blogging @ myphone.gr: Stagefright : Η απειλή που άλλαξε το Android για πάντα

[valadis.k]

Ένα από τα πιο ιδιαίτερα χαρακτηριστικά γνωρίσματα του Android, είναι η φύση του ως λογισμικό ανοιχτού κώδικα, που επιτρέπει σε χρήστες την τροποποίηση και την αναδιανομή με τέτοιον τρόπο, ώστε να ικανοποιήσει και τους πιο απαιτητικούς. Αλλά αυτό το χαρακτηριστικό γνώρισμα, δρα και ως δίκοπο μαχαίρι για το ίδιο το λειτουργικό. Φυσικά αναφερόμαστε στα σοβαρά ζητήματα ασφάλεια που τίθενται. Από την άλλη δεν εννοώ ότι το iOS είναι ασφαλές, ούτε ενστερνίζομαι την συγκεκριμένη άποψη αλλά ούτε και την απορρίπτω. Στο σημερινό άρθρο θα ασχοληθούμε μεμονωμένα με το Android, τα προβλήματα ασφαλείας και φυσικά το Stagefright και την επίδραση που είχε πάνω του.

 

Φυσικά και είναι ευκολότερη η εύρεση και η επίλυση κενών ασφαλείας όταν όλοι εργάζονται σε ένα project όπου ο πηγαίος κώδικας είναι ευρέως διαθέσιμος. Από την άλλη πλευρά όμως, η επιδιόρθωση του προβλήματος ασφαλείας στην πηγή του, δεν σημαίνει απαραίτητα ότι αυτό διορθώθηκε και για τον τελικό χρήστη του λογισμικού. Για τους παραπάνω λόγους, συχνά το Android δεν προτιμάται από εκείνους που επιζητούν αυξημένη ασφάλεια για την προστασία ευαίσθητων δεδομένων, όπως ο επιχειρηματικός κόσμος.

 

Κατά την διάρκεια του Google I/O 2014, η εταιρεία έκανε το πρώτο βήμα για ένα πιο ασφαλές Android, προσπαθώντας να προσελκύσει και εκείνους που μέχρι τώρα την απέρριπταν για τα προβλήματα ασφαλείας του λογισμικού της. Ο λόγος, για το Android For Work, ένα enterprise-friendly οικοσύστημα όπου IT administrators μπορούν να δημιουργήσουν δυο διαφορετικούς τύπους προφίλ για τους εργαζομένους. Ο πρώτος για τις ανάγκες της εργασίας τους και ο δεύτερος, που θα αποτελεί τον προσωπικό τους λογαριασμό. Σύντομα το Android for Work έτυχε μεγάλης προσοχής από τους χρήστες, καθώς αποτελούσε μια αξιόπιστη λύση προστασίας της συσκευής από κάθε είδους απειλή. Δεν θα πρέπει να αμελήσουμε να αναφέρουμε ότι η εταιρεία εξέταζε και την πλήρη κρυπτογράφηση της συσκευής, αλλά τελικά τα σχέδια αυτά εγκαταλείφθηκαν και το συγκεκριμένο χαρακτηριστικό έγινε προαιρετικό με τον κάθε κατασκευαστή να επιλέγει αν ήθελε να το ενσωματώσει.

 

Στη προσπάθεια για ένα ασφαλές Android έχει συνεισφέρει και η Samsung και όχι μόνο η Google. Ωστόσο οι απειλές εξελίσσονται και συνεχίζουν να απειλούν το οικοσύστημα του Android. Μια από αυτές είναι και το Stagefright, με το οποίο ασχολούμαστε εκτενέστερα παρακάτω. Γνώμη μου σε αυτό το σημείο είναι ότι θα πρέπει να γνωστοποιήσω στον αναγνώστη μου, τα περιεχόμενα του άρθρου, έτσι ώστε να αποκτήσει μια πρώτη ιδέα, σχετικά με το τι αναφέρεται σε αυτό. Παρακάτω θα προσπαθήσουμε να δώσουμε έναν σύντομο ορισμό του Stagefright, θα διαπιστώσουμε πόσο σοβαρή απειλή είναι ή όχι και θα αναφερθούμε στις συνέπειες που άλλαξαν οριστικά τον χαρακτήρα του λογισμικού.

