O projeto GrapheneOS, que desenvolve um firmware alternativo de código aberto para Android focado em aumentar a segurança e a privacidade, informou que a Google fez alterações em sua política de publicação de correções para vulnerabilidades na plataforma Android e divulgação de informações sobre vulnerabilidades. O relatório de vulnerabilidades de outubro para Android foi publicado vazio.
A partir de agora, a Google fornece correções de segurança para o Android exclusivamente para fabricantes de equipamentos originais (OEM) através de canais fechados e com um acordo de não divulgação, que os obriga a não divulgar o código fonte aplicado pelas correções por um período de 3 meses após o recebimento. Durante esse tempo, é permitido distribuir apenas compilações binárias que incluam a correção.
O código continua a ser licenciado sob a licença Apache, mas o direito de distribuição é sujeito a uma limitação temporal através do acordo de não divulgação. O motivo dessa mudança na política da empresa é a "busca por maior segurança", destacada como uma tentativa de implementar o princípio de "Segurança através da opacidade".
Apesar das dificuldades que isso cria para firmwares de terceiros abertos, o projeto GrapheneOS encontrou uma solução, estabelecendo parceria com um fornecedor OEM, que oferece correções embargadas ao projeto até sua divulgação oficial.
Observa-se que a partir de agora o GrapheneOS oferecerá dois canais diferentes para lançamentos — um com compilações totalmente reproduzíveis no momento das publicações com base no AOSP, mas sem correções de segurança fechadas, e outro com compilações que incluem os patches, cujo código fonte reproduzível será publicado apenas após o término do embargo.
Fonte: opennet.ru
