Das GrapheneOS-Projekt, das ein alternatives, freies Android-Betriebssystem zur Verbesserung von Sicherheit und Datenschutz entwickelt, hat darüber informiert, dass Google Änderungen an den Richtlinien zur Veröffentlichung von Sicherheitsupdates für die Android-Plattform und zur Offenlegung von Sicherheitsanfälligkeiten vorgenommen hat. Der Sicherheitsbericht für Oktober wurde ohne Inhalt veröffentlicht.
Google stellt ab sofort Sicherheitsupdates für Android ausschließlich den OEM-Herstellern über geschlossene Kanäle mit einer Geheimhaltungsvereinbarung zur Verfügung, die sie verpflichtet, den Quellcode der bereitgestellten Patches für einen Zeitraum von 3 Monaten nach Erhalt nicht offenzulegen. Während dieser Zeit ist nur die Verbreitung von binären Builds mit dem enthaltenen Patch möglich.
Der Quellcode bleibt weiterhin unter der offenen Apache-Lizenz, jedoch wird das Verbreitungsrecht durch die Geheimhaltungsvereinbarung zeitlich eingeschränkt. Motive für diese Änderung der Unternehmenspolitik sind "Bestrebungen nach höherer Sicherheit", die als Versuch verstanden werden, das Prinzip "Sicherheit durch Unklarheit" umzusetzen.
Trotz der Schwierigkeiten, die dies für offene Drittanbieter-Firmwares mit sich bringt, hat das GrapheneOS-Projekt eine Lösung gefunden, indem es einen Partner unter den OEM-Lieferanten gefunden hat, der für das Projekt geschlossene Embargo-Patches bis zu ihrer offiziellen Veröffentlichung bereitstellt.
Es wird darauf hingewiesen, dass GrapheneOS künftig zwei verschiedene Kanäle für die Veröffentlichungen anbieten wird – einen mit vollständig reproduzierbaren Builds zum Zeitpunkt der Veröffentlichung auf Basis von AOSP, jedoch ohne geschlossene Sicherheitsfixes, und einen mit Builds, die eingeschlossene Patches enthalten, deren reproduzierbarer Quellcode erst nach Ablauf des Embargos veröffentlicht wird.
Quelle: opennet.ru