Ένας σύντομος ορισμός του Stagefright. Πόσο σοβαρή απειλή είναι;

 

Καλό κρίνεται σε αυτό το σημείο να δώσω έναν σύντομο ορισμό του Stagefright. Με απλούς όρους, το Stagefright είναι ένα exploit που εντοπίζεται στο playback πολυμέσων σε android συσκευές και φέρει την κωδική ονομασία libstagefright. Σύμφωνα με πολλές εταιρείες ασφαλείας, το Stagefright φαίνεται ότι επηρεάζει περίπου το 95% των συσκευών Android που κυκλοφορούν στην αγορά, σε αριθμούς το ποσοστό αυτό αντιστοιχεί σε 950 εκατομμύρια συσκευές περίπου. Αφορά συσκευές που τρέχουν Android 2.2 και πάνω. Ο μεγαλύτερος κίνδυνος όμως παρουσιάζεται σε συσκευές που τρέχουν Android 4.2 και κάτω. Σε αυτό το σημείο θα επιχειρήσω να εξηγήσω σε κάποιο βαθμό την λειτουργία του καθώς η μόλυνση και η δράση του παρουσιάζουν αρκετές πολυπλοκότητες.

 

Από μόνο του το Stagefright δίνει πρόσβαση στο σύστημα της συσκευής του χρήστη. Θα πρέπει όμως να έχει διαπεραστεί το ASLR (address space layout randomization) προκειμένου να προβεί σε ουσιαστική μόλυνση της συσκευής. Άγνωστο παραμένει ακόμη αν όντως έχει καταφέρει να το διαπεράσει. Σε κάθε περίπτωση, η απειλή αυτή διοχετεύει επιβλαβή κώδικα στη συσκευή. Έχοντας αποκτήσει τον πλήρη έλεγχο της συσκευής (κάτι σαν το αντίστοιχο root που επιχειρεί ο χρήστης στη συσκευή του) μπορεί να ξεκινήσει η επίθεση. Στο πιο απαισιόδοξο σενάριο, ένα απλό MMS με επιβλαβή κώδικα μπορεί να ξεκινήσει τα πάντα. Ακόμη και ας μην το ανοίξει ο χρήστης, η συσκευή μπορεί να έχει ήδη ξεκινήσει να δέχεται επίθεση, ακόμη και χωρίς να το αντιληφθεί καθόλου.

 

Άλλα exploits όπως το Android Installer Hijacking, FakeID καθώς και root exploits όπως τα TowelRoot και PingPong απαιτούν σε ένα βαθμό την αλληλεπίδραση με το χρήστη για να ξεκινήσουν τις διεργασίες τους. Ωστόσο αυτό που καθιστά το Stagefright εξαιρετικά σοβαρή απειλή, είναι ότι απαιτεί μόνο τον αριθμό τηλεφώνου του χρήστη προκειμένου να ξεκινήσει η επίθεση. Ο Adrian Ludwi, επικεφαλής της ομάδας ασφαλείας του Android έδωσε ορισμένες επεξηγήσεις σχετικά με την απειλή:

« Είναι εξαιρετικά συνηθισμένη μια λανθασμένη αντίληψη του κόσμου, ότι οποιοδήποτε bug λογισμικού μπορεί να μετατραπεί σε security exploit. Στη πραγματικότητα, τα περισσότερα bugs δεν είναι exploitable και εμείς έχουμε κάνει πάρα πολλά από την μεριά μας για να συνεισφέρουμε σε αυτήν την κατεύθυνση. Μια λίστα με αυτές τις νέες τεχνολογίες που έχει ενσωματώσει το Android από την Ice Cream Sandwich (Android 4.0) μπορεί να βρεθούν εδώ. Το πιο γνωστό από αυτά είναι το Address Space Layout Randomization (ASLR) το οποίο έχει ολοκληρωθεί πλήρως στην Android 4.1 με υποστήριξη για PIE (Position Independent Executables) που βρίσκεται σε πάνω από το 85% των Android συσκευών. Φυσικά δεν αναιρεί τη σοβαρότητα που έχει το Stagefright σαν απειλή. »

 

Το Stagefright υπογραμμίζει τα προβλήματα κατακερματισμού του Android και τον προβληματικό τρόπο διάθεσης των ενημερώσεων.

