Google ahora requiere que los fabricantes de teléfonos con sistema operativo Android realicen actualizaciones de seguridad durante al menos 2 años

• Nuevo requerimiento obliga a fabricantes de teléfono a dos años contractuales de actualizaciones de software, y 4 en el primer año
• La medida está diseñada para aumentar la creciente cantidad de ciberamenazas
• Los fabricantes tendrán una ventana de 90 días para realizar cada actualización

Cuando se trata de actualizaciones de seguridad, Android es un verdadero desastre. Incluso después de que Google haya implementado oportunamente los parches de seguridad para su plataforma Android, una parte importante del ecosistema de Android sigue estando expuesta a los hackers informáticos porque los fabricantes de dispositivos no entregan parches regularmente y de manera oportuna a sus clientes.

Para lidiar con este problema, Google en su Conferencia de desarrolladores de I/O de mayo de 2018 reveló el plan de la compañía para actualizar sus acuerdos OEM (Por sus siglas e inglés, Fabricante de Equipos Originales) que requerirían que los fabricantes de dispositivos Android implementen al menos actualizaciones de seguridad con regularidad.

Ahora, una copia filtrada y no verificada de un nuevo contrato entre Google y OEM obtenido por The Verge revela algunos términos del acuerdo que los fabricantes de dispositivos deben cumplir o, de lo contrario, tienen que perder su certificación de Google para los próximos dispositivos Android.

Nuevos Términos para la seguridad en Android

Los términos cubren cualquier dispositivo lanzado después del 31 de enero de 2018 que haya sido activado por más de 100,000 usuarios. A partir del 31 de julio, los requisitos de aplicación de parches se aplicaron al 75 por ciento de los «modelos de seguridad obligatorios» de un fabricante. A partir del 31 de enero de 2019, Google exigirá que todos los dispositivos obligatorios de seguridad reciban estas actualizaciones.

Los fabricantes de dispositivos Android tienen el mandato de lanzar «al menos cuatro actualizaciones de seguridad» en el primer año después del lanzamiento de un teléfono inteligente, pero para el segundo año, el número de actualizaciones no está especificado.

Además de esto, el contrato también estipula que los fabricantes no deben retrasar las actualizaciones de parches para vulnerabilidades de seguridad durante más de 90 días.

Seguridad Fragmentada

La seguridad fragmentada ha sido durante mucho tiempo un problema en Android, donde los fabricantes de teléfonos a veces ignoran los productos a medida que envejecen o su uso disminuye. Los consumidores rara vez han tenido la certeza de que su dispositivo recibiría actualizaciones oportunas, lo que lleva a fallas que permanecen abiertas mucho más allá de su identificación.

Si bien este es obviamente un paso en la dirección correcta, todavía no es una solución completa al problema. Dado que Google lanza parches de seguridad mensuales. En estos nuevos documentos contractuales confidenciales, Google está permitiendo a los fabricantes de equipos originales publicar una actualización al menos una vez cada 90 días. La actualización cuatro veces al año todavía dejaría a algunos usuarios vulnerables por hasta 90 días.

Si bien la autenticidad del nuevo contrato de socios de Android no se verifica, los nuevos cambios realizados por Google definitivamente tendrán un impacto masivo en el estado general de la seguridad de Android y beneficiarán a millones de usuarios de Android.

Referencias:

https://www.theverge.com/2018/10/24/18019356/android-security-update-mandate-google-contract

https://thehackernews.com/2018/10/android-security-updates.html