Google schimbă politica de securitate Android: detaliile vulnerabilităților sunt reținute până la 3 luni, patch-urile ajung OEM sub NDA. GrapheneOS critică.
© B. Naumkin
Google a schimbat din temelii modul în care dezvăluie vulnerabilități și distribuie patch-uri de securitate pentru Android. De acum, actualizările de securitate vor ajunge mai întâi doar la producătorii de hardware (OEM) care semnează un acord de confidențialitate (NDA).
Potrivit noilor reguli, codul sursă al remedierilor poate să nu fie publicat până la trei luni după ce o actualizare este primită. În acest interval, furnizorii pot livra doar build-uri binare cu patch-urile, fără a oferi detalii tehnice. În practică, asta încetinește ritmul obișnuit al transparenței și restrânge vizibilitatea timpurie la un cerc mic de parteneri.
Anterior, Google publica rapoarte complete despre vulnerabilități împreună cu buletinele lunare Android Security. De exemplu, lista din septembrie 2025 a inclus 114 probleme identificate, în timp ce actualizarea din octombrie a omis cu totul descrierile. Diferența sare în ochi și schimbă tonul comunicării.
Schimbarea a fost observată prima dată de echipa GrapheneOS, distribuția Android independentă axată pe confidențialitate. Proiectul susține că noua politică va îngreuna munca cercetătorilor independenți în securitate și a dezvoltatorilor de ROM-uri personalizate, care se bazează pe date tehnice la timp pentru a reacționa rapid.
La rândul său, Google afirmă că restricția temporară urmărește să ridice nivelul general de securitate, împiedicând atacatorii să analizeze rapid patch-urile și să exploateze vulnerabilitățile înainte ca actualizările oficiale să ajungă la utilizatori. Compania descrie abordarea ca o strategie de tip security-through-obscurity, adică un accent pe reținerea detaliilor până când remedierile sunt distribuite pe scară largă. E o mutare care resetează raportul dintre transparență și viteză.
Pentru a menține ritmul actualizărilor, GrapheneOS a încheiat deja un parteneriat cu un producător care primește patch-urile direct de la Google în noul sistem. Este un ocol pragmatic, dar arată că accesul depinde acum de acorduri formale, nu de documentație deschisă.