 

Το ζήτημα των αναβαθμίσεων

 

Μιλώντας για αναβαθμίσεις να εξαίρουμε αρχικώς την προσπάθεια που καταβάλλουν οι κατασκευαστές για να παρέχουν ενημερώσεις ασφαλείας όταν αυτές απαιτηθούν. Έχουν δεσμευθεί μάλιστα να βελτιώσουν τον τρόπο με τον οποίο γίνεται η διάθεση των ενημερώσεων για exploits σαν αυτά του Stagefright. Η πρώτη εταιρεία η οποία προέβη σε επίσημο δημόσιο σχολιασμό για την απειλή ήταν η Google η οποία υποσχέθηκε μηνιαίες αναβαθμίσεις για τις περισσότερες συσκευές Nexus, συμπεριλαμβανομένης και της Nexus 4, που αριθμεί ήδη τρία χρόνια στην αγορά.

 

Η Samsung επίσης υποσχέθηκε την κυκλοφορία μηνιαίων αναβαθμίσεων και την υιοθέτηση ενός ολοκληρωμένου προγράμματος αναβαθμίσεων ασφαλείας, αλλά δεν αναφέρθηκε συγκεκριμένα σε συσκευές ούτε σε κάποιο χρονικό πλαίσιο υλοποίησης. Άκρως ενδιαφέροντα όλα τα παραπάνω γιατί συγκλίνουν σε μια Fast Track προσέγγιση στις αναβαθμίσεις ασφαλείας, έναν τομέα στον οποίο πάσχει σημαντικά το Android. Επίσης στο πρόγραμμα θα ενταχθούν και κατασκευαστές όπως LG, Sony και Motorola με την τελευταία να δηλώνει ότι όλες οι συσκευές της από το 2013 θα δεχθούν αναβαθμίσεις.

 

Τα προβλήματα του Android που ανέδειξε το Stagefright

 

Το Stagefright αποτέλεσε μια καλή ευκαιρία υπενθύμισης σε όλους μας των προβλημάτων που έχει το Android, με τον κατακερματισμό του και την προβληματική διάθεση ενημερώσεων. Υπογραμμίζει το γεγονός ότι δεν υπάρχει μια συστηματική μέθοδος διάθεσης ενημερώσεων ασφαλείας, μια μέθοδος η οποία θα εξασφαλίζει την σταθερή παροχή ενημερώσεων έναντι ζητημάτων ασφαλείας που προκύπτουν. Αν και οι κατασκευαστές προσπαθούν από την μεριά τους να διαθέσουν τέτοιου είδους ενημερώσεις, η αλήθεια είναι ότι αυτές θα περιοριστούν μόνο στις νέες flagship συσκευές. Οι υπόλοιπες συσκευές, πόσο μάλλον από λιγότερους γνωστούς κατασκευαστές, θα συνεχίσουν να είναι εκτεθειμένες σε σοβαρές απειλές, όπως το Stagefright.

 

