Производители подрывают безопасность собственных смартфонов, внося ненужные, а иногда опасные изменения в исходный код Android. Такое заявление сделал исследователь из подразделения кибербезопасности Google Project Zero Янн Хорн.
Крупные бренды, пишет Хорн, не только модифицируют саму операционную систему ради кастомизации интерфейса и добавления фирменных функции, но и вмешиваются в код ядра Linux, на котором построен Android. В качестве примера эксперт привел Galaxy A50: в попытке усилить безопасность смартфона инженеры Samsung внесли в код изменения, которые не были предусмотрены разработчиками Linux, и сделали его уязвимым к атакам.
Результатом вмешательства стала ошибка повреждения памяти (SVE-2019-16132), о которой специалисты Google предупредили Samsung еще в ноябре прошлого года. Она позволяла злоумышленникам «выполнять произвольный код» на некоторых устройствах линейки Galaxy с Android 9 и 10. Samsung устранила уязвимость только в этом месяце, сообщает ZDNet.
Защиту Android ослабляет не только Samsung. По словам Хорна, в новых версиях ОС открыт доступ к оборудованию через выделенные вспомогательные процессы в Android. Однако вносимые производителями модификации, изменяющие работу ключевых частей ядра Linux, ставят безопасность под угрозу.
Некоторые фирменные функции, которые Samsung и другие компании добавляют в Android, просто «не нужны», говорит Хорн, и никак не повлияют на работу устройства, если их убрать. По мнению специалиста, производителям следует использовать уже имеющиеся в Android функции для аппаратного доступа, а не изобретать собственные путем изменения кода ядра.
