Google променя политиката си за публикуване на корекции на уязвимости в Android

Проект GrapheneOS, разработващ алтернативен свободен фърмуер за Android, насочен към усилване на сигурността и защита на личните данни, съобщи за промени, внесени от Google в политиката за публикуване на корекции на уязвимости за платформата Android и разкриване на информация за уязвимостите. Октомврийският отчет за уязвимостите в Android беше публикуван като празен.

Отсега нататък Google първоначално предоставя корекции на сигурността за Android изключително на производители на OEM по закрит канал с договор за ненаблюдение, задължаващ ги да не разкриват изходния код с приложените поправки за срок от 3 месеца от получаването им. През този период е възможно разпространение единствено на бинарни сборки с включено коригиране.

Кодът остава под отворена лицензия Apache, но правото на разпространение е ограничено временно чрез споразумение за конфиденциалност. Основната причина за това изменение в политиката на компанията е "стремежът към повишена сигурност", отбелязван като опит за реализиране на принципа "Сигурност чрез неяснота".

Въпреки предизвикателствата, които това създава за отворените трети фърмуери, проектът GrapheneOS намери решение, като намери партньор сред производителите на OEM, който предоставя на проекта закрити ембарго корекции преди тяхното официално разкритие.

Отбелязва се, че оттук нататък GrapheneOS ще предлага два различни канала с версии — с напълно воспроизводими сборки, публикувани на базата на AOSP, но без закрити корекции за сигурност, и със сборки, включващи пачове, чийто воспроизводим изходен код ще бъде публикуван само след изтичането на ембаргото.

Източник: opennet.ru