Τι μας δίδαξε το Stagefright; Στην ουσία προσέλκυσε το ενδιαφέρον μας στη διαδικασία αναβαθμίσεων του Android με τα σημαντικά προβλήματα που αυτή παρουσιάζει, ενώ παράλληλα μας κάνει να διατυπώσουμε με ασφάλεια την άποψη, ότι δεν θα προτιμηθεί από enterprise καταναλωτές, που αυτό που επιζητούν είναι η αυξημένη ασφάλεια. Καθώς η Google εργάζεται για την πιο ευρεία αποδοχή του στον επιχειρηματικό κόσμο, είναι γεγονός ότι θα πρέπει να επανεξετάσει την στρατηγική της στη διάθεση ενημερώσεων αλλά και τα περιθώρια ελέγχου των κατασκευαστών του Android. Ίσως στο μέλλον η Google περιορίσει τις αλλαγές που θα μπορούν να κάνουν οι κατασκευαστές στο AOSP. Ίσως με το RRO framework να είναι λειτουργικό στην Android M, η εταιρεία να περιορίσει τους κατασκευαστές σε αισθητικές αλλαγές μόνο. Αυτό θα δώσει τη δυνατότητα για γρηγορότερη διάθεση ενημερώσεων αλλά θα στερήσει από τους OEMs τη δυνατότητα πλήρους παραμετροποίησης του λογισμικού.

 

Ένας άλλος τρόπος που θα μπορούσε να δώσει μια, έστω και προσωρινή λύση στο πρόβλημα, είναι να καταστεί απαιτητό για όλες τις συσκευές που θα καταφθάσουν με το Google Play Store να απαιτούν την εγκατάσταση συχνών ενημερώσεων ασφαλεία; για κάποιο συγκεκριμένο χρονικό διάστημα, περίπου δυο χρονών. Το Play Services framework θα μπορούσε να χρησιμοποιηθεί για να ελέγχεται συχνά αν υπάρχουν νέες ενημερώσεις ασφαλείας, με την πρόσβαση στο Google Play να σταματά αν αυτές δεν εγκατασταθούν.

 

Αντί επιλόγου

 

Μέχρι και τη στιγμή συγγραφής αυτού του άρθρου δεν έχει γίνει γνωστός ένα τρόπος με τον οποίο οι συσκευές θα μπορούν να προστατευθούν αποτελεσματικά έναντι του Stagefright. Η πληθώρα των Android συσκευών που κυκλοφορούν στην αγορά, δεν μας επιτρέπει να γνωρίζουμε το βαθμό στον οποίο είναι διασφαλισμένη η κάθε μια συσκευή έναντι του Stagefright. Αποτελεσματική κρίνεται η ανάγκη η Google να επανεξετάσει τον τρόπο με τον οποίο κυκλοφορούν οι ενημερώσεις, καθώς ο υπάρχων τρόπος σίγουρα δεν είναι ο καλύτερος.

 

Επιμέλεια jisr7 με πληροφορίες από XDA Developers

Μέχρι το επόμενο blog post, Stay Myphoned !

Edited October 5, 2015 by Mythozz

[charlie_pace4]

Το μεγάλο πρόβλημα έγκειται ακριβως στο γεγονός ότι από την αρχή της εμπορικής διάθεσης του Android οι αναβαθμίσεις δεν εξαρτώταν από ένα μέρος αλλά από πολλά.

η Google να την δώσεις στους OEM, οι OEM στους παρόχους, οι πάροχοι στους καταναλωτές. κάπου εκεί χάνεται η μπάλα.

Η λύση είναι ο επαναπροσδιορισμός της διαδικασίας αυτης και η εύρεση μιας λύσης στο κομμάτι αυτό, με την Google να έχει μεγαλύτερο έλεγχο και να μπορεί να δίνει απευθείας αναβαθμίσεις ασφαλείας στις συσκευές, κάνοντας στην άκρη τους άλλους δύο. Το μπορεί να γίνει αυτό είναι θέμα των μηχανικών της Google και θεωρώ ότι αν δεν γίνει αυτό, δύσκολα δεν θα έχουμε ανάλογα προβλήματα στο μέλλον. Είναι σημαντικό ότι μεγάλοι κατασκευαστές υπόσχονται αναβαθμίσεις ασφαλείας σε τακτά χρονικά διαστήματα , αλλά μαλλον θα δούμε στην πράξη προβλήματα σε αυτήν την διαδικασία.

[kurkosdr]

Ευτυχώς που το exploit είναι ακόμα proof of concept.

 

Επίσης, θεωρώ απαράδεκτο οι κατασκευαστές να πουλάνε "known defective" τηλέφωνα στα μαγαζιά, δηλαδή που δεν μπορεί ο χρήστης να τα κανει patch.

