El proyecto GrapheneOS, que desarrolla un firmware Android alternativo y libre enfocado en mejorar la seguridad y proteger la privacidad, ha informado sobre los cambios realizados por Google en la política de publicación de correcciones de vulnerabilidades para la plataforma Android y la divulgación de información sobre estas vulnerabilidades. El informe de vulnerabilidades de octubre sobre Android fue publicado vacío.
A partir de ahora, Google proporcionará inicialmente las correcciones de seguridad para Android exclusivamente a los fabricantes OEM a través de canales cerrados con un acuerdo de confidencialidad, que les obliga a no revelar el código fuente que incluye los parches durante un período de 3 meses desde su recepción. Durante este tiempo, solo se podrá distribuir compilaciones binarias que incluyan la corrección.
El código en sí continúa bajo la licencia abierta Apache, pero el derecho a distribuirlo está sujeto a una restricción temporal a través de un acuerdo de confidencialidad. El motivo de este cambio en la política de la empresa es el 'compromiso con una seguridad mejorada', señalado como un intento de implementar el principio de 'Seguridad a través de la oscuridad'.
A pesar de las dificultades que esto crea para los firmware de terceros abiertos, el proyecto GrapheneOS ha encontrado una solución al asociarse con un proveedor OEM que proporciona parches cerrados al proyecto antes de su divulgación oficial.
Se observa que a partir de ahora GrapheneOS ofrecerá dos canales diferentes con lanzamientos: uno con compilaciones completamente reproducibles al momento de la publicación basadas en AOSP, pero sin correcciones de seguridad cerradas, y otro con compilaciones que incluyen parches, cuyo código fuente reproducible se publicará solo después de que expire el embargo.
Fuente: opennet.ru
