Mostrar mensagens com a etiqueta Patch. Mostrar todas as mensagens
Mostrar mensagens com a etiqueta Patch. Mostrar todas as mensagens
13/05/2018

13/05/2018

Google "resolve" problema das actualizações de segurança do Android


Depois de vários anos a tentar descobrir uma forma para resolver a questão das actualizações do Android, eis que a Google saca um coelho da cartola e apresenta uma solução que promete resolver este problema, pelo menos na parte das actualizações de segurança.



No decorrer da sessão "What's new in Android security", que fez parte do programa do Google I/O, Dave Kleidermacher (Director da segurança do Android desde Janeiro passado) referiu que a Google vai passar a solicitar aos OEMs a disponibilização actualizações de forma regular (aos 2:14 do vídeo em cima).

We’ve also worked on building security patching into our OEM agreement. Now this will really lead to a massive increase in the number of devices, and users, receiving regular security patches.

E pronto, não podia ser mais simples. A Google resolveu um problema que não conseguiu solucionar durante mais dois anos de existência dos Android Security Updates. Bastava pedir, não é verdade? Os OEM, que até agora não o fizeram, vão passar a disponibilizar as actualizações de segurança a tempo e horas. Ou não.

Um pouco de história


Nada como recordarmos alguns episódios da história recente, para contextualizarmos este assunto. A Samsung antecipou-se à Google e anunciou a disponibilização de actualizações de segurança para os seus equipamentos Android. Alguns meses mais tarde, foi a Google a fazer o mesmo, anunciando a disponibilização desta actualizações para os seus Nexus durante 3 anos.

Cerca de um ano mais tarde, a Motorola vem a público informar os clientes da sua incapacidade em disponibilizar este tipo de actualizações de forma mensal, passando-o a fazer apenas quando lançasse updates de manutenção ou actualizasse a versão do Android. Como vários relatórios vieram demonstrar, não foi só a Motorola a ter esta atitude, pois outros pesos pesados como a Samsung, Huawei, Sony e LG, acabavam por fazer o mesmo. Desta forma, caía por terra a ideia que a Google tinha para este projecto.

A cereja no topo de bolo, acabou por ser a revelação do facto de algumas marcas estarem a mentir, actualizando apenas a data do patch, sem que contudo disponibilizassem as correcções para as falhas de segurança entretanto identificadas.

Google a dar o exemplo


Por forma a tornar esta questão o mais clara possível, pelo menos naquilo que diz respeito aos seus equipamentos, a Google passou a disponibilizar as datas até quando é que os mesmos vão receber updates do Android e actualizações de segurança. Os Pixel passaram a ter mais um ano de actualizações do Android, ficando agora com direito a 3 versões e ganharam também um novo tipo de updates, que visa corrigir problemas que a Google tenha detectado nos seus equipamentos.


O estado da arte

Não foi só a Google a dar um passo em frente, a OnePlus, no seu estilo atribulado, procurou estar atenta a este problema da segurança, disponibilizando actualizações para os seus smartphones. Até mesmo marcas mais pequenas, como é o caso da Elephone, têm lançado updates, quando há uns anos atrás, não o faziam.

A Nokia tem estado em grande nesta questão das actualizações, disponibilizando as mesmas para todos os seus equipamentos, se bem que com prioridades diferentes, com os topo de gama a receberem mais atenção por parte da HMD. A Huawei, inúmeras vezes acusada de descartar este assunto dos updates, tem agora uma nova postura sobre este assunto, tendo sido das primeiras marcas a lançar o Android Oreo (no caso o Mate 10 Pro). Tal como no caso da Nokia, actualizações de segurança vão chegar numa base mensal aos topo de gama e trimestralmente aos equipamentos da gama média. O mesmo fez a Samsung, com os Galaxy S, Galaxy Note e alguns equipamentos da "série A" a serem actualizados mensalmente, ficando os restantes com actualizações trimestrais de segurança. A Espanhola BQ é um pouco mais conservadora e fica-se pelos updates de segurança num prazo máximo de 90 dias para todos os seus equipamentos Android.

Intenções, não chega


Tendo em conta os dados acima apresentados, facilmente se poderá concluir que esta questão das actualizações de segurança, está dependente do entendimento que cada marca tem sobre o assunto. Nos tempos mais recentes, temos assistido a um maior empenhamento de algumas marcas, no sentido de melhorarem a sua prestação, ao mesmo tempo que vêm a público informar os seus clientes sobre quais as suas intenções, ficando claro qual o suporte que cada equipamento vai receber.

