Quasi tutti gli smartphone Android contengono almeno una falla di sicurezza

[Redazione di Hardware Upg]

Link alla notizia: http://www.hwupgrade.it/news/telefon...zza_59185.html

La colpa non è di Google, che rilascia prontamente i fix di sicurezza, ma dei produttori degli smartphone che non aggiornano i propri dispositivi

Click sul link per visualizzare la notizia.

[TheSim]

"l'87% dei campioni è stato trovato vulnerabile ad almeno uno degli 11 bug diffusi pubblicamente negli scorsi cinque anni"

Se Google avesse proposto aggiornamenti "stile microsoft", indipendenti dal produttore/modello/piattaforma il problema non ci sarebbe.
Un servizio "google update" con permessi di root che può installare aggiornamenti di sicurezza senza cambiare versione dell'OS. Mi importa relativamente se android installato sia il 4.4.x il 5.1 o il 6, l'importante sia aggiornato sul fronte bug sicurezza. E non dite che è difficile, windows e linux lo fanno da anni a prescindere dall'hw installato e dalla versione dell'OS. Ma a google e ai produttori questo non interessa, prima diventa vecchio il telefono prima lo cambi, prima guadagnano.

[sniperspa]

"vulnerabili ad almeno una falla"

[ironman72]

Originariamente inviato da sniperspa

"vulnerabili ad almeno una falla"

Infatti non ha senso!!! NINOOOO correggi!!!!

[nickluck]

Il grafico é praticamente inutile. La parte verde dei dispositive "sicuri" non ha senso: la falla c'era giá ma semplicemente non era ancora pubblica. Una volta scoperta la falla, il dispositivo da "verde" diventa "rosso".

[Rubberick]

si ma anche la, la brandizzazione del tel..

e standardizzatela

quattro sfondi del menga, qualche icona..

cosi' sono contenti sti operatori ma almeno se uno fa un update non salta tutto

[Cloud76]

Quasi tutti gli smartphone Android sono vulnerabili ad almeno una falla

certo, e

Quasi tutti gli smartphone iOS sono vulnerabili ad almeno una falla

Quasi tutti gli smartphone Windows mobile sono vulnerabili ad almeno una falla

TUTTI gli smartphone sono vulnerabili ad almeno una falla.

[s0nnyd3marco]

La situazione e' sconfortante. Per l'utente l'unica speranza e' il supporto di rom alternative come cyanogenmod.

[Luca26]

vale anche per il nexus 5 con tutte le patch di sicurezza installate ?

[Armage]

abbiamo capito che sei innamorato, Nino, ma, mi spiace, certo che la colpa è di Google (o almeno in buonissima parte), perché se da domani imponesse certe specifiche ai produttori relative alla personalizzazione del sistema e alla tempestività degli aggiornamenti, "altrimenti non ti faccio usare il mio android", tutto questo non succederebbe, e potrebbe farlo subito. Perché non lo fa? Perché questo avrebbe un costo per i produttori che si lamenterebbero e Google, essendo una società a scopo di lucro come tutte le altre (ebbene sì, non lavora per il bene del mondo come tutti pensano) non vuole pungolarli, temendo di perderne qualcuno per strada, con gli utenti del produttore che finirebbero con l'usare meno i vari chrome, gmail, gdrive, G+ eccetera eccetera... Sarebbero certamente pochi, ma mamma G non vuole perdere nemmeno quelli.

[bobafetthotmail]

Originariamente inviato da articolo

Il problema comunque sembra essere più a monte e pare che ci sia confusione nel capire chi è che deve rilasciare le patch di sicurezza dopo la pubblicazione da parte di Google

Non è questo quello che dicono nell'articolo.
Diamine lo traducete anche correttamente con:
C'è asimmetria nelle informazioni fra il produttore, che sa se il dispositivo è sicuro e riceverà aggiornamenti di sicurezza, e il cliente, che non lo sa

Questo significa che chi compra non ha idea delle probabilità che il suo device riceva aggiornamenti di sicurezza, non che ci siano dubbi su chi deve fare gli aggiornamenti per i device.

