System operacyjny Android znajdziemy na przeważającej większości smartfonów wykorzystywanych na świecie. Otwartoźródłowe oprogramowanie udostępniane przez Google na zasadzie licencji Open Source można zainstalować praktycznie na każdym sprzęcie.

Android jest idealnym przykładem oprogramowania z otwartym kodem źródłowym, z wszystkimi wadami i zaletami tego rozwiązania. Z jednej strony możemy się cieszyć różnorodnością sprzętów, możliwością dostosowania oprogramowania do własnych potrzeb oraz brakiem konieczności opłat licencyjnych. Z drugiej strony pojawiają się problemy z kompatybilnością, rozwarstwienie systemu operacyjnego oraz luki w zabezpieczeniach.

Zobacz również:

• Użytkownicy Androida mogą się wkrótce zdziwić
• System MS-DOS wrócił po latach w postaci open source
• Galaxy AI trafi nawet na 3 letnie flagowce Samsunga

W niniejszym materiale omawiamy aktualizacje zabezpieczeń systemu operacyjnego Android i wyjaśniamy dlaczego są takie ważne dla zachowania bezpieczeństwa.

Czym są aktualizacje zabezpieczeń systemu operacyjnego Android?

Firma Google co jakiś czas wydaje na rynek nową wersję systemu operacyjnego Android, która wprowadza mnóstwo nowych funkcji. Premiera nowych wersji Androida odbija się szerokim echem w mediach, a producenci prześcigają się w udostępnianiu planów aktualizacji do nowej wersji.

Dużo mniej mówi się o bieżącym wsparciu i aktualizowaniu zabezpieczeń sprzętu pracującego pod kontrolą Androida. Podobnie jak w przypadku systemów dektopowych - Windows, macOS czy Linux, firma Google wydaje dodatkowe aktualizacje mające podnosić poziom bezpieczeństwa oprogramowania. Nazywają się one aktualizacjami zabezpieczeń lub biuletynami bezpieczeństwa. Przez producentów urządzeń z Androidem określane są również jako poziomy poprawek zabezpieczeń systemu operacyjnego Android.

Aktualizacje zabezpieczeń wydawane są przez firmę Google raz w miesiącu, ale to od producentów sprzętu zależy, czy i kiedy zaimplementują oni je w swoich urządzeń. Szczegółowe informacje można znaleźć w politykach aktualizacji. Większość renomowanych producentów zapewnia co najmniej 2 lata poprawek zabezpieczeń. W przypadku sprzętu firmy Samsung możemy liczyć nawet na 5 letnie wsparcie, które najpierw obejmuj comiesięczne, a później co kwartalne lub półroczne udostępnianie łatek.

Aktualizacje podnoszące poziom zabezpieczeń to niewielkie paczki, które w zależności od urządzenia ważą od kilkudziesięciu do maks 300-400 MB. Same z siebie nie wprowadzają one żadnych nowych funkcjonalności.

Co istotne łatki zabezpieczeń są całkowite niezależne od wersji systemu operacyjnego. Oznacza to, że urządzenia pracujące pod kontrolą starszych wersji systemu operacyjnego Android nadal mogą dostawać najnowsze poprawki zabezpieczeń. Dobrym tego przykładem są starsze flagowce Samsunga. Rodzina Galaxy S10 nie otrzymała aktualizacji do Androida 13, ale nadal otrzymuje poprawki zabezpieczeń. Również smartfony, które oczekują na nowe wydania Androida w międzyczasie otrzymują nowe poprawki zabezpieczeń.

Dlaczego poprawki zabezpieczeń są kluczowe dla zapewnienia bezpieczeństwa?

Aktualizacje zabezpieczeń z pozoru wydają się mało znaczące. To niewielkie aktualizacje, które nie wpływają bezpośrednio na funkcjonalność oraz sposób działania urządzeń.

Android jako stale rozwijane oprogramowanie z otwartym kodem źródłowym posiada wiele mniejszych lub większych luk, które przez wiele miesięcy nie są wykrywane. W historii wielokrotnie zdążały się luki, które znacząco naruszały bezpieczeństwo systemu operacyjnego i jego użytkowników umożliwiając np. zdalne przejęcie dostępu do urządzenia.

Ze względu na ogromną fragmentację systemu operacyjnego Android (bardzo niewielka ilośc urządzeń pracuje pod kontrolą aktualnych wydań) firma Google wydaje łatki zabezpieczeń, których celem jest chronienie urządzeń nowymi zagrożeniami. Każdorazowe wydanie łatki zabezpieczeń firma Google dokumentuje na swoich stronach informując, jakie luki w systemie operacyjnym zostały załatane.

Łatki zabezpieczeń są z punktu bezpieczeństwa znacznie ważniejsze od aktualizacji Androida do nowszej wersji, co dzieje się maksymalnie dwa razy do roku. To zbyt krótki okres czasu, aby pomiędzy nowymi wydaniami systemu operacyjnego, zadbać o bezpieczeństwo użytkowników. Dodatkowo łatki zabezpieczeń przez wybranych producentów traktowane są również jako dobra okazja do wprowadzenia innych ulepszeń, aktualizacji sterowników lub aplikacji systemowych.

Co istotne ze względu na otwartość systemu operacyjnego producenci sprzętu mogą dodawać kod zastrzeżony jedynie dla ich urządzeń. Pozwala on uruchomić nowe funkcje lub dodać specjalne aplikacje czy zmodyfikować wygląd, ale może również narażać dodatkowo na niebezpieczeństwa. Producenci sprzętu przy okazji aktualizacji zabezpieczeń mogą dodawać swoje łatki specyficzne dla ich urządzeń.

Praktyczne przykłady zastosowania łatek zabezpieczeń w systemie operacyjnym Android

Na przestrzeni ostatnich lat łatki zabezpieczeń systemu operacyjnego Android pozwoliły uchronić użytkowników urządzeń z tym systemem operacyjnym przed wieloma atakami. Poniżej przypominamy kilka największych luk w zabezpieczeniach Androida, które zostały załatane biuletynami zabezpieczeń.

• The StrandHogg Flaw - 2019 rok

Luka StrandHogg pozwalała podszywać się pod aplikacje wgrane na urządzeniu w celu kradzieży danych. Luka ta spowodowała dodanie wielu finckji ochrony prywatności i bezpieczeństwa w nowszych wersjach Androida.

• BlueBorne - 2017 rok

W 2017 roku załatano poważną lukę w zabezpieczeniach, która pozwalała na przejęcie dostępu do ustawień Bluetooth i wykorzystanie tego typu łączności do parowania wszelkiego rodzaju urządzeń pozostających w zasięgu atakowanego sprzętu.

• QuadRooter - 2016 rok

W 2016 roku zidentyfikowano ważną lukę w zabezpieczeniach, która dotknęła około miliarda urządzeń z układami firmy Qualcomm. Luka pozwalała na uzyskanie dostępu do uprawnień root i całkowite przejęcie dostępu do urządzenia.

Organizacje powinny wybierać urządzenia z terminowymi aktualizacjami zabezpieczeń

Powyższe przykłady obrazują znaczenie aktualizacji zabezpieczeń systemu operacyjnego Android. Urządzenia wykorzystywane w organizacji powinny podlegać regularnym aktualizacjom zabezpieczeń. Wybierając nowy sprzęt warto dokładnie sprawdzać politykę aktualizacji producentów i decydować się na sprzęt z długim wsparciem. W biznesie aktualizacje zabezpieczeń powinny być ważniejsze od minimalnie wydajniejszego procesora czy większej ilości pamięci masowej.