A GrapheneOS projekt, amely alternatív, szabad Android firmware-t fejleszti a biztonság fokozása és a magánélet védelme érdekében, bejelentette, hogy a Google módosította az Android platformon a sebezhetőségek javításainak közzétételi politikáját és a sebezhetőségekről való tájékoztatást. Az októberi Android sebezhetőségi jelentés üresen került kiadásra.
Mostantól a Google kizárólag az OEM-gyártóknak biztosítja az Android biztonsági javításait zárt csatornákon, titoktartási megállapodás mellett, amely arra kötelezi őket, hogy a megkapott javítások forráskódját 3 hónapig ne hozzák nyilvánosságra. Ez idő alatt csak a javítást tartalmazó bináris build-ek terjesztése engedélyezett.
A kód továbbra is nyílt forráskódú Apache licenc alatt áll, de a terjesztési jogokra ideiglenes korlátozást tesznek a titoktartási megállapodás révén. A vállalat politikájának ezen megváltoztatásának indoka a „növelt biztonság iránti vágy”, amelyet a „Biztonság a homály révén” elv megvalósításának próbálkozásaként említenek.
Bár ez nehézségeket okoz a nyílt harmadik fél firmware-inek, a GrapheneOS projekt talált megoldást, és egy OEM-beszállítónál partnerre lelt, aki zárt embargós javításokat biztosít a projekt számára mielőtt azok hivatalosan nyilvánosságra kerülnek.
Megjegyzik, hogy a GrapheneOS ezentúl két különböző kiadási csatornát fog biztosítani – az AOSP alapjain teljesen reprodukálható build-ekkel, de zárt biztonsági javítások nélkül, valamint olyan build-ekkel, amelyek tartalmazzák a javításokat, melyek reprodukálható forráskódját csak az embargó letelte után teszik közzé.
Forrás: opennet.ru
