GrapheneOS-projektet, som utvecklar en alternativ öppen Android-firmware inriktad pÄ att förbÀttra sÀkerhet och skydda integritet, meddelade att Google har gjort förÀndringar i sin policy för offentliggörande av sÀkerhetsfixar för Android-plattformen och för avtÀckt information om sÄrbarheter. Den oktober rapporten om sÄrbarheter i Android publicerades tom.
FrÄn och med nu tillhandahÄller Google sÀkerhetsuppdateringar för Android uteslutande till OEM-tillverkare via slutna kanaler med ett sekretessavtal som ÄlÀgger dem att inte avslöja kÀllkoden som anvÀnder de tillhandahÄllna patcharna under en period av 3 mÄnader frÄn mottagandet. Under denna tid Àr det endast tillÄtet att distribuera binningsbyggnader som inkluderar ÄtgÀrden.
SjÀlva koden fortsÀtter att vara under den öppna Apache-licensen, men rÀtten att distribuera Àr begrÀnsad tidsmÀssigt genom ett sekretessavtal. Motivet bakom denna förÀndring i företagets policy Àr "strÀvan efter ökad sÀkerhet", som noteras som ett försök att genomföra principen "SÀkerhet genom oklarhet".
Trots de svÄrigheter som detta skapar för öppna, tredjepartsfirmware, har GrapheneOS-projektet hittat en lösning genom att finna en partner bland OEM-leverantörer som tillhandahÄller stÀngda embargo-patchar för projektet före deras officiella offentliggörande.
Det noteras att GrapheneOS framöver kommer att tillhandahÄlla tvÄ olika kanaler med utgÄvor - med helt reproducerbara byggen vid publiceringen baserat pÄ AOSP, men utan stÀngda sÀkerhetsfixar, och med byggen inkluderande patchar, vars reproducerbara kÀllkod publiceras först efter att embargo har upphört.
KĂ€lla: opennet.ru
