Das GrapheneOS-Projekt, das eine alternative, freie Android-Firmware entwickelt, die auf verstärkte Sicherheit und Datenschutz abzielt, hat bekannt gegeben, dass Google Änderungen an der Veröffentlichungsrichtlinie für Sicherheitsupdates auf der Android-Plattform sowie an der Offenlegung von Sicherheitsanfälligkeiten vorgenommen hat. Der Oktober-Bericht über Sicherheitsanfälligkeiten in Android wurde leer veröffentlicht.
Ab sofort liefert Google Sicherheitsupdates für Android ausschließlich an OEM-Hersteller über geschlossene Kanäle mit einer Geheimhaltungsvereinbarung, die sie verpflichtet, den Quellcode der bereitgestellten Patches für einen Zeitraum von 3 Monaten ab Erhalt nicht offenzulegen. In dieser Zeit ist nur die Verbreitung von Binärversionen mit den enthaltenen Patches möglich.
Der Code selbst bleibt weiterhin unter der offenen Apache-Lizenz, jedoch wird es zeitliche Einschränkungen für die Verbreitung durch die Geheimhaltungsvereinbarung geben. Der Grund für diese Änderung der Unternehmenspolitik ist das "Streben nach verbesserter Sicherheit", das als Versuch gewertet wird, das Prinzip der "Sicherheit durch Unklarheit" umzusetzen.
Trotz der durch diese Maßnahmen geschaffenen Schwierigkeiten für offene, alternative Firmware-Lösungen hat das GrapheneOS-Projekt einen Ausweg gefunden, indem es einen Partner unter den OEM-Anbietern gefunden hat, der dem Projekt geschlossene Embargo-Patches bis zu ihrer offiziellen Offenlegung bereitstellt.
Es wird darauf hingewiesen, dass GrapheneOS künftig zwei verschiedene Kanäle mit Veröffentlichungen anbieten wird – mit vollständig reproduzierbaren Builds zum Zeitpunkt der Veröffentlichung auf Basis von AOSP, jedoch ohne geschlossene Sicherheitsupdates, und mit Builds, die die Patches enthalten, deren reproduzierbarer Quellcode jedoch erst nach Ablauf des Embargos veröffentlicht wird.
Quelle: opennet.ru