Il sorgente dei firmware dei vari device e/o i driver non sono mica accessibili a Google, come fa a fare le patch, magari firmarle con le chiavi crittografiche giuste a seconda del produttore e poi mandarle in giro?

Originariamente inviato da TheSim

Se Google avesse proposto aggiornamenti "stile microsoft", indipendenti dal produttore/modello/piattaforma il problema non ci sarebbe.

Sai vero quale sarebbe la prima risposta dei produttori quando (non SE, dico proprio QUANDO) una patch inchioda le loro customizzazioni merdacchiose? Assumendo che non lo tolgano proprio nei loro firmware per evitare rogne o ragioni commerciali?

Già ci sono casi di Samsung che facevano i furbini e disattivavano Windows Update, figurati con Google che l'OS è opensource e a gratis.

Ma a google e ai produttori questo non interessa, prima diventa vecchio il telefono prima lo cambi, prima guadagnano.

Dall'articolo:
È interessante notare come lo studio sia stato in parte promosso dalla stessa Google che, probabilmente, vuole dare un segnale molto forte ai partner che producono smartphone e tablet Android.

La parte verde dei dispositive "sicuri" non ha senso: la falla c'era giá ma semplicemente non era ancora pubblica. Una volta scoperta la falla, il dispositivo da "verde" diventa "rosso".

Il problema è che se usi "data di creazione della falla" come parametro, diventa tutto rosso a prescindere su qualsiasi OS, quindi il grafico puoi anche non farlo.

Anche su Windows escono falle che colpiscono tutti gli OS da Vista in su, quindi fare paragoni sul da quando esistono le falle scoperte X anni dopo non avrebbe alcun senso.

Usare il momento in cui la falla è pubblica è una ragionevole approssimazione, visto che di meglio non si può fare.

"altrimenti non ti faccio usare il mio android", tutto questo non succederebbe, e potrebbe farlo subito. Perché non lo fa?

Perchè chiunque con una VM di Ubuntu aggiornata può andare sul sito di AOSP, tirare giù i sorgenti e compilarsi il suo firmware Android non pagando una cippa e in modo totalmente legale.

Quello che succederebbe è che i produttori cambiano nome all'OS e levano magari la mascotte di Android, e tutto prosegue come prima.

[calabar]

Originariamente inviato da TheSim;

Se Google avesse proposto aggiornamenti "stile microsoft", indipendenti dal produttore/modello/piattaforma il problema non ci sarebbe.

Se l'avesse fatto con tutta probabilità Android non si sarebbe diffuso come è invece avvenuto.

Ora però ci sono le premesse per forzare la mano, e trovo incredibile come i grandi produttori non si rendano conto di come migliorare questo aspetto non farebbe che bene alla qualità dei propri dispositivi (con conseguente maggiore soddisfazione del cliente e magari migliori vendite).

[Armage]

Originariamente inviato da calabar

Se l'avesse fatto con tutta probabilità Android non si sarebbe diffuso come è invece avvenuto.

Ora però ci sono le premesse per forzare la mano, e trovo incredibile come i grandi produttori non si rendano conto di come migliorare questo aspetto non farebbe che bene alla qualità dei propri dispositivi (con conseguente maggiore soddisfazione del cliente e magari migliori vendite).

non trovarlo incredibile: La maggior parte della gente, l'acquirente medio che va da mediaworld per capirci, a stento sa cosa siano gli aggiornamenti né tantomeno se arrivano presto o tardi, quindi non ha sta gran percezione di una qualità inferiore del prodotto. Per il produttore, invece, fare aggiornamenti tempestivi quando quello che distribuisci non è lo stesso android che dà google ma una versione che tu (produttore) hai personalizzato, è costoso. Avranno fatto le loro stime di costi/benefici e avranno valutato che non è conveniente, la gente fa prima a comprare un nuovo telefono.

