Một số oems android bị phát hiện nói dối về các bản vá bảo mật [cập nhật]

Cập nhật, ngày 13 tháng 4: Google đã đưa ra tuyên bố sau cho Verge:

Chúng tôi xin cảm ơn Karsten Nohl và Jakob Kell vì những nỗ lực liên tục của họ để củng cố tính bảo mật của hệ sinh thái Android. Chúng tôi đang làm việc với họ để cải thiện các cơ chế phát hiện của họ để giải quyết các tình huống trong đó thiết bị sử dụng bản cập nhật bảo mật thay thế cho bản cập nhật bảo mật được đề xuất của Google. Cập nhật bảo mật là một trong nhiều lớp được sử dụng để bảo vệ người dùng và thiết bị Android. Bảo vệ nền tảng tích hợp, chẳng hạn như hộp cát ứng dụng và dịch vụ bảo mật, như Google Play Protect, cũng quan trọng không kém. Các lớp bảo mật này kết hợp với sự đa dạng to lớn của hệ sinh thái Android, góp phần vào kết luận của các nhà nghiên cứu rằng việc khai thác từ xa các thiết bị Android vẫn còn nhiều thách thức.

Các bản vá bị thiếu chắc chắn làm cho điện thoại của bạn dễ bị tổn thương hơn so với các bản cập nhật, nhưng ngay cả như vậy, điều đó không có nghĩa là bạn hoàn toàn không được bảo vệ. Các bản vá hàng tháng chắc chắn có ích, nhưng có các biện pháp chung để đảm bảo rằng tất cả các điện thoại Android đều có một số mức độ bảo mật nâng cao.

Mỗi tháng một lần, Google cập nhật Bản tin bảo mật Android và phát hành các bản vá mới hàng tháng để sửa các lỗ hổng và lỗi ngay khi chúng bật lên. Không có gì bí mật rằng nhiều OEM chậm cập nhật phần cứng của họ với các bản vá đã nói, nhưng giờ đây người ta phát hiện ra rằng một số người trong số họ tuyên bố đã cập nhật điện thoại của họ khi thực tế không có gì thay đổi.

Tiết lộ này được thực hiện bởi Karsten Nohl và Jakob Lell từ Phòng thí nghiệm nghiên cứu bảo mật, và những phát hiện của họ gần đây đã được trình bày tại hội nghị bảo mật Hack in the Box năm nay tại Amsterdam. Nohl và Lell đã kiểm tra phần mềm của 1200 điện thoại Android từ Google, Samsung, OnePlus, ZTE và những người khác, và khi làm như vậy, thấy rằng một số công ty này thay đổi giao diện bản vá bảo mật khi cập nhật điện thoại của họ mà không thực sự cài đặt chúng.

Galaxy J3 của Samsung từ năm 2016 tuyên bố có 12 bản vá mà không được cài đặt trên điện thoại.

Một số bản vá bị bỏ lỡ dự kiến ​​sẽ được thực hiện một cách tình cờ, nhưng Nohl và Lell đã bắt gặp một số điện thoại nhất định nơi mọi thứ không được thêm vào. Ví dụ, trong khi Galaxy J5 của Samsung từ năm 2016 đã liệt kê chính xác các bản vá mà nó có, J3 từ cùng năm dường như có mọi bản vá duy nhất kể từ năm 2017 mặc dù thiếu 12 trong số chúng.

Nghiên cứu cũng tiết lộ rằng loại bộ xử lý được sử dụng trong điện thoại có thể có tác động đến việc liệu nó có được cập nhật với một bản vá bảo mật hay không. Các thiết bị có chip Exynos của Samsung được phát hiện có rất ít bản vá bị bỏ qua, trong khi đó các thiết bị có MediaTek trung bình có 9, 7 bản vá bị thiếu.

Sau khi chạy qua tất cả các điện thoại trong thử nghiệm của họ, Nohl và Lell đã tạo ra một biểu đồ phác thảo có bao nhiêu bản vá lỗi OEM nhưng vẫn tuyên bố đã cài đặt. Các công ty như Sony và Samsung chỉ bỏ lỡ từ 0 đến 1, nhưng TCL và ZTE bị phát hiện bỏ qua 4 hoặc nhiều hơn.

• Bản vá lỗi 0-1 (Google, Sony, Samsung, Wiko)
• 1-3 bản vá lỗi bị bỏ lỡ (Xiaomi, OnePlus, Nokia)
• 3-4 bản vá bị bỏ lỡ (HTC, Huawei, LG, Motorola)
• Hơn 4 bản vá bị bỏ lỡ (TCL, ZTE)

Ngay sau khi những phát hiện này được công bố, Google cho biết họ sẽ mở các cuộc điều tra về từng OEM có tội để tìm hiểu chính xác điều gì đang xảy ra và tại sao người dùng lại bị lừa về những bản vá nào họ làm và không có.

Ngay cả với những gì đã nói, những gì bạn có về điều này? Bạn có ngạc nhiên trước tin tức này không, và điều này có ảnh hưởng đến điện thoại bạn mua trong tương lai không? Tắt âm thanh ở bình luận dưới đây.

Tại sao tôi vẫn sử dụng BlackBerry KEYone vào mùa xuân 2018