Peut-être que peu l’ont remarqué, mais celui de juillet a été le premier bulletin de sécurité Android dans lequel aucune vulnérabilité n’était présente. Android est-il devenu si sûr et fiable? En réalité, cette anomalie (un événement jamais enregistré depuis que Google a commencé à publier des bulletins mensuels en 2015) rapporte un changement important dans la gestion des mises à jour de sécurité pour Android. De Mountain View, en fait, ils introduisent un nouveau système qui se concentre sur le risque réel de vulnérabilité au lieu de l’accumulation mensuelle simple de patchs de sécurité. La nouveauté, jusqu’à présent non officiellement annoncée mais confirmée par plusieurs sources proches de l’entreprise, est sortie précisément du bulletin de juillet.
Suivez Google Italia sur Telegram, recevez des nouvelles et offre d’abord
La nouvelle approche de Google
Cette «absence de problèmes» apparente ne signifie pas qu’il n’y avait pas de vulnérabilité, mais reflète un tournant stratégique. Google a en fait décidé d’introduire le soi-disant système de mise à jour basé sur les risques (RBU), un système qui modifie profondément la logique de la distribution des mises à jour pour Android. Fondamentalement, les mises à jour mensuelles ne comprennent désormais que les vulnérabilités considérées comme à haut risque, c’est-à-dire celles qui nécessitent une intervention immédiate car elles sont potentiellement exploitées dans des attaques réelles ou parce qu’une partie des attaques déjà connues. Tous les autres patchs sont plutôt regroupés en bulletins trimestriels, rendant les publications de mars, juin, septembre et décembre plus riches en contenu.
La conséquence directe de cette nouvelle approche est une plus grande flexibilité pour les producteurs de smartphones, qui luttent depuis des années pour distribuer rapidement des mises à jour mensuelles, en particulier sur les appareils économiques ou vendus par le biais d’opérateurs téléphoniques. Grâce au système de risque, les fabricants doivent gérer un nombre inférieur de patch chaque mois, ce qui pourrait faciliter une distribution plus constante et, dans certains cas, encore plus fréquente que les mises à jour. En parallèle, les producteurs peuvent concentrer leurs ressources sur les mises à jour trimestrielles, qui deviennent le véritable moment central de la maintenance de la sécurité des appareils Android.
Pour les utilisateurs finaux, ce changement sera presque invisible, du moins pour ceux qui reçoivent déjà des mises à jour mensuelles. Ceux qui ont l’habitude de les recevoir avec moins de régularité pourraient profiter d’une amélioration de la ponctualité des mises à jour, du moins dans les moments critiques de l’année. Les bulletins mensuels, cependant, peuvent être vides dans les cas où des vulnérabilités à haut risque n’ont pas été détectées, comme cela s’est produit en juillet. Certains producteurs, comme Samsung, ont toujours publié des mises à jour au cours de ce mois, mais sans pouvoir publier les détails des vulnérabilités correctes, en suivant les directives imposées par Google.
Les problèmes critiques de cette nouvelle approche
Comme cela arrive souvent, un filet d’améliorations significatifs est toujours présente. Un aspect souligné par la réalité tels que Graphèneos, un projet open source axé sur la vie privée, concerne le risque lié à la gestion des bulletins privés. Alors qu’avant que les producteurs ne reçoivent un avis d’environ un mois, ils sont maintenant informés plusieurs mois à l’avance pour les bulletins trimestriels. Bien que ces informations soient transmises en toute sécurité, le fait qu’ils soient accessibles à des milliers d’ingénieurs du monde entier ouvrent la possibilité, même si ce n’est que théorique, que certains détails peuvent fuir et se retrouver entre de mauvaises mains. Une évasion d’informations à l’avance pourrait offrir aux pirates le temps nécessaire pour construire des attaques ciblées, à utiliser avant que les correctifs ne soient réellement distribués.
Une autre conséquence de cette stratégie concerne le monde du modding. Google a en fait cessé de publier le code source des mises à jour mensuelles, ne la libérant que pour les trimestriels. Cela rend plus difficile pour les développeurs Roma personnalisés, tels que LineageOS, intégrant rapidement les correctifs de sécurité. Dans une période où les possibilités de personnalisation d’Android subissent déjà des restrictions, ce choix risque de pénaliser davantage une partie de l’écosystème qui a historiquement contribué à la croissance et à l’innovation du système d’exploitation.