O facto de a Google passar a solicitar aos OEM a disponibilização das actualizações de segurança de uma forma regular, acaba assim por ser uma questão política, acabando por ter um impacto reduzido na resolução do problema. Fica sempre bem numa apresentação no Google I/O, mas acaba por não ter relevância em termos globais. Espera-se mais "dos pais" do Android, não bastam intenções, é necessário mais acção, sendo o Projecto Treble disso um bom exemplo.
08/11/2017

08/11/2017

Actualizações mensais de segurança passam a contar com um resumo das correcções


Já há bastante tempo que a Google disponibiliza actualizações mensais de segurança para o Android. Desde o mês passado, passou a ser disponibilizada uma versão destes patch dedicada aos smartphones, Nexus e Pixels, a qual passa a partir de agora a contar com mais uma secção: updates funcionais.
18/07/2013

18/07/2013

ReKey


No início de Julho surgiu um alerta para a vulnerabilidade "Master Key", que afectaria cerca de 99% dos dispositivos com sistemas operativos Android.


Esta vulnerabilidade permitiria a modificação do código de uma aplicação Android sem alterar a assinatura do pacote, conforme verificado pelo gestor de pacotes, o que tem sérias implicações quando se pensa em pacotes de sistema assinados.
Em termos mais simples, a vulnerabilidade descoberta permite que um "hacker" assuma o controle total do dispositivo.

A Google resolveu rapidamente o problema através de um patch para o Android Open Source Project, mas infelizmente, devido à forma como as actualizações são distribuídas pelos fabricantes dos smartphones, o mais provável é que demore meses até que o vosso equipamento receba o patch para corrigir este problema.


Para ultrapassar o problema das actualizações dos fabricantes e corrigir rapidamente esta vulnerabilidade, a Northeastern University e a Duo Security desenvolveram uma pequena aplicação, o ReKey.

O ReKey injecta um pequeno pedaço de código no framework Android que altera as classes ZipEntry e ZipFile, corrigindo assim a origem do problema.
Para além de corrigir os erros, o ReKey também instala um sistema de alerta que avisa o utilizador quando instalar um APK que tente abusar desta vulnerabilidade.
Para executar o ReKey é necessário ter root no dispositivo.


Existe uma outra app chamada Bluebox Security Scanner, criada pelos responsáveis pela divulgação da vulnerabilidade "Master Key", que mesmo depois de executar o ReKey continua a indicar que o dispositivo ainda está vulnerável.
Segundo o site do ReKey, a app Bluebox Security Scanner não estará a fazer a verificação da forma correcta, e garantem que o ReKey corrige definitivamente o problema.

Portanto, se têm um dispositivo com root, não percam tempo e instalem já o ReKey.


18/12/2012

18/12/2012

ExynosAbuse


A segurança acima de tudo, é uma regra que julgo a maioria deve seguir. Quando se descobre uma falha, nada como a poder corrigir, mesmo que a solução não seja final.


Chainfire, o mítico developer, lançou uma aplicação que permite corrigir uma falha que afecta os equipamentos com processador Samsung Exynos 4, tal como referimos nas "Últimas" de ontem.
Existem outras duas soluções para corrigir este problema, a minha escolha acabou por recair na solução apresentada pelo Chainfire.

Esta falha está identificada como tendo grau de severidade elevado, pelo que a correcção da mesma é aconselhável obrigatória.


Podem descarregar o apk no tópico do XDA. O processo de instalação é o habitual.


A aplicação necessita de root para correr. Se não têm acesso root no vosso equipamento, não se preocupem: a aplicação tira partido da vulnerabilidade para ganhar o necessário acesso :)

Têm duas opções, desabilitar a falha temporariamente ou a cada arranque.


Efeitos secundários? Sim, a câmara pode ficar com o síndrome do Sporting, algo  de que os Sportinguistas têm sofrido ultimamente.
Se necessitarem de tirar fotos, podem utilizar a app para desactivar o patch.

Até que a Samsung liberte uma solução, não restam muitas opções. Se têm um dos equipamentos em baixo, penso que deveriam instalar esta app.

Samsung Galaxy S2 GT-I9100

Samsung Galaxy S3 GT-I9300
Samsung Galaxy S3 LTE GT-I9305

Samsung Galaxy Note GT-N7000

Samsung Galaxy Note 2 GT-N7100
Samsung Galaxy Note 2 LTE GT-N7105
AT&T Galaxy Note 2 SGH-I317
Verizon Galaxy Note 2 SCH-I605

Samsung Galaxy Tab Plus GT-P6210

Samsung Galaxy Note 10.1 GT-N8000, GT-N8010, GT-N8013, GT-N8020