[Androides]

Τί άλλαξε ακριβώς ρε παιδιά;

[kurkosdr]

Τί άλλαξε ακριβώς ρε παιδιά;

 

Το ότι όλοι νομιζαν ότι τα exploits στο OS και τις βιβλιοθήκες του είναι αποκλειστικό προνόμιο των windows, και οτι στο android αρκεί να κάνεις update το chrome app, ενώ τώρα δεν το νομίζουν πλεον.

 

Συν το οτι όλοι νόμιζαν ότι ASLR + sandboxing σήμαινε ικανοποιητική αμυνα απέναντι στα exploits (στην πραγματικότητα το ASLR του Android 32bit είναι μόλις 8bit και γίνεται bruteforce σε 5 δευτερόλεπτα, ενω ακομα και με sandboxing το exploit payload αποκτα όλα τα permissions της εφαρμογής που κάλεσε το stagefright συν ότι άλλο αρπάξει απο ηδη γνωστα privildge escalation bugs σε ορισμένες εκδόσεις android).

[impreza_sti]

Διαγράφηκαν ποστ. Υπενθυμίζω ότι το trolling απαγορεύεται όπως επίσης απαγορεύονται οι προσβολές προς άλλα μέλη.

[GreekDragon]

Η Samsung θα βοηθαει απο το S4 και μετα.. Τα s3,s2,s1 γινανε μαλλια κουβαρια.. ετσι δεν ειναι σαμμυ μου;

Στο θεμα μας... το stagefright πως μπορειε να μαθεις ΠΩΣ να κανεις επιθεση στο κινητο σου εστω για δοκιμη;

[ttheodorou]

Η Samsung θα βοηθαει απο το S4 και μετα.. Τα s3,s2,s1 γινανε μαλλια κουβαρια.. ετσι δεν ειναι σαμμυ μου;

Στο θεμα μας... το stagefright πως μπορειε να μαθεις ΠΩΣ να κανεις επιθεση στο κινητο σου εστω για δοκιμη;

 

google it??? πέρα απο την πλάκα stagrfight μπορείς να φάς επίθεση από τα πάντα. mms, σελίδα στο inteneret, apps, ταινία μουσική... τα πάντα όλα. οπότε ψάξε βρες κανένα video αρχείο που να είναι μολυσμένος και δοκίμασε.

[kosnic2]

Ο τίτλος του άρθρου δεν έχει σχέση με την πραγματικότητα,δεν άλλαξε τίποτα απολύτως!

Αυτό που κατάλαβα εγώ που δεν έχω καμία σχέση με προγραμματισμο κ.τ.λ. είναι ότι αυτό το κενό ασφαλείας του Android υπάρχει και θα συνεχίσει να υπάρχει λόγο ότι οι συσκευές δεν αναβαθμιζονται πάρα μόνο οι ναυαρχίδες και αυτές όχι για πολύ και για αναβαθμίσεις μετρημένες στα πρώτα τρία δάχτυλα του χεριού μας!

Μέχρι να δίνει η Google απευθείας τις αναβαθμίσεις του λογισμικού έχουμε πολύ δρόμο και αν γίνει κάποτε!

[charlie_pace4]

Ο τίτλος του άρθρου δεν έχει σχέση με την πραγματικότητα,δεν άλλαξε τίποτα απολύτως!

Αυτό που κατάλαβα εγώ που δεν έχω καμία σχέση με προγραμματισμο κ.τ.λ. είναι ότι αυτό το κενό ασφαλείας του Android υπάρχει και θα συνεχίσει να υπάρχει λόγο ότι οι συσκευές δεν αναβαθμιζονται πάρα μόνο οι ναυαρχίδες και αυτές όχι για πολύ και για αναβαθμίσεις μετρημένες στα πρώτα τρία δάχτυλα του χεριού μας!

Μέχρι να δίνει η Google απευθείας τις αναβαθμίσεις του λογισμικού έχουμε πολύ δρόμο και αν γίνει κάποτε!

