Projektet GrapheneOS, der udvikler en alternativ fri Android-firmware, fokuseret på at øge sikkerheden og beskytte privatlivet, har meddelt, at Google har ændret sin politik for offentliggørelse af sårhedsrettelser til Android-platformen og for afsløring af sårbarheder. Den oktober-rapport om sårbarheder i Android blev offentliggjort tom.
Fremover vil Google kun give sikkerhedsrettelser til Android til OEM-producenter gennem lukkede kanaler med en tavshedsaftale, der forpligter dem til ikke at afsløre kildekoden med de leverede patches i 3 måneder fra modtagelsen. I denne periode må der kun distribueres binære builds med inkluderede rettelser.
Selve koden forbliver under den åbne Apache-licens, men der pålægges en midlertidig begrænsning på distributionsrettigheder gennem en tavshedsaftale. Motivet for denne ændring i virksomhedens politik er "stræben efter øget sikkerhed", hvilket bemærkes som et forsøg på at realisere princippet "Sikkerhed gennem uklarhed".
På trods af de udfordringer dette skaber for åbne tredjepartsfirmwares, har projektet GrapheneOS fundet en løsning ved at finde en partner blandt OEM-leverandørerne, der tilbyder lukkede embargo patches til projektet inden deres officielle offentliggørelse.
Det bemærkes, at GrapheneOS fremover vil have to forskellige kanaler med udgivelser — med fuldt reproducerbare builds på tidspunktet for offentliggørelse baseret på AOSP, men uden lukkede sikkerhedsrettelser, og med builds med inkluderede patches, hvis reproducerbare kildekode først vil blive offentliggjort efter embargoens udløb.
Kilde: opennet.ru
