Projekt GrapheneOS, který vyvíjí alternativní svobodný firmware Android zaměřený na zvýšení bezpečnosti a zajištění ochrany soukromí, oznámil, že společnost Google provedla změny v politice zveřejňování oprav zranitelností pro platformu Android a odhalování informací o zranitelnostech. Říjnová zpráva o zranitelnostech v Android byla publikována prázdná.
Od nynějška Google poskytuje bezpečnostní opravy pro Android výhradně OEM výrobcům prostřednictvím uzavřených kanálů na základě dohody o mlčenlivosti, která je zavazuje nezveřejňovat zdrojový kód s použitým patchem po dobu 3 měsíců od obdržení. Během této doby je možné šířit pouze binární sestavení zahrnující opravu.
Samotný kód nadále zůstává pod otevřenou licencí Apache, avšak na právo jeho distribuce bylo nařízeno dočasné omezení prostřednictvím dohody o mlčenlivosti. Motivací této změny v politice společnosti je "snaha o zvýšení bezpečnosti", označovaná jako pokus o realizaci principu "Bezpečnost skrze nejasnost".
I přes komplikace, které to způsobuje pro otevřené nezávislé firmwary, našel projekt GrapheneOS řešení, když našel partnera mezi OEM dodavateli, který poskytuje pro projekt uzavřené embargo patche před jejich oficiálním zveřejněním.
Bylo oznámeno, že projekt GrapheneOS bude nyní poskytovat dva různé kanály s vydáními — s plně reprodukovatelnými sestaveními v době zveřejnění na základě AOSP, ale bez uzavřených bezpečnostních oprav, a se sestaveními obsahujícími patche, jejichž reprodukovatelný zdrojový kód bude zveřejněn až po uplynutí embarga.
Zdroj: opennet.ru