 

κι όμως το άλλαξε. στα μάτια των χρηστών και κυρίως των εταιρειών, που αν πριν ήταν μια φορά επιφυλακτικοί για την ασφάλεια στο Android, τώρα θα είναι περισσότερες.

η συγκεκριμένη ευπάθεια κινητοποίησε τις μεγάλες εταιρείες να υποσχεθούν περισσότερες αναβαθμίσεις ασφαλείας (μένει να το δούμε στην πράξη) ενώ δεν αποκλείεται στο μέλλον να δούμε περισσότερες ενέργειες από την Google στον τρόπο διαχείρισης του θέματος της ασφάλειας

[Cyber_Spartacus]

παντως η SONY μετα την τελευταια αναβαθμηση που εκανε στο Ζ2 κατι εκανε στο θεμα αυτο

 

δεν ξερω γιατι δεν τα κανει resize ενας mod ας το κανει παρακαλω ευχαριστω

 

 

https://dl.pushbulletusercontent.com/pWiOSuoiaFGZm0TCaCE4cfWdwZz0DIAF/Screenshot_2015-10-04-17-41-29.png

https://dl.pushbulletusercontent.com/34IoGFL2LOT1xQm1FmpZn1njF2VEPXKo/Screenshot_2015-10-04-17-39-23.png

https://dl.pushbulletusercontent.com/zCipVTgYCLDwQ3SAwenmgQDfBL1ccVMI/Screenshot_2015-10-04-17-38-31.png

Edited October 4, 2015 by charlie_pace4
αφαίρεση [img] λόγω υπερβολικά μεγάλων φωτογραφιών

[ShevaGR]

Εγώ με rom 5.1.x δεν είμαι vulnerable.

 

Αλλά γενικά η λογική που αναφέρει ο OP σχετικά με το ότι το ανοιχτό λογισμικό είναι δίκοπο μαχαίρι και ότι το αρνητικό είναι η ασφάλεια είναι λάθος.

 

Και είναι κάτι το οποίο ακούω και διαβάζω πολύ συχνά από πολλούς.

 

Μία από τις βασικές αρχές της ασφάλειας είναι ότι δεν πρέπει να βασίζεσαι στον κλειστό κώδικα για ασφάλεια.

[Brainmorf]

Για τέτοια σημαντικά θέματα ασφαλείας , καλό θα είναι η Google να παρακάμπτει τις εταιρίες που εμπλέκονται και να δίνει τα update από το play services κατευθείαν ( αν γίνεται βέβαια ).

[tron13]

Δεν το διαβασα ολο το αρθρο, σταμάτησα στην εισαγωγη.

Το οτι ειναι ανοιχτού κώδικα το κάνει πιο ευάλωτο; απο που και ως που κάτι τέτοιο;

Σαν να λέμε οτι τα Windows ειναι πιο ΑΣΦΑΛΕΣ περιβάλλον απο το Unix/linux γιατί ειναι κλειστού κώδικα...

[aiolos]

Το stagefright άλλαξε το android για πάντα.... :wacko: Sensationalism στα καλύτερα του. Ο συγγραφέας έχει μπροστά του μεγάλη καριέρα σαν συγγραφέας πολιτικών λόγων. ;)

[bill79]

Εμένα μου το βγάζει ευάλωτο παρόλο που έχω βάλει το τελευταίο update της Sony (23.4.A.1.200).

 

Και δηλαδή το μονο που μπορώ να κάνω είναι να απενεργοποιήσω την αυτόματη ανάκτηση ΜΜS για να προστατευθω; Άσε που το έκανα και δεν άλλαξε τίποτα...

[ttheodorou]

Εμένα μου το βγάζει ευάλωτο παρόλο που έχω βάλει το τελευταίο update της Sony (23.4.A.1.200).

 

Και δηλαδή το μονο που μπορώ να κάνω είναι να απενεργοποιήσω την αυτόματη ανάκτηση ΜΜS για να προστατευθω; Άσε που το έκανα και δεν άλλαξε τίποτα...