[Utonto_n°1]

Originariamente inviato da sniperspa

"vulnerabili ad almeno una falla"

fixed: "vulnerabili ad almeno un fallo"

[alexdal]

Fedele a Windows Phone con aggiornamenti costanti!
E chi se ne frega delle applicazioni mancanti che sono tutte uguali o sono cloni dei siti mobili

[Armage]

Originariamente inviato da bobafetthotmail

Quello che succederebbe è che i produttori cambiano nome all'OS e levano magari la mascotte di Android, e tutto prosegue come prima.

non è lo stesso motivo che ho detto io, scusa? che i produttori si sgancerebbero da google e sarebbero pertanto meno incentivati a proporre l'uso nativo delle app di google (come qualcuno tipo samsung ha già provato a fare). Quello che intendevo quando ho detto google dovrebbe imporsi è proprio NON ti faccio usare il mio codice (android) se non rispetti certe regole, non è che puoi prenderlo e cambiargli nome.

[nickmot]

Originariamente inviato da Armage

non è lo stesso motivo che ho detto io, scusa? che i produttori si sgancerebbero da google e sarebbero pertanto meno incentivati a proporre l'uso nativo delle app di google (come qualcuno tipo samsung ha già provato a fare). Quello che intendevo quando ho detto google dovrebbe imporsi è proprio NON ti faccio usare il mio codice (android) se non rispetti certe regole, non è che puoi prenderlo e cambiargli nome.

Essendo rilasciato sotto GPL non possono impedire l'accesso al codice di Android AOSP.

Ergo non esiste codice DI google che google può non rendere disponibile per far si che un produttore non usi android.

[bobafetthotmail]

Originariamente inviato da nickmot

Essendo rilasciato sotto GPL non possono impedire l'accesso al codice di Android AOSP.

Minore precisazione che non cambia il senso del discorso:

Il kernel è GPL in quanto kernel linux.

il resto di Android è quasi tutto sotto licenza Apache 2.0, che al contrario della GPL non forza nessuno a rilasciare i sorgenti di quello che ci fa.

Quindi permette ai produttori di fare prodotti closed source, nasconderci dentro le loro preziose modifiche merdacchiose e piene di bug, e fare dei firmware senza che nessuno sappia esattamente cosa è stato cambiato, basta che pubblichino i sorgenti del kernel e va bene.

Se fosse tutto sotto GPL col cavolo che si diffondeva, ma fare patch di terze parti sarebbe stato un attimo.

https://source.android.com/source/licenses.html

[s0nnyd3marco]

Originariamente inviato da nickmot

Essendo rilasciato sotto GPL non possono impedire l'accesso al codice di Android AOSP.

Ergo non esiste codice DI google che google può non rendere disponibile per far si che un produttore non usi android.

Questo non e' del tutto vero: i google play services (che non sono parte di Android AOSP) e' closed source e se un OEM vuole installarli deve sottostare ad una licenza ed accettare delle condizioni.

[nickmot]

Originariamente inviato da s0nnyd3marco

Questo non e' del tutto vero: i google play services (che non sono parte di Android AOSP) e' closed source e se un OEM vuole installarli deve sottostare ad una licenza ed accettare delle condizioni.

Infatti mi riferivo ad android AOSP, qunto impiegherebbe un produttore a fare come amazon o Nokia?

Originariamente inviato da bobafetthotmail

Minore precisazione che non cambia il senso del discorso:

Il kernel è GPL in quanto kernel linux.

il resto di Android è quasi tutto sotto licenza Apache 2.0, che al contrario della GPL non forza nessuno a rilasciare i sorgenti di quello che ci fa.

Quindi permette ai produttori di fare prodotti closed source, nasconderci dentro le loro preziose modifiche merdacchiose e piene di bug, e fare dei firmware senza che nessuno sappia esattamente cosa è stato cambiato, basta che pubblichino i sorgenti del kernel e va bene.

Se fosse tutto sotto GPL col cavolo che si diffondeva, ma fare patch di terze parti sarebbe stato un attimo.

https://source.android.com/source/licenses.html

Non lo sapevo.
In realtà cambia molto, Google potrebbe effettivamente non rilasciare più i sorgenti completi a chi non rispetta certe condizioni, ma a quel punto i produttori se ne fregherebbero ed andrebbero avanti a sviluppare i loro fork (basati sui sorgenti che ora hanno) rendendo il tutto ancora peggiore.