亚博集团

有关旧版谷歌AndroidWebview组件中未修补漏洞的文章

  大家都听说了最近引起风暴的“突发新闻”:Google拒绝发布数百万个设备的安全更新。哇。听起来真的很糟糕。但这真的像它最初看起来那样令人震惊吗?继续阅读,以更清楚地了解此处发生的情况。首先,让我们回顾一下究竟是什么开始了这场辩论。2014年12月29日,巴基斯坦安全顾问Rafay Baloch发表了一篇有关旧版Google Android Webview组件中未修补漏洞的文章。确切地说,概念验证漏洞可在4.4 Kitkat之前的Android版本上使用。两周后的2015年1月12日,安全研究员Tod Beardsley 发表了一篇文章, 揭露Google的安全部门无意为最近发现的漏洞开发修复程序。一般来说,他们声称受影响的Webview版本太旧,无法自己解决该问题,而是坚持要求报告者创建补丁,以便可以将其推送到AOSP上游源。

  那么,这一难以理解的举动背后的官方理由是什么?根据Beardsley的说法,Google不再对包括Android浏览器(您知道的是旧浏览器,而不是Android的Chrome)在内的新设备进行认证。在Android 4.4 Kitkat中,Google切换到了新的基于铬的Webview,并摆脱了旧的易受攻击的代码。这完全符合一年前泄露的政策,该政策 详细介绍了针对新设备的Google移动服务认证的批准窗口。

  简而言之,这项政策要求OEM使用最新的Android版本或其直接的前身(新版本发布后约9个月的时间),但不允许他们在新设备上运送任何较旧的产品。根据泄漏,任何基于Jellybean的版本的批准窗口均已于2014年7月31日结束,这意味着您不会在Jellybean上看到任何带有Google服务的新设备,因此不会看到带有旧浏览器和Webview组件的新设备。

  好的,但是现有设备呢?泄露的政策显然不会将更新限制在市场上已经存在的设备上,而这正是问题开始出现的地方。当在AOSP代码中发现安全问题时,Google会定期对其进行修复,以便OEM可以将修复程序纳入其源中,并迟早将更新推送到其设备。现在,如果Google的上游修复程序没有出现怎么办?这些设备是否必须永远保持不受保护的状态?当然不是。Google不是唯一能够解决这些问题的公司,但OEM厂商也可以。

  显然,这需要制造商的干预,但是Google确实声明他们将把安全问题通知其合作伙伴(阅读OEM)。因此,实际上,负责人已意识到问题所在,可以针对此漏洞启动自定义修复程序。现在,让我们暂时假设Google 确实 提供了补丁,这意味着什么?解决了AOSP代码中的问题后需要做什么?

  首先,Google需要通知OEM已有新的安全补丁,并将它们链接到更改集。将修复程序合并到设备特定的代码库中后,制造商还需要创建一个更新包,该更新包需要进行质量检查。如果是运营商品牌的设备,则完成的更新需要运营商批准,其中包括更多的开发和更多的测试。

  相当复杂,不是吗?这就是为什么您看不到旧设备的许多系统更新的原因。因此,即使有与安全相关的错误修复,也无法保证OEM会在您的设备更新中实际发布该修复,但整个过程太复杂且耗时,他们无法获利。

  Google完全意识到了这个问题,并且无法及时将安全更新推送到关键的系统组件(例如Webview)。这就是为什么Android 5.0 Lollipop的众多重要更改之一就是将Webview代码拆分为一个单独的程序包。用户不会看到任何区别,但是对于Google而言,这意味着他们可以独立于任何其他系统组件来更新此部分。实际上,他们可以通过Play商店推送更新,而完全绕开了任何OEM或运营商的认证。因此,是的,Google确实关心较旧的Android版本中涉及快速安全更新的设计缺陷,并尝试在每个主要的Android版本中进行改进。

  因此,我们来总结一下:Google是否应为没有提供补丁而怪罪于此?是的,绝对,他们对用户的安全负责。是Google 唯一应责的人吗?不,绝对不是,因为OEM负有同等的责任来保持其设备的最新性和安全性。即使没有来自Google的意见,如果用户的安全受到威胁,制造商仍然可以开发自定义修复程序。面对现实,在当今针对旧版Android设备的更新政策中,大多数人无论如何都会获得安全更新的机会有多大?

  郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。

  法拉利458Italia中国限量版已经在炙手可热的中国汽车市场上正式发布

  Zoom终于通过新的本机应用程序集成赶上了MicrosoftTeams

  适用于GalaxyNexus的Android4.0.2OTA更新再次推出

  山东首家视频银行——潍坊银行视频银行正式上线年梅赛德斯 奔驰CLA首次亮相CES


亚博集团
Company Profile公司概况
企业文化
价值观
服务理念
社会责任
Link友情链接
Contact联系我们
亚博集团
总部地址:
北京市朝阳区东三环中路55号富力双子座B座1005
服务热线:010-58766318

亚博集团官网

Brand family品牌家族
  • 川成元
  • 港仔驿站
  • 夹拣成厨
  • 黔钱大师
  • 创意DIY披萨
  • 寻味香港
  • 姑姑宴
  • 金汤玉线
  • 跃界
亚博集团

版权所有 2006-2016 为之味()
COPYRIGHT © 2006-2016 网站地图 ALL RIGHTS RESERVED.