфиденциалност, задължаващо ги да не разкриват изходния код с приложените поправки в рамките на 3 месеца от получаването им. През този период е възможно разпространение единствено на бинарни версии с включена поправка.

Самият код продължава да бъде под отворена лицензия Apache, но правото на разпространение е обременено с временно ограничение чрез споразумение за конфиденциалност. Мотивът за това изменение в политиката на компанията е "стремеж към повишена безопасност", отбелязвано като опит за реализиране на принципа "Безопасност чрез неясност".

Въпреки създаваните от това трудности за откритите странични фърмуери, проектът GrapheneOS намери изход от ситуацията, откривайки партньор сред OEM доставчици, който предоставя на проекта закрити ембарго поправки преди тяхното официално разкритие.

Отбелязва се, че оттук нататък GrapheneOS ще предоставя два различни канала с релизи — с напълно възпроизводими версии в момента на публикуване, на базата на AOSP, но без закрити поправки за сигурност, и с версии, включващи поправки, възпроизводимият изходен код на които ще бъде публикуван едва след изтичане на ембаргото.

Източник: opennet.ru