2013/07/09

Google já corrigiu vulnerabilidade no Android... mas será isso suficiente?


Como é habitual, o Google não demorou a corrigir a vulnerabilidade que permitia que um atacante modificasse uma qualquer app de forma imperceptível, podendo infectar uma app conhecida com malware mantendo a aparência de que se trata da app original oficial. No entanto, volta a ficar claro que o Android precisa de reformular a forma como faz chegar estas correcções e actualizações aos clientes: o Google enviou a correcção aos seus parceiros, ficando agora a seu cargo a actualização dos equipamentos - que é como quem diz... apenas os equipamentos mais recentes terão direito a correcção, deixando milhões de equipamentos mais antigos vulneráveis.


Não deixará de ser positivo que o mais recente Jelly Bean seja já a versão mais utilizada dos Android (relativamente falando, com mais de 38%).
No entanto isso deixa ainda mais de 60% dos equipamentos com versões antigas, 34.1% dos quais estão com o "velhinho" Android 2.3 - e que representam muitos milhões de potenciais vítimas para ataques que explorem esta vulnerabilidade (e outras). Para além de que isto não invalida que muitos dos equipamentos que tenham Android 4.1-4.2 possam também nunca mais vir a receber qualquer nova actualização.


Sem querer entrar em cenários apocalípticos, penso que este sistema está mesmo a pedir que tal venha a acontecer. Um dia que seja encontrada uma vulnerabilidade realmente grave e viral (onde por exemplo, um SMS ou email possa despoletar a execução de código malicioso e alastrar a infecção de forma exponencial), estaremos perante algo ao nível do "Sasser" que em tempos garantia que qualquer computador windows que se ligasse à internet ficasse infectado numa questão de minutos.

É extremamente urgente que o Google arranje forma de distribuir actualizações críticas de segurança em larga escala e que cheguem a todos os equipamentos Android em tempo útil. Não será fácil - até as actualizações disponibilizadas para os seus Nexus por vezes demoram semanas a chegarem a todos - mas parece-me ser algo que inevitavelmente passará a ser essencial. E só espero que tal venha a acontecer antes que um tal cenário "apocalíptico" se venha a concretizar.

7 comentários:

  1. Mas a versão 2.3 não recebe actualizações de segurança?

    ResponderEliminar
    Respostas
    1. Poder pode... mas fica a cargo de cada fabricante/operador. Agora diz-me se tens esperanças de ver uma actualização a chegar aos smartphones com mais de 2 anos e que desde o seu lançamento nunca receberam uma única que fosse...

      Eliminar
    2. Anónimo9/7/13 14:44

      Hhahahaha :'D haaaaahahahahahhah!

      Não, não recebe. Pelo menos menos o meu samsung galaxy ace a ultima atualização que recebi para ele foi o update de 2.2 para 2.3. Entretanto tive que me render ao cyanogen mod porque estava-se a tornar ridículo os bugs que emergiam com o uso.

      Aparentemente não vale a pena aos fabricantes multimilionários pagarem dois dias aos engenheiros para fazer um patch (se é que demoram tanto).

      Eliminar
  2. Eu não tenho android daí as dúvidas.

    Mas um gajo se lhe meter uma ROM da google fica a fazer update imediatamente certo (sim eu sei é preciso root)

    ResponderEliminar
    Respostas
    1. Não existem "roms da Google" - isso só nos Nexus. Nos restantes tens alguns que se aproximam disso como os recentes S4 e HTC "Google Edition", mas cujos updates passam sempre pelos fabricantes; ou então optas por usar roms alternativas como o CyanogenMod que usam o código open source do Android mais recente como base.

      E como referi, mesmo nos casos oficiais (nos Nexus), as actualizações são feitas de forma faseada e por vezes demoram semanas a chegar a todos.

      Eliminar
  3. Cada vez mais convencido que venha de lá o Ubuntu touch.

    ResponderEliminar
  4. Fico parvo como uma empresa como a Google é tão confusa no SO que oferece, e no facto de haver atualizações para uns e não para outros.

    ResponderEliminar