Vissa Android-oem upptäcktes ligga om säkerhetsfixar [uppdatera]

Uppdatering 13 april: Google har gett följande uttalande till kanten:

Vi vill tacka Karsten Nohl och Jakob Kell för deras fortsatta ansträngningar för att stärka Android-ekosystemets säkerhet. Vi arbetar med dem för att förbättra deras upptäcktsmekanismer för att redovisa situationer där en enhet använder en alternativ säkerhetsuppdatering i stället för den föreslagna säkerhetsuppdateringen från Google. Säkerhetsuppdateringar är ett av många lager som används för att skydda Android-enheter och användare. Inbyggda plattformsskydd, som applikationssandbox, och säkerhetstjänster, som Google Play Protect, är lika viktiga. Dessa säkerhetslager - i kombination med den enorma mångfalden i Android-ekosystemet - bidrar till forskarnas slutsatser om att fjärranvändning av Android-enheter förblir utmanande.

Missade korrigeringar gör din telefon säkert mer sårbar jämfört med de som är uppdaterade, men ändå betyder det inte att du är helt oskyddad. Månatliga korrigeringar hjälper definitivt, men det finns allmänna åtgärder för att säkerställa att alla Android-telefoner har viss nivå av förbättrad säkerhet.

En gång i månaden uppdaterar Google säkerhetsbulletinen för Android och släpper nya månatliga korrigeringar för att fixa sårbarheter och buggar så snart de dyker upp. Det är ingen hemlighet att många OEM-tillverkare är långsamma med att uppdatera sin hårdvara med nämnda korrigeringar, men det har nu upptäckts att några av dem påstår sig ha uppdaterat sina telefoner när faktiskt ingenting har ändrats alls.

Denna uppenbarelse gjordes av Karsten Nohl och Jakob Lell från Security Research Labs, och deras resultat presenterades nyligen vid årets Hack in the Box-konferensen i Amsterdam. Nohl och Lell undersökte programvaran för 1200 Android-telefoner från Google, Samsung, OnePlus, ZTE och andra och fann då att några av dessa företag ändrar säkerhetsuppdateringen när de uppdaterade sina telefoner utan att installera dem.

Samsungs Galaxy J3 från 2016 påstod sig ha 12 patchar som helt enkelt inte var installerade på telefonen.

Några av de missade korrigeringarna förväntas göras vid en olycka, men Nohl och Lell kom över vissa telefoner där saker bara inte lägger till. Medan Samsungs Galaxy J5 från 2016 exakt listade de korrigeringar som den hade, så verkade J3 från samma år ha varje enda patch sedan 2017 trots att de saknade 12 av dem.

Forskningen avslöjade också att den typ av processor som används i en telefon kan påverka huruvida den uppdateras med en säkerhetsuppdatering eller inte. Enheter med Samsungs Exynos-chip visade sig ha mycket få överhoppade korrigeringar, medan de med MediaTek-enheter i genomsnitt var med 9, 7 saknade korrigeringar.

Efter att ha kört igenom alla telefonerna i sin testning skapade Nohl och Lell ett diagram som beskriver hur många korrigeringar OEM som saknade men fortfarande påstod sig ha installerat. Företag som Sony och Samsung missade bara mellan 0 och 1, men TCL och ZTE visade sig hoppa över 4 eller mer.

• 0-1 missade korrigeringar (Google, Sony, Samsung, Wiko)
• 1-3 missade korrigeringar (Xiaomi, OnePlus, Nokia)
• 3-4 missade patchar (HTC, Huawei, LG, Motorola)
• 4+ missade korrigeringar (TCL, ZTE)

Strax efter att dessa fynd tillkännagavs sa Google att det skulle inleda utredningar av var och en av de skyldiga OEM-tillverkarna för att ta reda på vad som exakt händer och varför användarna ljuger om vilka korrigeringar de gör och inte har.

Även med det sagt, vad tar du på det här? Är du förvånad över nyheterna och kommer det att påverka de telefoner du köper framöver? Ljud av i kommentarerna nedan.

Varför använder jag fortfarande en BlackBerry KEYone våren 2018