 

το κενό υπάρχει είτε έχεις ενεργοποιημένα τα mms είται όχι. απλά όταν είναι απενεργοποιημένα δεν μπορείς να μολυνθείς απο mms αλλά μόνο απο σελίδες στο internet/apps/αρχεία βίντεο!

[orlox]

Miui, cyanogen ειχαν patched το vunerability πολύ νωρις. To cm έχει και crypto. προς τα εκει πρεπει να κατευθυνθει η google. Τι στο καλο; 100 drivers ειναι ολοι και ολοι για android? ας τα στελνουν πακετο στη google να τα περναει απ ευθειας

[neo24gr]

αλλη μια ******** για να κανουν τους μικρους και ανιδεους να τρεχουν να αλλαξουν της << παλιες >> συσκευες τους με νεες που να παιρνουν λολιποπ και ανω... Edited October 5, 2015 by impreza_sti
Αφαίρεση άσεμνων εκφράσεων

[vriz27]

Εμένα μου το βγάζει ευάλωτο παρόλο που έχω βάλει το τελευταίο update της Sony (23.4.A.1.200).

 

Και δηλαδή το μονο που μπορώ να κάνω είναι να απενεργοποιήσω την αυτόματη ανάκτηση ΜΜS για να προστατευθω; Άσε που το έκανα και δεν άλλαξε τίποτα...

 

ηδη εχει βγαλει η sony νεο update .232 που επιτελους κλεινει αυτην την τρυπα

[liberostelios]

η Google να την δώσεις στους OEM, οι OEM στους παρόχους, οι πάροχοι στους καταναλωτές. κάπου εκεί χάνεται η μπάλα.

Η λύση είναι ο επαναπροσδιορισμός της διαδικασίας αυτης και η εύρεση μιας λύσης στο κομμάτι αυτό, με την Google να έχει μεγαλύτερο έλεγχο και να μπορεί να δίνει απευθείας αναβαθμίσεις ασφαλείας στις συσκευές, κάνοντας στην άκρη τους άλλους δύο.

Η λύση είναι να σοβαρευτούν Google και OEM και να συνεργαστούν για το λειτουργικό. Το πρόβλημα είναι ότι το Android δεν ήταν ποτέ ένα τυπικό open source project στο οποίο υπήρχαν συνεργατικές ενέργειες έστω από μια κλειστή ομάδα οργανισμών που αποφασίζουν γι αυτό, αλλά αντιθέτως ήταν αμειγώς ένα Google Project που τυγχάνει να διατίθεται υπό άδεια ανοικτού κώδικα.

 

Θα έπρεπε, λοιπόν, η Google να αποφασίσει να ανοίξει περισσότερο το AOSP, αν όχι στο κοινό τότε τουλάχιστον στους κατασκευαστές οι οποίοι, με τη σειρά τους, θα πρέπει να συμβάλουν πιο ενεργά στην ανάπτυξή του. Αν, πχ., η Samsung δεν είναι απλός αποδέκτης ενός κώδικα που θα πρέπει να το μεταφέρει στις συκευές της, αλλά συμβάλει ενεργά στις αποφάσεις και στην ανάπτυξη του λειτουργικού, τότε θα είναι έτοιμη να ενημερώσει τις συσκευές τις ακριβώς όπως κάνει η Google με τα Nexus.

 

Το σίγουρο είναι ότι όσο περνάει ο καιρός, η Google αποπροσανατολίζεται όλο και περισσότερο. Το Android έχει καταντήσει ένα abstract framework ανοικτού κώδικα με σχεδόν αποκλειστικό σκοπό τη φιλοξενεία των Google services.

[bill79]

Σήμερα τσέκαρα δυο s6 edge με την 5.1.1 εγκατεστημένη. Πώς γίνεται το ενα να το εμφανίζει ευάλωτο και το αλλο όχι;

[charlie_pace4]

μηπως δεν εχουν το ιδιο build?

[bill79]

το Build δεν το τσεκαρα (και δε γινοταν να το θυμαμαι απ' εξω) αλλα ειναι και τα δυο ελληνικα με τις τελευταιες ΟΤΑ αναβαθμισεις.